금주의 공격: LTE(ReVoLTE)를 통한 음성 통화

번역가와 TL;DR로부터

1. TL; DR :

   VoLTE는 WEP를 사용하는 최초의 Wi-Fi 클라이언트보다 보호 수준이 훨씬 낮은 것으로 나타났습니다. 트래픽을 약간 XOR하고 키를 복원할 수 있는 독점적인 아키텍처 계산 오류입니다. 발신자와 가까이 있고 그가 자주 전화를 걸면 공격이 가능합니다.

2. 팁과 TL; DR에 감사드립니다. 클루코닌

3. 연구원들은 귀하의 이동통신사가 취약한지 확인하는 앱을 만들었습니다. 더 읽어보세요 여기에. 댓글로 결과를 공유하세요. Megafon의 내 지역에서는 VoLTE가 비활성화되어 있습니다.

Об авторе

매튜 그린.

저는 존스 홉킨스 대학의 암호학자이자 교수입니다. 저는 무선 네트워크, 결제 시스템, 디지털 콘텐츠 보안 플랫폼에 사용되는 암호화 시스템을 설계하고 분석했습니다. 저는 연구를 통해 암호화를 사용하여 사용자 개인 정보 보호를 향상하는 다양한 방법을 살펴봅니다.

오랜만에 포스팅 형식을 쓰네요 "금주의 공격", 그리고 그것은 나를 화나게 했습니다. 공격이 없었기 때문이 아니라, 대부분 나를 작가의 영역에서 벗어나게 할 만큼 널리 사용되는 것에 대한 공격이 없었기 때문입니다.

그런데 오늘 우연히 발견한 흥미로운 공격 특히 해킹에 관심이 있는 프로토콜, 즉 셀룰러 네트워크(voice over) LTE 프로토콜을 ReVoLTE라고 부릅니다. 저는 이러한 특정 프로토콜과 이 새로운 공격에 대해 매우 기대하고 있습니다. 왜냐하면 실제 셀룰러 네트워크 프로토콜과 구현이 해킹당하는 경우는 매우 드물기 때문입니다. 주로 이러한 표준은 연기가 가득한 방에서 개발되었으며 모든 연구자가 처리할 수 없는 12000페이지의 문서로 문서화되었기 때문입니다. 더욱이 이러한 공격을 구현하면 연구원은 복잡한 무선 프로토콜을 사용해야 합니다.

따라서 심각한 암호화 취약점은 전 세계적으로 확산될 수 있으며, 연구자가 알아차리기 전에 정부에 의해 악용될 수도 있습니다. 그러나 때때로 예외도 있는데, 오늘의 공격도 그 중 하나이다.

저자 공격기여자: Ruhr-University Bochum 및 New York University Abu Dhabi의 David Rupprecht, Katharina Kohls, Thorsten Holz 및 Christina Pöpper. 이는 아마도 이미 사용하고 있는 음성 프로토콜에 키를 다시 설치하는 훌륭한 공격입니다(아직도 휴대폰을 사용하여 전화를 거는 구세대 출신이라고 가정).

우선, 간단한 역사적 여행을 시작하십시오.

LTE와 VoLTE란 무엇인가요?

현대 휴대전화 표준의 기초는 80년대 유럽에서 표준에 의해 확립되었습니다. 모바일용 글로벌 시스템 (이동통신을 위한 글로벌 시스템). GSM은 최초의 주요 디지털 셀룰러 전화 통신 표준으로 다음과 같은 수많은 혁신적인 기능을 도입했습니다. 암호화 전화 통화를 보호하기 위해. 초기 GSM은 주로 음성 통신을 위해 설계되었습니다. 다른 데이터를 전송하다.

셀룰러 통신에서 데이터 전송이 더욱 중요해짐에 따라 이러한 유형의 통신을 간소화하기 위해 LTE(Long Term Evolution) 표준이 개발되었습니다. LTE는 GSM과 같은 이전 표준 그룹을 기반으로 합니다. EDGE и HSPA 데이터 교환 속도를 높이도록 설계되었습니다. 브랜딩도 많고 잘못된 명칭으로 인한 오해하지만 핵심은 LTE가 기존 패킷 데이터 프로토콜과 미래 셀룰러 데이터 기술 사이의 가교 역할을 하는 데이터 전송 시스템이라는 것입니다. 5G.

