syssec-kaist/ltesnifferأداة تنصت مفتوحة المصدر على الوصلة الهابطة/الصاعدة لشبكات LTE
LTESniffer هي أداة تنصت مفتوحة المصدر على الروابط الصاعدة والهابطة لشبكات LTE.
تقوم أولاً بفك تشفير قناة التحكم في الوصلة الهابطة الفعلية (PDCCH) للحصول على معلومات التحكم في الوصلة الهابطة (DCIs) ومعرفات الشبكة الراديوية المؤقتة (RNTIs) لجميع المستخدمين النشطين. باستخدام DCIs وRNTIs التي تم فك تشفيرها، تقوم LTESniffer كذلك بفك تشفير قناة المشاركة في الوصلة الهابطة الفعلية (PDSCH) وقناة المشاركة في الوصلة الصاعدة الفعلية (PUSCH) لاسترجاع حركة البيانات في الوصلة الصاعدة والهابطة.
تدعم LTESniffer واجهة برمجة تطبيقات (API) بثلاث وظائف لأبحاث وتطبيقات الأمن السيبراني. تفترض الكثير من أبحاث أمن LTE وجود أداة تنصت سلبية قادرة على التقاط حزم بيانات الخصوصية عبر الهواء. ومع ذلك، لا تفي أي من أدوات التنصت مفتوحة المصدر الحالية بمتطلباتها لأنها لا تستطيع فك تشفير حزم البروتوكول في PDSCH وPUSCH. قمنا بتطوير واجهة برمجة تطبيقات أمنية كإثبات للمفهوم تدعم ثلاث مهام اقترحتها الأبحاث السابقة: 1) تعيين الهوية، 2) جمع IMSI، و3) التنميط الوظيفي.
يرجى الرجوع إلى ورقتنا البحثية لمزيد من التفاصيل.
LTESniffer هي أداة يمكنها التقاط رسائل LTE اللاسلكية المرسلة بين محطة خلية والهواتف الذكية المتصلة بها. تدعم LTESniffer التقاط الرسائل في كلا الاتجاهين، من المحطة إلى الهواتف الذكية، ومن الهواتف الذكية إلى المحطة الخلوية.
لا يمكن لـ LTESniffer فك تشفير الرسائل المشفرة بين محطة الخلية والهواتف الذكية. يمكن استخدامها لتحليل الأجزاء غير المشفرة من الاتصال بين محطة الخلية والهواتف الذكية. على سبيل المثال، بالنسبة للرسائل المشفرة، يمكن للمستخدم تحليل الأجزاء غير المشفرة، مثل الرؤوس في طبقات MAC والطبقة الفيزيائية. ومع ذلك، يمكن تحليل تلك الرسائل المرسلة كنص عادي بشكل كامل. على سبيل المثال، رسائل البث التي ترسلها محطة الخلية، أو الرسائل في بداية الاتصال، تكون مرئية بالكامل.
الغرض الرئيسي من LTESniffer هو دعم أبحاث الأمن والتحليل على الشبكة الخلوية. نظرًا لجمع بيانات المستخدم في الوصلة الصاعدة والهابطة، يجب أن يتبع أي استخدام لـ LTESniffer اللوائح المحلية المتعلقة بتنصت حركة مرور LTE. نحن لسنا مسؤولين عن أي أغراض غير قانونية مثل جمع معلومات خصوصية المستخدم عن قصد.
LTESniffer-record-subframe وملف README الخاص به لمزيد من التفاصيل.LTESniffer-multi-usrp وملف README الخاص به لمزيد من التفاصيل.تم تطوير LTESniffer فوق FALCON بمساعدة مكتبة srsRAN. تدعم LTESniffer ما يلي:
حاليًا، تعمل LTESniffer بشكل مستقر على Ubuntu 18.04/20.04/22.04.
