MOBILBIZTONSÁG AUTENTIKÁCIÓ
Készítette: Czuper László & Bagosi Antal
2007.11.20.
BEVEZETÉS A GSM megalkotói többszintő védelmi rendszert dolgoztak ki az elıfizetık személyiségének védelme érdekében.
A biztonság védelmi szintje SIM (Subscriber Identity Modul): Ezen a kártyán egy mikroprocesszor gondoskodik arról, hogy a kártyát csak jogos tulajdonosa használhassa, továbbá a GSM hálózattal együttmőködve ellenırzi a SIM kártya jogosultságát a kért szolgáltatás igénybevételére.
Minden SIM kártya egyedi, ez az egyediség garantálja, az előfizető igazi védelmét. Az ő nevében más SIM kártyával a hálózatba való bejelentkezés nem lehetséges. (Tehát lehetetlen más számlájára beszélgetni.)
•
•
A SIM kártyán két fontos adat szerepel (IMSI, KI).
IMSI (International Mobile Subscriber Identity): 15 számjegy hosszú úgynevezett nemzetközi mobil előfizető azonosító.
A Készülék minden bekapcsoláskor beküldi a hálózatnak az IMSI-t. Ez alapján határozódik meg a , hogy melyik ország melyik hálozatának előfizetője jelentkezett be.
TMSI (Temporary Mobile Subscriber Identity): Ideiglenes mobil előfizetői azonosító. Amikor bejelentkezik egy mobil készülék a vendéglátó hálózat lekérdezi a honos hálózattól az előfizető jogait.(hogy milyen szolgáltatásokra jogosult). Ez mondhatjuk úgy is hogy egy „ állnevet kap ”. Ez az álnév sem állandó, hanem a mobiltelefon mozgásakor bizonyos szabályok szerint lokációs területenként változó. Így a kívülálló számára lehetetlen megfigyelni a SIM kártya (vagyis az elıfizetı) mozgását, összerendelni azt a beszélgetık személyével.
KI (Az előfizető autentikációs kulcsa) : 32 hexadecimális karakter hosszú kulcs. A legbiztonságosabban védett kód a GSM rendszerben. A Ki kulcs a SIM gyártásakor kerül a kártya memóriájába, a legyártott kártyák Ki kulcsai egy titkosított adatbázist képeznek és ez az adatbázis kerül a GSM központ autentikációs központjába (AuC). Az adatbázis titkosítására szolgáló kulcsok azonosak a SIM kártya gyártásánál használt programozó berendezésben és az autentikációs központban. Gyártáskor a programozó a Ki adatbázis titkosításakor csak a kulcs sorszámát adja meg, a kulcsot magát nem ismeri. Hasonló az eljárás a Ki adatbázisnak az autentikációs központba való bevitelénél, itt is csak a titkosító kulcs sorszámát kell megadni. A Ki tehát sehol sem olvasható "tiszta" formában, és nem is manipulálható. A SIM kártyán szereplő KI kulcs sem hozzáférhető, a mobil és a kártya közötti adat-cserében soha semmilyen formában nem vesz részt.
PIN (Personal Identity Number) A SIM kártyát 4-8 számjegy hosszúságú kód védi az illetéktelen felhasználástól. Ezt a kódot a készülék bekapcsolása után kell bebillentyőzni ahhoz, hogy a mobil állomásról hívást lehessen kezdeményezni. (A nemzetközileg elfogadott 112-es hívószámról SIM nélkül is lehet segélykérı hívást indítani.) Ha a beadott kód nem egyezik meg a SIM kártyán tárolt számmal, újból kell próbálkozni. Három egymást követı sikertelen kísérlet után a kártya blokkolt állapotba kerül. (A PIN kód bekérését le lehet tiltania mobiltelefon billentyőzetén keresztül) A PIN kódnak beállított kezdeti értéke van, amit célszerő egyéni kódra módosítani. Új PIN kódot csak a régi kód ismeretében lehet választani.
PUK (PIN Unblocking Key) A leblokkolt SIM kártyát feloldani csak a kártyához rendelt nyolc számjegyő PUK segítségével lehet. A PUK kód alkalmas arra is, hogy a kártyának új PIN kódot adjunk a régi ismerete nélkül. ( Ezt a kulcsot is megkapja minden előfizető.)
ADM (Adminnistrative): Az ADM kód az operátor tulajdona. ( Ezt a kulcsot nem kapja meg az előfizető. ) A PUK kód modosítása ezen kód segítségével történik.