물론, 역사를 보면 일단 사용 가능한 (IP) 대역폭이 충분해지면 "음성" 및 "데이터"와 같은 개념이 흐려지기 시작할 것입니다. 최신 셀룰러 프로토콜에도 동일하게 적용됩니다. 이러한 전환을 보다 원활하게 하기 위해 LTE 표준은 다음을 정의합니다. 음성-LTE (VoLTE)은 셀룰러 네트워크의 전화 접속 부분을 완전히 우회하여 LTE 데이터 평면을 통해 직접 음성 통화를 전달하기 위한 IP 표준입니다. 표준과 마찬가지로 VoIP 통화,VoLTE 통화는 이동통신사에 의해 종료되고 일반 전화망에 연결될 수 있습니다. 또는 (점점 더 일반화됨에 따라) 라우팅될 수 있다 한 셀룰러 클라이언트에서 다른 셀룰러 클라이언트로, 심지어는 다른 공급자 간에도 직접 연결됩니다.

표준 VoIP와 마찬가지로 VoLTE는 널리 사용되는 두 가지 IP 기반 프로토콜인 Session Initiation Protocol(세션 개시 프로토콜 – 통화 설정을 위한 SIP) 및 실시간 전송 프로토콜(실시간 전송 프로토콜, RTTP라고 불러야 하지만 실제로는 RTP라고 합니다.) 음성 데이터를 처리하기 위한 것입니다. VoLTE는 또한 헤더 압축과 같은 몇 가지 추가 대역폭 최적화를 추가합니다.

좋아요, 이것이 암호화와 어떤 관련이 있나요?

LTE 같은거 GSM에는 무선으로 전송되는 패킷을 암호화하기 위한 표준 암호화 프로토콜 세트가 있습니다. 이는 주로 전화(사용자 장비 또는 UE라고 함)와 기지국(또는 공급자가 연결을 종료하기로 결정한 곳) 사이를 이동할 때 데이터를 보호하도록 설계되었습니다. 이동통신사에서는 외부 도청 장치를 적으로 보기 때문이다. 물론이죠.

(그러나 VoLTE 연결이 서로 다른 공급자 네트워크의 클라이언트 간에 직접 발생할 수 있다는 사실은 VoLTE 프로토콜 자체에 상위 네트워크 계층에서 발생할 수 있는 몇 가지 추가 및 선택적 암호화 프로토콜이 있음을 의미합니다. 이는 현재 기사와 관련이 없습니다. 모든 것을 망칠 수 있다는 점에 대해서는 나중에 간단히 이야기하겠습니다.

역사적으로 GSM의 암호화는 약점이 많다: 나쁜 암호, 전화만 타워에 인증되는 프로토콜(공격자가 타워를 가장하여 "가오리") 등등. LTE는 동일한 구조를 대부분 유지하면서 많은 명백한 버그를 수정했습니다.

암호화 자체부터 시작해 보겠습니다. 키 생성이 이미 발생했다고 가정하면(잠시 후에 이에 대해 이야기하겠습니다) 그러면 각 데이터 패킷은 "EEA"(실제로는 AES와 같은 것을 사용하여 구현 가능)라는 것을 사용하는 스트림 암호화를 통해 암호화됩니다. 기본적으로 여기서 암호화 메커니즘은 다음과 같습니다. 클릭률 (CTR)아래:

VoLTE 패킷의 주요 암호화 알고리즘(출처: 리볼트). EEA는 암호이고, "COUNT"는 32비트 카운터이며, "BEARER"는 VoLTE 연결을 일반 인터넷 트래픽과 구분하는 고유 세션 식별자입니다. "DIRECTION"은 UE에서 타워로 또는 그 반대로 트래픽이 흐르는 방향을 나타냅니다.

암호화 알고리즘 자체(EEA)는 AES와 같은 강력한 암호를 사용하여 구현할 수 있으므로, 이와 같이 암호 자체에 대한 직접적인 공격이 발생할 가능성은 거의 없습니다. GSM 시대에 일어난 일. 그러나 강력한 암호를 사용하더라도 이 암호화 체계는 자신의 발을 쏠 수 있는 좋은 방법임이 분명합니다.

