Всё, что стоит знать, и ничего лишнего.
Что делает это сообщение
MAP-PSI вызывается SCP, VLR или HLR по отношению к другому сетевому элементу для получения текущего состояния абонента. Ответ включает информацию о местоположении (LAI, Cell-ID, географические координаты, если доступны), IMEI зарегистрированного устройства, состояние переадресации вызовов и активные услуги подписки. В реальных условиях использования внутри оператора (например, SCP, которому необходимо знать местоположение абонента для применения геополитики) MAP-PSI является быстрым, точным и полезным инструментом.
Почему оно стало целью нападения
Без защиты брандмауэра злоумышленник, имеющий доступ к SS7 (арендованный у провайдера на сером рынке, полученный через попутчика-оператора или украденный через арендованный сигнальный канал), мог отправлять MAP-PSI по любому MSISDN от любого партнера и получать точные данные о местоположении и устройстве. Это был основной механизм, лежащий в основе волны громких инцидентов, связанных с отслеживанием местоположения и злоупотреблением законным перехватом данных в 2010-х годах. Ответная мера: классифицировать MAP-PSI как GSMA FS.07 Категория 2 — допустимо только от подтвержденных роуминговых партнеров — и отказаться от всего остального.
Какие существуют меры по смягчению последствий?
Трехуровневая защита. Во-первых, межсетевой экран SS7 обеспечивает внесение в белый список GT/PC для каждого узла и категоризацию FS.07, блокируя MAP-PSI от любого узла, не являющегося роуминговым партнером. Во-вторых, ограничение скорости и оценка репутации выявляют даже авторизованных узлов, злоупотребляющих операцией (роуминговый партнер, внезапно запускающий в 100 раз больше запросов PSI, чем базовый уровень, получает ограничение скорости, и центр управления сетью оператора получает уведомление). В-третьих, обмен информацией об угрозах между операторами через GSMA T-FCS позволяет операторам блокировать источники, которые злоупотребляли PSI в других местах. Межсетевой экран SS7 от BroadNet (/operators/ss7-firewall) поставляется с предварительно настроенными всеми тремя уровнями.
Вопросы конфиденциальности и соблюдения нормативных требований
Данные о местоположении абонента относятся к одной из наиболее конфиденциальных категорий данных в соответствии с любым современным режимом защиты конфиденциальности — статья 9 GDPR ЕС, специальная категория, смежная с данными, PDPL Саудовской Аравии, строго ограниченная цель, Федеральный закон ОАЭ о защите данных. Операторы обязаны регистрировать каждый полученный MAP-PSI и каждый отправленный ответ с аудитом, хранением и контролем доступа. GSMA FS.11 — это спецификация мониторинга, которая обеспечивает реализацию этого. Примечание: в этой статье описывается защитная схема — что отслеживать и как блокировать — а не наступательная техника. Подробную информацию об уязвимости см. в документации GSMA для ограниченного распространения.