يتطلب تحقيق فك التشفير اللحظي لحركة مرور LTE معالجًا عالي الأداء بعدة أنوية فيزيائية، خاصة خلال ساعات الذروة عندما يكون لدى المحطة القاعدية العديد من المستخدمين النشطين. نجحت LTESniffer في تحقيق فك التشفير اللحظي عند نشرها على جهاز كمبيوتر Intel i7-9700K، حيث قامت بفك تشفير حركة المرور من محطة قاعدة بها 150 مستخدمًا نشطًا.
يوصى بالأجهزة التالية
تتطلب LTESniffer أجهزة SDR مختلفة لوضعي التنصت على الوصلة الصاعدة والهابطة.
لتنصت حركة الوصلة الهابطة فقط من المحطة القاعدية، تكون LTESniffer متوافقة مع معظم أجهزة SDR التي تدعمها مكتبة srsRAN (مثل USRP أو BladeRF). يجب توصيل SDR بالكمبيوتر عبر منفذ USB 3.0. بالإضافة إلى ذلك، يجب أن تكون مزودة بهوائيي استقبال لفك تشفير رسائل الوصلة الهابطة في وضعي الإرسال 3 و4. إذا كان جهاز SDR الخاص بك يحتوي على هوائي استقبال واحد فقط، فستقوم LTESniffer بفك تشفير رسائل الوصلة الهابطة فقط في وضع الإرسال 1. لاحظ أن GPSDO اختياري لتنصت الوصلة الهابطة؛ سيساعد في تحسين المزامنة ولكنه ليس إلزاميًا.
من ناحية أخرى، لتنصت حركة الوصلة الصاعدة من الهواتف الذكية إلى المحطات القاعدية، تحتاج LTESniffer إلى الاستماع إلى ترددين مختلفين (الوصلة الصاعدة والهابطة) بشكل متزامن. لحل هذه المشكلة، تدعم LTESniffer خيارين:
main لـ LTESniffer.LTESniffer-multi-usrp لـ LTESniffer وملف README الخاص به.ملاحظة مهمة: لتجنب الأخطاء غير المتوقعة، يرجى اتباع الخطوات التالية على Ubuntu 18.04/20.04/22.04.
الاعتماديات
اعتماديات UHD:
sudo apt update
sudo apt-get install autoconf automake build-essential ccache cmake cpufrequtils doxygen ethtool \
g++ git inetutils-tools libboost-all-dev libncurses5 libncurses5-dev libusb-1.0-0 libusb-1.0-0-dev \
libusb-dev python3-dev python3-mako python3-numpy python3-requests python3-scipy python3-setuptools \
python3-ruamel.yaml
استنساخ وبناء UHD من المصدر (تأكد من أن الفرع الحالي أعلى من 4.0)
git clone https://github.com/EttusResearch/uhd.git
cd <uhd-repo-path>/host
mkdir build
cd build
cmake ../
make -j 4
make test
sudo make install
sudo ldconfig
تنزيل البرامج الثابتة لأجهزة USRP:
sudo uhd_images_downloader
نستخدم بطاقة 10Gb لتوصيل USRP X310 بالكمبيوتر، راجع دليل UHD [1]، [2] لتكوين USRP X310 وواجهة بطاقة 10Gb. بالنسبة لـ USRP B210، يجب توصيله بالكمبيوتر عبر منفذ USB 3.0.
اختبر الاتصال والبرامج الثابتة (لـ USRP X310 فقط):
sudo sysctl -w net.core.rmem_max=33554432
sudo sysctl -w net.core.wmem_max=33554432
sudo ifconfig <10Gb card interface> mtu 9000
sudo uhd_usrp_probe
sudo apt-get install build-essential git cmake libfftw3-dev libmbedtls-dev libboost-program-options-dev libconfig++-dev libsctp-dev
sudo apt-get install libglib2.0-dev libudev-dev libcurl4-gnutls-dev libboost-all-dev qtdeclarative5-dev libqt5charts5-dev
بناء LTESniffer من المصدر:
git clone https://github.com/SysSec-KAIST/LTESniffer.git
cd LTESniffer
mkdir build
cd build
cmake ../
make -j 4 (استخدم 4 خيوط)
لدى LTESniffer 3 وظائف رئيسية:
بعد البناء من المصدر، يوجد LTESniffer في <build-dir>/src/LTESniffer
لاحظ أنه قبل استخدام LTESniffer على الشبكات التجارية، يجب على المرء التحقق من اللوائح المحلية المتعلقة بتنصت حركة مرور LTE، كما أوضحنا في قسم الاعتبارات الأخلاقية.