특히, LTE 표준은 카운터 및 "베어러" 및 "방향"과 같은 기타 입력이 재사용되는 경우 매우 취약한 모드의 (인증되지 않은) 스트림 암호를 사용합니다. 현대 용어로 이 개념에 대한 용어는 "논스 재사용 공격"이지만 여기서 잠재적인 위험은 현대적인 것이 아닙니다. 그들은 글램 메탈과 심지어 디스코 시대까지 거슬러 올라가는 유명하고 오래된 것입니다.

CTR 모드에서 Nonce 재사용에 대한 공격은 Poison이 알려졌을 때에도 존재했습니다.

공평하게 말하면 LTE 표준에는 "이 미터기를 재사용하지 마십시오."라고 나와 있습니다. 하지만 LTE 표준은 약 7000페이지에 달하며, 어쨌든 아이들에게 총을 갖고 놀지 말라고 애원하는 것과 같습니다. 필연적으로 그럴 것이고, 끔찍한 일들이 일어날 것입니다. 이 경우 발사 총은 두 개의 서로 다른 기밀 메시지가 동일한 키스트림 바이트를 XOR하는 키스트림 재사용 공격입니다. 이 것으로 알려져 있다 통신의 기밀성에 매우 파괴적인 영향을 미칩니다..

ReVoLTE란 무엇인가요?

ReVoLTE 공격은 실제로 이 매우 취약한 암호화 설계가 실제 하드웨어에서 오용되고 있음을 보여줍니다. 구체적으로, 저자들은 상용 장비를 사용하여 이루어진 실제 VoLTE 통화를 분석하여 '키 재설치 공격'이라는 것을 사용할 수 있음을 보여줍니다. (이 문제를 발견한 데 대한 많은 공로는 다음과 같습니다. 레이즈와 루 (Raza & Lu)는 잠재적인 취약점을 최초로 지적했습니다. 그러나 ReVoLTE 연구는 이를 실질적인 공격으로 전환시켰습니다.

공격의 본질을 간략하게 보여드리겠습니다. 원본 문서.

LTE가 패킷 데이터 연결을 설정하면 LTE를 통한 음성 작업은 나머지 모든 트래픽과 함께 해당 연결을 통해 음성 패킷을 라우팅하는 문제일 뿐이라고 가정할 수 있습니다. 즉, VoLTE는 오직 위에만 존재하는 개념이 될 것입니다. 레벨 2 [OSI 모델 – 대략.]. 이것은 전적으로 사실이 아닙니다.

실제로 LTE 링크 계층에는 '베어러'라는 개념이 도입되었습니다. 베어러는 다양한 유형의 패킷 트래픽을 구분하는 별도의 세션 식별자입니다. 일반 인터넷 트래픽(Twitter 및 Snapchat)은 하나의 전달자를 통과합니다. VoIP용 SIP 신호는 다른 신호를 통과하고, 음성 트래픽 패킷은 세 번째 신호를 통해 처리됩니다. 나는 LTE 무선 및 네트워크 라우팅 메커니즘에 대해 잘 알지 못하지만 LTE 네트워크가 QoS(서비스 품질) 메커니즘을 시행하여 다양한 패킷 스트림이 다양한 우선순위 수준에서 처리되기를 원하기 때문에 이런 방식으로 수행되었다고 생각합니다. 당신 것 이류 Facebook에 대한 TCP 연결은 실시간 음성 통화보다 우선순위가 낮을 수 있습니다.

이는 일반적으로 문제가 되지 않지만 결과는 다음과 같습니다. 새로운 "베어러"가 설치될 때마다 LTE 암호화용 키가 별도로 생성됩니다. 기본적으로 이는 새 전화를 걸 때마다 다시 발생해야 합니다. 이렇게 하면 통화마다 서로 다른 암호화 키가 사용되므로 동일한 키를 재사용하여 두 개의 서로 다른 음성 통화 패킷 세트를 암호화할 가능성이 제거됩니다. 실제로 LTE 표준에는 "새 전화 통화를 처리하기 위해 새 베어러를 설치할 때마다 다른 키를 사용해야 한다"와 같은 내용이 나와 있습니다. 그러나 이것이 실제로 그런 일이 일어난다는 것을 의미하지는 않습니다.

