SS7 проектировался для доверенного клуба операторов, поэтому в нём нет аутентификации на уровне сообщений — чужой узел может запрашивать или подделывать операции MAP, чтобы отслеживать местоположение, перехватывать SMS и OTP или перенаправлять вызовы. GSMA FS.11 определяет защиту: классифицировать входящие сообщения MAP по категориям 1, 2 и 3 и фильтровать каждую на границе сети.
Почему SS7 уязвим
SS7 исходит из того, что каждый узел сигнализации — доверенный оператор, поэтому операции MAP не несут криптографической аутентификации своего источника. По мере того как межсетевое взаимодействие открывалось, а доступ становился широко доступным, злоумышленник со связностью SS7 мог отправлять запросы и обновления MAP, на которые сеть отвечала или по которым действовала, будто они пришли от легитимного партнёра. Результат — класс атак, не требующих доступа к целевому аппарату — только способности отправлять сообщения SS7 в сеть жертвы.
Основные классы атак
Злоупотребление SS7 распадается на несколько признанных категорий. Отслеживание местоположения использует операции запроса состояния, чтобы разрешить абонента до соты или области. Перехват эксплуатирует процедуры маршрутизации и мобильности, чтобы отвести SMS или вызовы злоумышленнику. Мошенничество и отказ в обслуживании манипулируют состоянием абонента или запретами. Поскольку одноразовые пароли обычно отправляются по SMS, перехват SMS напрямую подрывает двухфакторную аутентификацию на основе SMS.
| Атака | Эксплуатируемые операции | Эффект |
|---|---|---|
| Отслеживание местоположения | anyTimeInterrogation, provideSubscriberInfo, sendRoutingInfoForSM | Определить соту/зону абонента |
| Перехват SMS / OTP | updateLocation (поддельное), перенаправление mt-ForwardSM | Перенаправить MT-SMS на узел злоумышленника |
| Перехват / перенаправление вызовов | updateLocation, provideRoamingNumber, insertSubscriberData | Перенаправлять или отслеживать вызовы |
| Фрод / DoS | cancelLocation, purgeMS, updateLocation | Отменить регистрацию абонента, отказать в предоставлении услуг |
| Кража учётных данных | sendAuthenticationInfo | Сбор векторов аутентификации |
Категории GSMA FS.11
GSMA FS.11 (SS7 Interconnect Security Monitoring and Firewall Guidelines) классифицирует входящие сообщения MAP по тому, откуда они могут легитимно исходить, давая операторам свод правил фильтрации. Сообщения категории 1 никогда не должны приходить через межсетевое соединение от другого оператора — они принадлежат внутренней жизни одной сети — поэтому они блокируются прямо на границе. Сообщения категории 2 должны приходить только из домашней сети абонента, поэтому они блокируются, когда источник — не домашняя сеть. Сообщения категории 3 могут легитимно приходить из сети, где абонент находится в роуминге, поэтому их нельзя заблокировать только по источнику, и они требуют проверок правдоподобия и скорости.
| Категория | Легитимный источник | Действие межсетевого экрана | Примеры |
|---|---|---|---|
| 1 | Только в пределах собственной сети оператора | Блокировка входящего межсоединения | anyTimeInterrogation, sendIMSI, provideSubscriberInfo (входящие) |
| 2 | Только из домашней сети абонента | Блокировать, если источник ≠ домашняя сеть | cancelLocation, insertSubscriberData, deleteSubscriberData |
| 3 | Из гостевой сети, в которой абонент находится в роуминге | Проверка правдоподобности + проверка скорости | updateLocation, sendRoutingInfoForSM, provideRoamingNumber |
Правила межсетевого экрана, реализующие FS.11
Сигнальный межсетевой экран применяет FS.11 послойно. На уровне SCCP он проверяет global title Calling Party по спискам разрешений/запретов и проверяет согласованность GT и point code. На уровне MAP он инспектирует код операции и применяет правило категории. Для категории 3 он добавляет проверки с сохранением состояния: проверка скорости отмечает абонента, который перемещается между удалёнными странами быстрее физически возможного, а проверки согласованности сравнивают заявленную обслуживающую сеть с известным местоположением по HLR. Трафик категории 1 просто отбрасывается и журналируется.
on inbound MAP message from interconnect peer P:
if opcode in CATEGORY_1: drop + alert # never valid across interconnect
if opcode in CATEGORY_2:
if P != subscriber.homeNetwork: drop + alert
if opcode in CATEGORY_3: # e.g. updateLocation, SRI-SM
if velocityImplausible(subscriber, P): drop + alert
if !consistentWithHLR(subscriber, P): drop + alert
else: allow + logМногоуровневая защита
Ни одна отдельная мера недостаточна. Фильтрация FS.11 дополняется рекомендациями FS.19, эквивалентными для Diameter в LTE, и мерами SMS-межсетевого экрана (GSMA IR.70/взаимодействие SMS) против спама и серых маршрутов. Операторы сочетают сигнальный межсетевой экран с непрерывным мониторингом, чтобы новые шаблоны, проходящие статические правила, всё же всплывали как аномалии. Стратегическое смягчение именно для перехвата SMS — снижение зависимости от SMS OTP, но для сетей, которые обязаны их нести, фильтрация на границе остаётся основной защитой.
Часто задаваемые вопросы
Почему SS7 небезопасен?
SS7 создавался для небольшого доверенного круга операторов и так и не добавил аутентификацию источника сообщений. Как только доступ к межсетевому соединению стал широко доступным, злоумышленник, способный отправлять сообщения SS7, мог выдать себя за легитимную сеть и получать ответы на запросы MAP или действия по ним — без доступа к целевому аппарату.
Каковы категории GSMA FS.11?
FS.11 сортирует входящие сообщения MAP по легитимному источнику. Категория 1 никогда не должна пересекать межсетевое соединение и блокируется. Категория 2 должна приходить только из домашней сети абонента и блокируется в противном случае. Категория 3 может приходить из посещаемой сети, поэтому ей нужны проверки правдоподобия и скорости, а не прямая блокировка.
Как межсетевой экран SS7 останавливает перехват SMS?
Он проверяет операции SendRoutingInfoForSM и UpdateLocation, которыми злоумышленники перенаправляют MT-SMS. Он сверяет источник с отношением домашняя/посещаемая сеть, применяет проверки скорости, чтобы абонент не мог появиться в двух удалённых странах одновременно, и отбрасывает неправдоподобный трафик или трафик категории 1.
Что такое проверка скорости?
Проверка скорости (или правдоподобия) сравнивает вновь заявленное местоположение абонента с его последним известным местоположением и временем между ними. Если предполагаемое перемещение физически невозможно — например, роуминговые обновления с двух континентов с разницей в секунды — сообщение считается поддельным и блокируется.
Заменяет ли межсетевой экран SS7 отказ от SMS OTP?
Нет — он снижает риск, но не устраняет его. Фильтрация на границе — основная защита для сетей, которые обязаны нести SMS OTP, но сильнейшее смягчение против перехвата — снизить зависимость от одноразовых паролей на основе SMS там, где доступен более сильный фактор.
Технические характеристики источника
На этой странице представлены опубликованные стандарты, на которых они основаны. (Открывается в новой вкладке)