لمعرفة المحطة القاعدية ونطاق الوصلة الصاعدة/الهابطة المتصل بها الهاتف الذكي الاختباري، قم بتثبيت تطبيق Cellular-Z على الهاتف الذكي الاختباري (يدعم التطبيق Android فقط). سيعرض معرف الخلية ونطاق/تردد الوصلة الصاعدة/الهابطة التي يتصل بها الهاتف الذكي الاختباري. تأكد من أن LTESniffer تتصل أيضًا بنفس الخلية والتردد.
sudo ./<build-dir>/src/LTESniffer -A 2 -W <عدد الخيوط> -f <تردد DL> -C -m 0
مثال: sudo ./src/LTESniffer -A 2 -W 4 -f 1840e6 -C -m 0
-A: عدد الهوائيات
-W: عدد الخيوط
-f: تردد الوصلة الهابطة
-C: تشغيل البحث عن الخلية
-m: وضع التنصت، 0 لتنصت الوصلة الهابطة و1 لتنصت الوصلة الصاعدة
ملاحظة: لتشغيل LTESniffer مع USRP B210 في وضع الوصلة الهابطة، أضف الخيار -a "num_recv_frames=512" إلى سطر الأوامر.
يعمل هذا الخيار على توسيع مخزن الاستقبال USRP B210 لتحقيق مزامنة أفضل.
sudo ./<build-dir>/src/LTESniffer -A 2 -W <عدد الخيوط> -f <تردد DL> -C -m 0 -a "num_recv_frames=512"
مثال: sudo ./src/LTESniffer -A 2 -W 4 -f 1840e6 -C -m 0 -a "num_recv_frames=512"
ملاحظة: في وضع تنصت الوصلة الصاعدة، يجب وضع الهواتف الذكية الاختبارية بالقرب من أداة التنصت، لأن إشارة الوصلة الصاعدة من UE أضعف بكثير مقارنة بإشارة الوصلة الهابطة من المحطة القاعدية.
sudo ./<build-dir>/src/LTESniffer -A 2 -W <عدد الخيوط> -f <تردد DL> -u <تردد UL> -C -m 1
مثال: sudo ./src/LTESniffer -A 2 -W 4 -f 1840e6 -u 1745e6 -C -m 1
-u: تردد الوصلة الصاعدة
sudo ./<build-dir>/src/LTESniffer -A 2 -W <عدد الخيوط> -f <تردد DL> -u <تردد UL> -C -m 1 -z 3
مثال: sudo ./src/LTESniffer -A 2 -W 4 -f 1840e6 -u 1745e6 -C -m 1 -z 3
-z: 3 لتشغيل 3 وظائف لأداة التنصت، وهي تعيين الهوية، جمع IMSI، وتنميط UECapability.
2 لتنميط UECapability
1 لجمع IMSI
0 لتعيين الهوية
يمكن لـ LTESniffer التنصت على محطة قاعدة محددة باستخدام الخيارات -I <معرف الخلية الفيزيائي (PCI)> -p <عدد كتل الموارد الفيزيائية (PRB)>. في هذه الحالة، لا تقوم LTESniffer بالبحث عن الخلية بل تتصل مباشرة بالخلية المحددة.
sudo ./<build-dir>/src/LTESniffer -A 2 -W <عدد الخيوط> -f <تردد DL> -I <PCI> -p <PRB> -m 0
sudo ./<build-dir>/src/LTESniffer -A 2 -W <عدد الخيوط> -f <تردد DL> -u <تردد UL> -I <PCI> -p <PRB> -m 1
مثال: sudo ./src/LTESniffer -A 2 -W 4 -f 1840e6 -u 1745e6 -I 379 -p 100 -m 1
يمكن تفعيل وضع التصحيح باستخدام الخيار -d. في هذه الحالة، ستتم طباعة رسائل التصحيح على الطرفية.
