-
Die
Erfindung betrifft ein Verfahren und eine Einrichtung zur Entdeckung
von virtuellen Basisstationen (VBTS) im GSM-Netz.
-
Der
im Patentanspruch angegebenen Erfindung liegt das Problem zugrunde,
das im GSM-Netz
zwar die Authentifikation des Teilnehmers gegenüber dem Netz vorgesehen ist
(u.a. für
die Ermittlung des Verbindungsentgeltes), der normale Teilnehmer
jedoch nicht die Echtheit des Netzes, genauer des Netzknotens über den
er kommuniziert, festzustellen vermag. Das ermöglicht den Angriff einer Mobilestation
durch eine sogenannte „Man-In-The-Middle-Attacke". Ein Angreifer imitiert
dazu teilnehmerseitig eine Basisstation und leitet die Verbindung
netzseitig mit einem Endgerät
in das Originalnetz (Funknetz) weiter. Ein solches Verfahren ist z.
B. aus der
DE 199
20 222 A1 bekannt.
-
Dies
stellt eine Gefährdung
der Vertraulichkeit der übertragenen
Informationen mittels Mobiltelefonen dar.
-
Die
Erfindung stellt sich daher die Aufgabe, eine zyklische Überprüfung sämtlicher
Basisstationen auf ihre Authentizität zu ermöglichen und eine vom Prüfergebnis
abhängige
Anzeige auszugeben.
-
Diese
Aufgabe wird hinsichtlich des Verfahrens durch die Merkmale des
Anspruchs 1–3
und hinsichtlich der zum Vollzug notwendigen Apparatur, durch die
Merkmale des Anspruchs 4 gelöst.
-
Die
Unteransprüche
2 bis 4 bilden die Erfindung vorteilhaft weiter aus.
-
Das
erfindungsgemäße, GSM
Monitoring (GMS) System genannte Verfahren, zur Entdeckung von virtuellen
Basisstationen (VBTS) im GSM-Netz, zeichnet sich durch die Fähigkeit
aus, dass es sämtliche
in der Umgebung empfangbaren Basisstationen (BTS) permanent überwacht.
-
Dazu
werden die statistischen Kennwerte der Pegel überwacht und durch Testverbindungen
(Location Update, LU) die Echtheit der BTS überprüft. Bei Abweichungen der gemessen
von den charakteristischen Werten wird eine Meldung, z.B. ein Alarm
ausgegeben; zusätzlich
ist eine Datenbank vorhanden in der alle bekannten BTS mit ihren
Ortsangaben sowie ihren Kennwerten abgelegt sind.
-
In
diesem Verfahren ist nur ein Testmobiltelefon (TMS) notwendig um
alle GSM-Netze beobachten und überprüfen zu können, ebenso
wie eine direkte Positionierung im zu schützenden Bereich nicht zwingend
erforderlich ist.
-
Die
erfindungsgemäße Einrichtung
wird zum Ausführen
des Verfahrens nach Anspruch 1 in der Nähe des zu schützende Bereiches
positioniert.
-
Vorteilsweise
kann das System auch in einer Form betrieben werden, bei der sich
lediglich mehrere TMS vor Ort befinden; die Anbindung der TMS an
einen zentralen Steuerrechner erfolgt dabei vorzugsweise über andere
Kommunikationsnetzwerke.
-
Durch
diese Variation des GMS können
leicht größere Bereiche überwacht
werden und es ist eine zentrale Administration der TMS möglich.
-
Die
Erfindung wird nachstehend in den schematischen 1 sowie 2 dargestellt
und in einem Ausführungsbeispiel
näher erläutert.
-
Es
zeigen:
-
die 1 – einen typischen Verbindungsweg
im GSM-Netz sowie eine Verbindung über eine VBTS
-
die 2 – ein Blockschaltbild des erfindungsgemäßen GSM-Monitoring
Systems (GMS)
-
Die
Beschreibung geht von einem Verfahren und einer Einrichtung dazu
aus, wie sie z.B. in der Offenlegungsschrift ist
DE 199 20 222 A1 zum Identifizieren
eines Mobiltelefonbenutzer oder zum Mithören seiner abgehenden Gespräche beschrieben
sind.
-
Die
GSM Monitoring System genannte Einrichtung besteht aus mindestens
einem TMS, was möglichst mit
einer separat abgesetzten Antenne, einer Datenverbindung zu einem
Steuerrechner, der mit einem Betriebssystem versehen ist und einem
Programm, welches nach den Vorgaben des erfindungsgemäßen Verfahrens
die Einrichtung steuert, ausgestattet sein soll.
