O SS7 foi desenhado para um clube de operadores de confiança, pelo que não tem autenticação ao nível da mensagem — um nó estrangeiro pode consultar ou forjar operações MAP para rastrear localização, intercetar SMS e OTPs, ou redirecionar chamadas. A GSMA FS.11 define uma defesa: classificar as mensagens MAP de entrada em categorias 1, 2 e 3 e filtrar cada uma na fronteira da rede.
Porque o SS7 é explorável
O SS7 assume que cada par de sinalização é um operador de confiança, pelo que as operações MAP não transportam autenticação criptográfica da sua origem. À medida que a interligação se abriu e o acesso se tornou amplamente disponível, um atacante com conectividade SS7 podia enviar consultas e atualizações MAP que uma rede responderia ou sobre as quais atuaria como se viessem de um parceiro legítimo. O resultado é uma classe de ataques que não precisa de acesso ao terminal alvo — apenas da capacidade de enviar mensagens SS7 em direção à rede da vítima.
As principais classes de ataque
O abuso do SS7 divide-se em algumas categorias reconhecidas. O rastreio de localização usa operações de interrogação para resolver um subscritor a uma célula ou área. A interceção explora os procedimentos de encaminhamento e mobilidade para desviar SMS ou chamadas para o atacante. A fraude e a negação de serviço manipulam o estado ou o barramento do subscritor. Como os códigos de uso único são comummente enviados por SMS, a interceção de SMS mina diretamente a autenticação de dois fatores baseada em SMS.
| Ataque | Operações exploradas | Efeito |
|---|---|---|
| Rastreio de localização | anyTimeInterrogation, provideSubscriberInfo, sendRoutingInfoForSM | Resolver o assinante para célula/área |
| Interceção SMS / OTP | updateLocation (falsificado), redirecionamento mt-ForwardSM | Desviar MT-SMS para o nó do atacante |
| Interceção/redirecionamento de chamadas | updateLocation, provideRoamingNumber, insertSubscriberData | Redirecionar ou monitorizar chamadas |
| Fraude / DoS | cancelLocation, purgeMS, updateLocation | Cancelar o registo do assinante, negar o serviço |
| Roubo de credenciais | sendAuthenticationInfo | Recolha de vetores de autenticação |
As categorias GSMA FS.11
A GSMA FS.11 (SS7 Interconnect Security Monitoring and Firewall Guidelines) classifica as mensagens MAP de entrada por onde podem legitimamente originar-se, dando aos operadores um livro de regras de filtragem. As mensagens de Categoria 1 nunca deviam ser recebidas numa interligação de outro operador — pertencem ao interior de uma única rede — pelo que são bloqueadas de imediato na fronteira. As mensagens de Categoria 2 só deviam vir da rede de origem do subscritor, pelo que são bloqueadas quando a origem não é a rede de origem. As mensagens de Categoria 3 podem legitimamente chegar de uma rede onde o subscritor está em roaming, pelo que não podem ser bloqueadas apenas pela origem e exigem verificações de plausibilidade e velocidade.
| Categoria | Origem legítima | Ação do firewall | Exemplos |
|---|---|---|---|
| 1 | Somente dentro da própria rede da operadora | Bloqueio na interconexão de entrada | anyTimeInterrogation, sendIMSI, provideSubscriberInfo (entrante) |
| 2 | Somente da rede de origem (home) do assinante | Bloquear se a origem ≠ rede de origem (home) | cancelLocation, insertSubscriberData, deleteSubscriberData |
| 3 | De uma rede visitada onde o assinante realiza roaming | Verificações de plausibilidade e velocidade | updateLocation, sendRoutingInfoForSM, provideRoamingNumber |
Regras de firewall que implementam a FS.11
Uma signalling firewall aplica a FS.11 em camadas. Na camada SCCP filtra o global title do Calling Party face a listas de permissão/negação e verifica a consistência de GT vs point code. Na camada MAP inspeciona o código de operação e aplica a regra de categoria. Para a categoria 3 acrescenta verificações com estado: uma verificação de velocidade assinala um subscritor que aparenta mover-se entre países distantes mais depressa do que é fisicamente possível, e verificações de consistência comparam a rede servidora alegada com a localização conhecida no HLR. O tráfego de Categoria 1 é simplesmente descartado e registado.
on inbound MAP message from interconnect peer P:
if opcode in CATEGORY_1: drop + alert # never valid across interconnect
if opcode in CATEGORY_2:
if P != subscriber.homeNetwork: drop + alert
if opcode in CATEGORY_3: # e.g. updateLocation, SRI-SM
if velocityImplausible(subscriber, P): drop + alert
if !consistentWithHLR(subscriber, P): drop + alert
else: allow + logDefesa em camadas
Nenhum controlo isolado é suficiente. A filtragem FS.11 é complementada pela orientação FS.19 equivalente a Diameter para LTE e por controlos de SMS-firewall (GSMA IR.70/interoperação de SMS) contra spam e rotas cinzentas. Os operadores emparelham uma signalling firewall com monitorização contínua, para que padrões inéditos que passam pelas regras estáticas ainda surjam como anomalias. A mitigação estratégica para a interceção de SMS especificamente é reduzir a dependência de OTPs por SMS, mas para as redes que os têm de transportar, a filtragem de fronteira continua a ser a defesa primária.
Perguntas frequentes
Porque é que o SS7 é inseguro?
O SS7 foi construído para um conjunto pequeno e de confiança de operadores e nunca acrescentou autenticação da origem das mensagens. Assim que o acesso à interligação se tornou amplamente disponível, um atacante capaz de enviar mensagens SS7 podia fazer-se passar por uma rede legítima e ter consultas MAP respondidas ou executadas — sem necessidade de acesso ao terminal alvo.
Quais são as categorias GSMA FS.11?
A FS.11 ordena as mensagens MAP de entrada por origem legítima. A Categoria 1 nunca deve atravessar uma interligação e é bloqueada. A Categoria 2 só deve vir da rede de origem do subscritor e é bloqueada caso contrário. A Categoria 3 pode chegar de uma rede visitada, pelo que precisa de verificações de plausibilidade e velocidade em vez de um bloqueio total.
Como é que uma firewall SS7 impede a interceção de SMS?
Filtra as operações SendRoutingInfoForSM e UpdateLocation que os atacantes usam para redirecionar o MT-SMS. Verifica a origem face à relação origem/visitada, aplica verificações de velocidade para que um subscritor não possa aparecer em dois países distantes ao mesmo tempo, e descarta tráfego implausível ou de categoria 1.
O que é uma verificação de velocidade?
Uma verificação de velocidade (ou plausibilidade) compara a localização recém-alegada de um subscritor com a sua última localização conhecida e o tempo entre elas. Se a viagem implícita é fisicamente impossível — por exemplo atualizações de roaming de dois continentes com segundos de intervalo — a mensagem é tratada como forjada e bloqueada.
Uma firewall SS7 substitui o abandono dos OTPs por SMS?
Não — reduz a exposição mas não a elimina. A filtragem de fronteira é a defesa primária para redes que têm de transportar OTPs por SMS, mas a mitigação mais forte contra a interceção é reduzir a dependência de códigos de uso único por SMS onde exista um fator mais forte disponível.
Especificações de origem
Os padrões publicados nos quais esta página se baseia. Abre num novo separador.