실제로 실제 구현에서는 동일한 이름의 새 전달자가 두 호출 사이에 구성되어 있음에도 불구하고 시간적으로 가까운 위치에서 발생하는 두 개의 서로 다른 호출이 동일한 키를 사용합니다. 이러한 호출 사이에 발생하는 유일한 실질적인 변화는 암호화 카운터가 0으로 재설정된다는 것입니다. 문헌에서는 이것을 때때로 다음과 같이 부릅니다. 키 재설치 공격. 이 경우 위험은 대부분 표준 자체에서 비롯되는 것처럼 보이지만 이는 본질적으로 구현 오류라고 주장할 수 있습니다.

실제로 이 공격으로 인해 공격자가 암호화된 패킷 $inline$C_1 = M_1 oplus KS$inline$ 및 $inline$C_2 = M_2 oplus KS$inline$을 얻을 수 있는 키 스트림 재사용이 발생하여 $inline$ 계산이 가능해집니다. C_1 opplus C_2 = M_1 opplus M_2$inline$. 더 좋은 점은 공격자가 $inline$M_1$inline$ 또는 $inline$M_2$inline$ 중 하나를 알고 있으면 다른 하나를 즉시 복구할 수 있다는 것입니다. 이는 그에게 강한 동기를 부여한다. 암호화되지 않은 두 구성 요소 중 하나를 찾으십시오..

이는 완전하고 가장 효과적인 공격 시나리오를 제공합니다. 대상 전화기와 기지국 사이의 무선 트래픽을 가로챌 수 있고 운이 좋게도 두 번의 서로 다른 통화를 녹음할 수 있는 공격자가 있다고 생각해 보십시오. 두 번째 통화는 첫 번째 통화 직후에 발생합니다. 이제 그가 통화 중 하나의 암호화되지 않은 내용을 추측할 수 있다고 상상해 보십시오. 그런 세렌디피티 공격자는 두 패킷 세트 간의 간단한 XOR을 사용하여 첫 번째 호출을 완전히 해독할 수 있습니다.

물론 행운은 아무 상관이 없습니다. 전화기는 전화를 받도록 설계되었기 때문에 첫 번째 전화를 엿들을 수 있는 공격자는 첫 번째 전화가 끝나는 정확한 순간에 두 번째 전화를 시작할 수 있습니다. 이 두 번째 호출에서 동일한 암호화 키를 다시 사용하고 카운터를 0으로 재설정하면 암호화되지 않은 데이터를 복구할 수 있습니다. 더욱이 공격자는 실제로 두 번째 호출 중에 데이터를 제어하므로 첫 번째 호출의 내용을 복구할 수 있습니다. 작은 것들, 그의 편에서 놀고 있습니다.

다음은 에서 가져온 일반적인 공격 계획의 이미지입니다. 원본 문서:

공격 개요 ReVoLTE 문서. 이 방식은 동일한 키를 사용하여 두 개의 서로 다른 호출이 이루어진다고 가정합니다. 공격자는 패시브 스니퍼(왼쪽 상단)와 두 번째 전화기를 제어하여 피해자의 전화기에 두 번째 전화를 걸 수 있습니다.

그렇다면 공격이 실제로 작동하는가?

한편으로 이것은 ReVoLTE에 관한 기사의 주요 질문입니다. 위의 아이디어는 모두 이론적으로는 훌륭하지만 많은 질문을 남깁니다. 와 같은:

1. (학계 연구자의 경우) 실제로 VoLTE 연결을 가로채는 것이 가능합니까?
2. 실제 LTE 시스템은 실제로 키를 다시 입력합니까?
3. 전화기와 기지국이 키를 재사용할 수 있을 만큼 빠르고 안정적으로 두 번째 통화를 실제로 시작할 수 있습니까?
4. 시스템이 키를 다시 입력하더라도 두 번째 호출의 암호화되지 않은 콘텐츠를 실제로 알 수 있습니까? 코덱 및 트랜스코딩과 같은 항목이 두 번째 호출의 (비트 단위) 콘텐츠를 완전히 변경할 수 있다는 점을 고려하면 "비트"에 액세스할 수 있는 경우에도 마찬가지입니다. " 공격용 전화에서 오는 겁니까?

