IMSI catcher
[!toc] Table of Contents
Un IMSI catcher, aussi appelé Cell-Site Simulator ou “Stingray”, est un dispositif de surveillance qui « se fait passer pour une antenne-relais légitime, en trompant les téléphones dans un certain rayon pour qu’ils se connectent à l’appareil plutôt qu’à une antenne » 1.
En général, les télécommunications standard fonctionnent comme suit :
- Les terminaux, comme ton téléphone, se connectent à l’antenne-relais dont le signal est le plus fort.
- À la réception d’une demande de ton appareil, l’antenne effectue une « Identity Request »
- Ton appareil s’authentifie ensuite avec son IMSI + IMEI, et reçoit un TMSI de l’antenne.
Les IMSI catchers abusent de ce mécanisme pour suivre la localisation de téléphones mobiles et collecter des données d’appareils proches à l’insu des personnes utilisatrices.
On peut faire une distinction approximative entre les IMSI catchers passifs et actifs :
-
Les IMSI catchers passifs attendent simplement que les clients tentent de s’authentifier avec leurs identifiants auprès de l’antenne-relais. Cela permet, par exemple, de collecter des informations détaillées sur qui est présent à une manifestation, ou combien de personnes sont présentes. Les clients ne remarquent pas la tromperie à cause du protocole GSM.
-
Les IMSI catchers actifs ne se contentent pas d’attendre la demande de synchronisation du client. Ils attribuent plutôt à ton appareil un TMSI (comparable à une IP locale) et établissent une connexion légitime avec une vraie antenne-relais au nom de l’appareil. Cela permet de mener de véritables « attaques Homme du milieu (MITM) ».
Quelle faille de sécurité est exploitée ici ?
Le problème se situe dans l’authentification entre le téléphone et l’antenne-relais. Le téléphone doit s’authentifier auprès de l’antenne (comme montré ci-dessous) avec ses identifiants uniques (IMSI, IMEI) pour prouver qu’il a le droit d’utiliser le réseau mobile.
Cependant, l’antenne-relais ne s’authentifie pas auprès du téléphone. Le téléphone ne peut donc jamais savoir avec certitude s’il communique vraiment avec une antenne commerciale normale ou avec un clone exploité par les autorités.
IMSI catcher actif - système
Pourquoi la communication entre le téléphone et la police est-elle non chiffrée ?
La réponse se trouve dans la vulnérabilité du protocole de communication pendant l’authentification décrite ci-dessus. En suivant certaines étapes, l’IMSI catcher peut forcer le téléphone à utiliser une ancienne norme de téléphonie mobile (généralement la 2G) pendant le processus d’authentification. Ce déclassement est possible afin d’utiliser l’infrastructure 2G existante dans les situations où les normes modernes (3G/4G) ne fournissent pas de réception. La 2G est souvent un peu plus robuste en matière de couverture territoriale que les normes plus modernes. En revanche, la norme 2G est obsolète depuis longtemps et n’est pas recommandée pour des raisons de sécurité. En plus des agences gouvernementales, des particuliers peuvent très rapidement déchiffrer des communications 2G « chiffrées » et les lire/écouter. Pour cette raison, nous considérons cette communication comme « non chiffrée » en pratique.
[!technical] Why is communication between police and mobile phone cells encrypted?
To counteract so-called “eavesdropping,” i.e., being listened in on, the cell-phone towers of the new standards only accept communications that have been encrypted with their respective standard. To ensure that your phone does not notice that it is actually connected to a malicious tower, the IMSI catcher must also establish a real working connection to the legitimate mobile network. To do this, it must re-encrypt the connection to the cell-phone tower.
Menaces pratiques
[!warning] This means: {static}
- Cell phones with private SIM cards and IMEI numbers can be identified and located
- “Anonymous” SIM cards and cell phones are not necessarily anonymous
Il faut noter que cela pose un risque potentiel si un téléphone mobile « anonyme » est réutilisé. En lien avec les demandes sur les cellules radio, il peut être possible de créer et de contextualiser des profils de déplacement de ces appareils.
Un scénario d’exemple potentiel pourrait ressembler à ceci :
Tu utilises ton téléphone d’action lors de plusieurs actions/manifestations, de préférence dans différentes villes ou régions. Pendant ces manifestations, toi (et donc ton IMSI+IMEI) apparais plusieurs fois dans des demandes sur les cellules radio. Au début, personne ne peut faire grand-chose de cette information, sauf dire que cet appareil était présent à tous ces événements. Cependant, tu pourrais passer devant des IMSI catchers lors d’autres manifestations et être contrôlé·e ou filmé·e. Avec le temps, cela pourrait établir une corrélation entre toi et l’appareil.
Le matériel pour les IMSI catchers professionnels en Allemagne et dans les environs vient généralement de Rhode&Schwarz. Leurs appareils sont connus et populaires dans le monde entier, pas seulement auprès des forces de l’ordre. Cette technologie de pointe est aussi chère en conséquence, avec des prix à 4 ou 5 chiffres.
Cependant, de simples IMSI catchers passifs peuvent aussi être mis en place avec des dongles SDR à ~25 € (radios logicielles). Ils peuvent seulement lire le trafic existant, mais pas mettre en place une fausse cellule radio ni mener de véritables attaques MITM.
Recommandation
Nous recommandons de lire cet article de l’Electronics Frontier Foundation, qui présente Rayhunter. Un logiciel qui peut être flashé sur certains types de routeurs mobiles pour détecter les IMSI-Catchers présents.
Sources
- https://www.eff.org/wp/gotta-catch-em-all-understanding-how-imsi-catchers-exploit-cell-networks
- Présentation SnoopSnitch : https://media.ccc.de/v/ber15-5-detecting_imsi-catchers_and_other_mobile_network_attacks, même si l’appli elle-même ne fonctionne pas.