ID (Identity) A SIM kártya egyedi azonosítója. A SIM kártyához rendelt PIN, PUK, ADM kódokat a kártya egyedi azonosítója és egy, csak a gyártó által ismert kulcs felhasználásával generálják a DES algoritmus segítségével: PIN=DES(ID, KPIN) PUK=DES(ID, KPUK) ADM=DES(ID, KADM)
IMEI (International Mobile Equipment Identity) Minden GSM mobiltelefon készüléknek egyedi azonosítója van, a 15 számjegy hosszú szám. Az elsı 6 digit jelölése TAC (Tipe Approaval Code), ez a készülék típusengedélyének azonosítója. A következı 2 számjegy jele FAC (Final Assembley Code) a gyártás helyét jelöli. A további 6 számjegy SNR (Serial Number) a gyártási sorszám. Az utolsó digit pedig SP (Spare) úgynevezett „ tartalék ” ellenőrző érték. A TAC, FAC kódokat mindössze hat erre a célra létrehozott laboratórium jogosult kiadni igazolva azt, hogy az ellenırzött típus megfelel a GSM elıírásoknak. Az IMEI a legtöbb készülék kijelzı egységén is megjeleníthetı. *#06#
EIR (Equipment Identity Register): Olyan számítógépes adatbázis, amelyben négy különbözı listán (fekete,szürke,fehér,ismeretlen)IMEI számok szerepelnek. Az IMEI számot a mobil telefon minden bekapcsolást követıen és minden kapcsolat felépítésekor (hívás kezdeményezéskor és fogadáskor) beküldi a hálózatnak ellenırzés céljából.
Az ellenırzés folyamata FEKETE LISTA: A beküldött a IMEI számot a fekete listával hasonlítja össze. Amennyiben az IMEI szerepel a fekete listán, a kapcsolat felépítése megszakad függetlenül attól, hogy a mobilról kezdeményezték a hívást, vagy azt hívták. SZÜRKE LISTA: A beküldött IMEI számot a szürke listával hasonlítja össze. Amennyiben az IMEI szerepel a szürke listán a készülékkel lehet telefonálni, de feljegyzés készül az eseményrıl. (IMEI, IMSI, idıpont, lokációs azonosító).
FEHÉR LISTA: A beküldött IMEI számot a fehér listával hasonlítja össze. Amennyiben az IMEI első nyolc számjegye szerepel a fehér listán a készülékkel lehet telefonálni. ISMERETLEN LISTA: Amennyiben a beküldött IMEI szám egyik listán sem szerepel. Az ismeretlen típussal szemben ugyanaz a szabály érvényes, mintha fekete listán szerepelne a készülék. Erről a tiltásról a hálózat operátora ideiglenes felmentést adhat.
A korszerű mobil telefonok elektronikus zárkóddal rendelkeznek. Ez a kód a PIN kódhoz hasonló, de a SIM kártya helyett magát a készüléket védi az illetéktelen próbálkozóval szemben, ugyanis bekapcsoláskor a mobil bekéri ezt az azonosítót. Ismerete nélkül a készülék nem használható. Három sikertelen kísérlet után a telefon blokkolt állapotba kerül. Ez a kód az eltulajdonítás ellen is véd. A blokkolt készülék csak egy zárfeloldó kód segítségével hozható működőképes állapotba, vagy ha ilyen nincs, akkor a szervíz segítségét kell kérni.
Az autentikáció célja és folyamata: A SIM kártya autentikáció célja kettős:
kizárni a szolgáltatásokhoz való illetéktelen hozzáférést továbbá biztosítani azt, hogy más nevében ne lehessen bejelentkezni, azaz más számlájára ne lehessen telefonálni.
Az autentikáció minden bekapcsoláskor és minden hívásfelépítéskor (ezalól van kivétel) megtörténik. Az előfizető honos hálózata (AuC) kisorsol egy 128 bites RAND véletlen számot, amit kiküld a mobil telefonon keresztül a SIM kártyának. A SIM kártya és az AuC is elvégezik ugyanazt a számítási műveletet, amelynek bemeneti paraméterei a Ki és a RAND. Az eredmény egyik részét, a 32 bit hosszúságú SRES (Sign RESponse) eredményt, a mobil visszaküldi a hálózatnak.
Ha a mobil által beküldött eredmény egyezik a központban ugyanazon KI és RAND alapján kapott SRES eredménnyel, akkor az autentikáció sikeres, és az ellenőrzés a már említett IMEI kontrollal folytatódik. A honos előfizetői SIM kártya és az AuC is ugyanazt az uatentikációs algoritmust használja, de különböző hálózatoknak nem kötelező azonos algoritmust használni. Egy előfizető nevében csak akkor tudunk telefonálni, ha le tudjuk másolni SIM kártyáját. A SIM másolása a GSM szakértők mai tudása szerint nem lehetséges. A számítási eredmény másik eleme a 64 bit hosszú Kc (Ciphering key), az úgynevezett titkosító kulcs, amit a beszéd, adat vagy fax üzenet titkosítására használnak.
www.numberingplans.com
Köszönjük a figyelmet !