توفر LTESniffer ملفات pcap في المخرجات. يمكن فتح ملف pcap بواسطة WireShark لمزيد من التحليل وتتبع الحزم.
اسم ملف pcap للوصلة الهابطة: sniffer_dl_mode.pcap، وملف pcap للوصلة الصاعدة: sniffer_ul_mode.pcap، وملف pcap لواجهة API: api_collector.pcap.
توجد ملفات pcap في نفس الدليل الذي تم تنفيذ LTESniffer منه.
لتمكين WireShark من تحليل الحزم التي تم فك تشفيرها بشكل صحيح، يرجى الرجوع إلى دليل تكوين WireShark هنا. توجد أيضًا بعض الأمثلة لملفات pcap في الرابط.
ملاحظة: يحتوي ملف pcap للوصلة الصاعدة على رسائل الوصلة الصاعدة والهابطة معًا. في WireShark، استخدم عامل التصفية هذا لمراقبة رسائل الوصلة الصاعدة فقط: mac-lte.direction == 0؛ أو عامل التصفية هذا لمراقبة رسائل الوصلة الهابطة فقط: mac-lte.direction == 1.
النطاق الفعال لتنصت الوصلة الصاعدة محدود في LTESniffer بسبب قدرة الواجهة الأمامية RF للأجهزة (أي SDR). إشارة الوصلة الصاعدة من UE أضعف بكثير مقارنة بإشارة الوصلة الهابطة لأن UE هو جهاز محمول يعمل على تحسين استخدام البطارية، بينما تستخدم eNB طاقة كافية لتغطية منطقة كبيرة. لالتقاط حركة الوصلة الصاعدة بنجاح، يمكن لـ LTESniffer زيادة قوة الإشارة عن طريق i) التواجد فيزيائيًا بالقرب من UE، أو ii) تحسين قدرة استقبال الإشارة باستخدام أجهزة متخصصة، مثل هوائي اتجاهي، وواجهة أمامية RF مخصصة، ومضخم إشارة.
وضع تنصت الوصلة الهابطة
Processed 1000/1000 subframes: عدد الإطارات الفرعية التي تمت معالجتها بواسطة LTESniffer في آخر ثانية. هناك 1000 إطار فرعي LTE في الثانية حسب التصميم.
RNTI: معرف الشبكة الراديوية المؤقت لأجهزة UE.
Table: أقصى مخطط تعديل تستخدمه الهواتف الذكية في الوصلة الهابطة. تدعم LTESniffer حتى 256QAM في الوصلة الهابطة. راجع ورقتنا لمزيد من التفاصيل.
Active: عدد الرسائل المكتشفة لـ RNTIs.
Success: عدد الرسائل التي تم فك تشفيرها بنجاح مقابل عدد الرسائل المكتشفة (Active).
New TX, ReTX, HARQ, Normal: إحصائيات الرسائل الجديدة والرسائل المعاد إرسالها. هذه الوظيفة قيد التطوير.
W_MIMO, W_pinfor, Other: عدد الرسائل ذات التكوين الراديوي الخاطئ، لأغراض التصحيح فقط.
وضع تنصت الوصلة الصاعدة
Max Mod: أقصى مخطط تعديل تستخدمه الهواتف الذكية في الوصلة الصاعدة. يمكن أن يكون 16/64/256QAM حسب دعم الهواتف الذكية وتكوين الشبكة. راجع ورقتنا لمزيد من التفاصيل.