-
Ein
Mobiltelefon 4 baut im Normalfall seine Funkverbindung über den
Verbindungsweg 10 zur BTS 1 auf. Von dort wird
sein Signal weiter gereicht über
die BSC 2 zur Vermittlungsstelle MSC 5. Hier wird
geprüft ob
es sich um eine Verbindung innerhalb des Mobilfunknetzes handelt,
oder ob ein Anschluss im Festnetz gewünscht wird. Bei einem Anschluss
zum Festnetz wird über
das GMSC 7 ins Festnetz weiter verbunden und dort entsprechend
weiter vermittelt. Bei einem Verbindungswunsch ins Mobilfunknetz
wird von der MSC 5 zu entsprechenden BTS 1 verbunden
und der gewünschte
Teilnehmer wird im zugehörigen
LAC 8, 9 von allen dort befindlichen BTS gerufen.
-
Um
ein Mobiltelefon 4 an eine VBTS 3 zu binden sind
bestimmte Voraussetzungen zu erfüllen.
Zum einen muss die VBTS 3 mit einer größeren Feldstärke vom
Mobiltelefon zu empfangen sein als die benutzte BTS 1.
Zum anderen muss diese VBTS 3 einen abweichenden Bereichscode
(LAC) 8 der zugehörigen
BTS 1 besitzen. Sind beide Bedingungen erfüllt bucht
sich ein Mobiltelefon 4 über den Verbindungsweg 11 zur
VBTS 3 um und die Parameter IMSI und IMEI werden mit der
VBTS 3 ausgetauscht. Wird das Mobiltelefon 4 nicht wieder
von der VBTS 3 abgewiesen, werden nachfolgend alle abgehenden
Verbindungen über
diese VBTS 3 geführt.
Für ankommende
Gespräche
ist das Mobiltelefon während
dieser Zeit für
das Originalnetz nicht erreichbar. Dargestellt wird dies in der 1.
-
Gemäß dem erfindungsgemäßen Verfahren
wird vom GMS das komplette GSM-Band nach BCCH-Trägern abgesucht. Als Ergebnis
ergibt sich eine Liste aller BCCH-Träger mit ihren Kennwerten, die
anschließend überwacht
und weiter analysiert werden. Parameter für diesen Vorgang ist ein Mindestpegel
der erreicht sein muss, damit der entsprechende Kanal in die Überwachung
aufgenommen wird.
-
Danach
findet eine Authentifizierung jeder einzelnen BTS statt. Die Authentifizierung
erfolgt dabei in mehreren Phasen. Für diesen Vorgang werden Informationen
aus den Steuerkanälen
der BTS gesammelt und ausgewertet.
-
In
einer ersten Phase werden dazu die Merkmale zur eindeutigen Identifikation
der BTS (PLMN, LAC, CI) gesammelt. Die wichtigsten Informationen
werden dabei beim Location Update ausgetauscht, denn während dieser
Prozedur wird der jeweilige Teilnehmer authentifiziert, identifiziert
und die Verschlüsselung
eingerichtet. Der Location Update (LU) dient im normalen Betrieb
dazu, dem Netz den aktuellen Aufenthaltsort der Mobilstation mitzuteilen,
damit ankommende Anrufe dorthin geroutet werden können. Er
wird immer durch die MS initiiert. Befindet sich die MS in Bewegung,
so löst
ein Wechsel der Location Area eine Aktualisierung aus. Befindet
es sich in Ruhe, d.h. es verlässt
die Location Area nicht, wird die Aktualisierung in periodischen
Zeitabständen
(T3212) wiederholt.
-
TMS
bieten eine dritte Möglichkeit
einen LU auszulösen,
der Vorgang kann mit ihnen erzwungen werden.
-
Während des
LU werden im Wesentlichen zwischen den BTS und dem MS Informationen
zur:
Identifizierung des Teilnehmers (IMSI, TMSI, IMEI),
Authentifizierung
der Teilnehmerdaten (SRES, RAND)
und Verschlüsselung
der Steuer- und Nutzkanäle
(Kc, Cipher Mode)
übertragen.
-
Bei
einem standardgemäßem LU wird
die TMSI in einer verschlüsselten
Verbindung übertragen.
Werden jedoch IMSI und IMEI in einer unverschlüsselten Verbindung abgefragt,
handelt es sich um eine VBTS.
-
Ist
die BTS als echt authentifiziert, werden nun Informationen für die BTS-Liste
(SysInfo 1 – 4,
SysInfo 13 nach ETSI 300 557 (GSM 04.08)) gesammelt, um sie gespeichert
in Datenbanken bei späteren
Messungen mit dem aktuellen Werten vergleichen zu können.
-
Ist
diese Phase abgeschlossen geht das GMS wieder in den Modus des HF-Monitorings über.
-
Das
HF-Monitoring macht sich die Tatsache zu eigen, das eine echte BTS
mit konstanter Sendeleistung arbeitet, während der Betrieb einer VBTS
wegen der Entdeckungsgefahr und der Störungen im Netz immer nur kurzzeitig
geschieht. Ein Stunden oder sogar Tage langer Sendebetrieb einer
VBTS ist nach dieser Annahme nicht zu erwarten.
-
Ein
VBTS-Betrieb geschieht unter Verwendung der Frequenz einer realen
BTS, die in den örtlichen BA-Listen
enthalten sein muss. Deren Pegel darf im Zielbereich des Angriffs
aber nicht sehr hoch sein, damit die VBTS mit einer ausreichenden
Pegelreserve den Pegel der realen BTS übersteigen kann, um überhaupt für Mobiltelefone
in der Umgebung attraktiv zu werden und ein Einbuchen zu ermöglichen.
Die Inbetriebnahme einer VBTS kann also im Spektrum detektiert werden.
-
Im
GMS sind für
das HF-Monitoring folgende statistische Merkmale realisiert:
das
des Mindestpegelkriteriums:
was sicherstellen soll, dass neu
entdeckte BTS (BCCH-Scan/Nachbarkanallisten) nur geprüft werden,
wenn die Pegel des BCCH so stark sind, das sich ein normales Mobiltelefon
einbuchen könnte
bzw. eine Authentifikation nicht an einem zu schwachem Pegel scheitern
würde;
das
des Pegel-Sprung-Kriteriums:
welches dazu dient, den Einschaltvorgang
einer VBTS detektieren zu können;
zyklische
Tests:
die stärksten
BTS (eine Schwelle kann manuell angepasst werden) werden in einem
wählbaren
zeitlichen Abstand nach der ersten Entdeckung Wiederholungsmessungen
unterzogen. Dadurch kann möglichst
frühzeitig erkannt
werden, ob sich eine VBTS hinter einem dieser Pegel einer echten
Basisstation verbirgt.
-
Implementierte
Datenbanken beinhalteten nachfolgend aufgeführte Daten, bzw. werden während des fortgeführten Monitorings
mit folgenden Informationen befüllt:
BTS-Liste:
hier
werden die authentifizierten BTS mit Kanalnummer, PLMN, LAI, CI,
Verschlüsselungsalgorithmus,
TA/Distanz, RxLevAccessMin, GPRS- und SMSCB-Indikator abgelegt.
Zusätzlich
wird Datum/Uhrzeit der ersten Authentifizierung gespeichert sowie
der Zeitpunkt der letzten Überprüfung. Eine
Auflistung der Daten wird in einer Benutzeroberfläche dargestellt,
die bei jedem Programmstart gelöscht
wird;
Standort-Datei: (*.clf) mit Wartungsfunktionen;
die
CI-LA-Files (*.clf) stellen einen Zusammenhang zwischen Cell ID,
Location Area und den tatsächlichen Standorten
(Ort, Straße,
Gebäude)
der einzelnen BTS her und werden im Verfahren nach Anspruch X zur Standortdarstellung
der BTS verwendet;
PLMN – Liste:
mit
dieser Liste wird eine Verknüpfung
zwischen der PLMN-Nummer, dem Netzbetreiber und der Anzeige im Display
des Mobiltelefons hergestellt.
-
Im
Alarmfall wird im Meldungsfenster eine Alarmmeldung mit Informationen
zum Netz, dem Originalstandort der Basisstation, der Distanz der
BTS zum Detektionssystem und verschiedenen Parametern wie Verschlüsselung,
GPRS, SMSCB, RxLevAccMin und 73212-Timer eingetragen. Zusätzlich ertönt ein akustisches Warnsignal
und ein zusätzliches
Alarmfenster wird eingeblendet. Hierin sind die gleichen Informationen
wie im Meldungsfenster eingetragen. Zusätzlich wird der Parameter,
der zur Alarmauslösung
geführt
hat, rot markiert. Informationen die im bisherigen Detektionsverlauf
noch nicht ermittelt werden konnten, werden mit ??? gekennzeichnet.
-
Eine
vorteilhafte Ausgestaltung der Erfindung ist im Patentanspruch 4
angegeben. Die Variation dieses System zentral zu betreiben und
lediglich die Sensoren (TMS) vor Ort zu installie ren ermöglicht es
größere Bereiche,
oder ganze Gebäudekomplexe
zu überwachen.
Dabei ist eine zentrale Administration der TMS möglich. Die Anbindung der TMS
an den zentralen Steuenechner erfolgt über drahtlose/ – gebundene
Kommunikationsnetzwerke erfolgen.
-
1
- 1
- BTS
- 2
- BSC
- 3
- VBTS
- 4
- Mobiltelfon
- 5
- MSC
- 6
- Register
- 7
- GMSC
- 8
- LAC
1
- 9
- LAC
2
- 10
- Verbindung
BTS-Mobiltelefon
- 11
- Verbindung
Mobiltelfon-VBTS
- 12
- Verbindung
VBTS-BTS
-
2
- 13
- Testmobiltelefon
- 14
- Kommunikation
und Abstraktion
- 15
- Datenbanken
- 16
- Messwerk/Controller
- 17
- Meldungsprotokoll
- 18
- Ausgabeeinheit
-
-