SNR: نسبة الإشارة إلى الضوضاء (ديسيبل). انخفاض SNR يعني أن جودة إشارة الوصلة الصاعدة من الهاتف الذكي سيئة. قد يكون السبب المحتمل هو أن الهاتف الذكي بعيد عن أداة التنصت.
DL-UL_delay: متوسط التأخير الزمني بين إشارة الوصلة الهابطة من المحطة القاعدية وإشارة الوصلة الصاعدة من الهاتف الذكي.
Other Info: معلومات لأغراض التصحيح فقط.
وضع API
Detected Identity: اسم الهوية المكتشفة.
Value: قيمة الهوية المكتشفة.
From Message: اسم الرسالة التي تحتوي على الهوية المكتشفة.
نقدر حقًا فريق FALCON وفريق SRS لإتاحة برامجهم الرائعة.
شكر خاص لجميع المساهمين الذين ساعدونا في إصلاح الأخطاء وتحسين LTESniffer
يرجى الرجوع إلى ورقتنا البحثية لمزيد من التفاصيل.
@inproceedings{hoang:ltesniffer,
title = {{LTESniffer: An Open-source LTE Downlink/Uplink Eavesdropper}},
author = {Hoang, Dinh Tuan and Park, CheolJun and Son, Mincheol and Oh, Taekkyung and Bae, Sangwook and Ahn, Junho and Oh, BeomSeok and Kim, Yongdae},
booktitle = {16th ACM Conference on Security and Privacy in Wireless and Mobile Networks (WiSec '23)},
year = {2023}
}
س: هل من الضروري استخدام GPSDO مع USRP لتشغيل LTESniffer؟
ج: GPSDO مفيد لمزامنة أكثر استقرارًا. ومع ذلك، بالنسبة لوضع تنصت الوصلة الهابطة، لا تزال LTESniffer قادرة على المزامنة مع إشارة LTE لفك تشفير الحزم بدون GPSDO. بالنسبة لوضع تنصت الوصلة الصاعدة، فإن GPSDO مطلوب فقط عند استخدام جهازي USRP من السلسلة B، حيث أنه مصدر الوقت والساعة المرجعي للمزامنة بين قناتي الوصلة الصاعدة والهابطة. خيار SDR الآخر للوصلة الصاعدة، باستخدام USRP X310 واحد، لا يتطلب GPSDO.
س: بالنسبة لحركة الوصلة الهابطة، هل يمكنني استخدام SDR أرخص؟
ج: من الناحية الفنية، يمكن استخدام أي أجهزة SDR مدعومة من مكتبة srsRAN مثل Blade RF لتشغيل LTESniffer في وضع تنصت الوصلة الهابطة. ومع ذلك، قمنا فقط باختبار وظيفة تنصت الوصلة الهابطة لـ LTESniffer مع USRP B210 وX310.
س: هل استخدام LTESniffer لتنصت حركة مرور LTE غير قانوني؟
ج: يجب عليك التحقق من اللوائح المحلية المتعلقة بتنصت حركة مرور LTE (غير المشفرة). طريقة أخرى لاختبار LTESniffer هي إعداد شبكة LTE شخصية باستخدام srsRAN - تطبيق LTE مفتوح المصدر في قفص فاراداي.
س: هل يمكن استخدام LTESniffer لعرض محتوى الرسائل بين مستخدمين؟
ج: يمكن رؤية فقط الجزء "غير المشفر" من الرسائل. لاحظ أن حركة المرور الجوية بين المحطة القاعدية والمستخدمين تكون مشفرة في الغالب.
س: هل هناك أي هوية جهاز مكشوفة كنص عادي في شبكة LTE؟
ج: نعم، تظهر الأبحاث أن هناك هويات متعددة مكشوفة، مثل TMSI، GUTI، IMSI، وRNTI. يرجى الرجوع إلى الأبحاث الأكاديمية لمزيد من التفاصيل. على سبيل المثال Watching the Watchers: Practical Video Identification Attack in LTE Networks