ReVoLTE의 작업은 이러한 질문 중 일부에 긍정적으로 답합니다. 저자는 상용 소프트웨어로 재구성 가능한 라디오 스트림 스니퍼를 사용합니다. 망원경 다운링크 측에서 VoLTE 통화를 가로채기 위해. (나는 소프트웨어를 이해하고 그것이 어떻게 작동하는지 대략적인 아이디어를 얻는 것만으로도 가난한 대학원생의 삶에서 몇 달이 걸렸다고 생각합니다. 이는 이러한 종류의 학술 연구에서 일반적입니다).

연구원들은 키 재사용이 작동하려면 두 번째 호출이 첫 번째 호출이 끝난 후 충분히 빠르게 발생해야 하지만 너무 빠르지는 않아야 한다는 사실을 발견했습니다. 실험 대상 운영자의 경우 약 10초 정도입니다. 다행히도 사용자가 이 시간 내에 전화에 응답하는지 여부는 중요하지 않습니다. 즉, "벨소리"가 발생합니다. SIP 연결 자체로 인해 운영자는 동일한 키를 재사용해야 합니다.

따라서 가장 형편없는 문제 중 상당수는 문제 (4) - 공격자가 시작한 통화의 암호화되지 않은 콘텐츠 비트를 수신하는 문제와 관련되어 있습니다. 콘텐츠가 셀룰러 네트워크를 통해 공격자의 휴대폰에서 피해자의 휴대폰으로 이동하면서 콘텐츠에 많은 일이 발생할 수 있기 때문입니다. 예를 들어, 인코딩된 오디오 스트림을 다시 인코딩하는 것과 같은 더러운 트릭은 사운드를 동일하게 유지하지만 바이너리 표현을 완전히 변경합니다. LTE 네트워크는 또한 RTP 헤더 압축을 사용하는데, 이는 RTP 패킷의 상당 부분을 크게 변경할 수 있습니다.

마지막으로 공격자가 보낸 패킷은 첫 번째 전화 통화 중에 보낸 패킷과 대략적으로 일치해야 합니다. 전화 통화 중에 무음을 수정하면 원래 통화와 잘 맞지 않는 짧은 메시지(일명 편안한 소음)가 발생하기 때문에 문제가 될 수 있습니다.

섹션 "실제 공격" 자세히 읽어 볼 가치가 있습니다. 이는 위의 많은 문제를 해결합니다. 특히 저자는 일부 코덱이 기록되지 않고 대상 호출의 바이너리 표현 중 약 89%가 복구될 수 있음을 발견했습니다. 이는 테스트를 받은 유럽 통신업체 XNUMX곳 이상에 해당됩니다.

이는 놀라울 정도로 높은 성공률이며 솔직히 이 문서 작업을 시작했을 때 예상했던 것보다 훨씬 높습니다.

그러면 문제를 해결하기 위해 무엇을 할 수 있나요?

이 질문에 대한 즉각적인 대답은 매우 간단합니다. 취약점의 본질은 키 재사용(재설치) 공격이므로 문제를 해결하기만 하면 됩니다. 각 전화 통화에 대해 새 키를 얻었는지 확인하고 패킷 카운터가 동일한 키를 사용하여 카운터를 다시 0으로 재설정하는 것을 허용하지 마십시오. 문제 해결됨!

아니면 아닐 수도 있습니다. 이를 위해서는 많은 장비를 업그레이드해야 하며, 솔직히 말해서 이러한 수정 자체는 그다지 안정적이지 않습니다. 표준이 기본적으로 이러한 키 재사용 문제에 치명적으로 취약하지 않은 암호화 모드를 구현하는 보다 안전한 방법을 찾을 수 있다면 좋을 것입니다.

가능한 옵션 중 하나는 다음을 사용하는 것입니다. nonce를 잘못 사용해도 치명적인 결과를 초래하지 않는 암호화 모드. 일부 현재 하드웨어에서는 비용이 너무 많이 들 수 있지만, 특히 5G 표준이 전 세계를 장악할 예정이므로 미래에 설계자가 고려해야 할 영역입니다.

이 새로운 연구는 또한 왜 동일한 공격이 표준에 따라 계속해서 나타납니다., 그 중 다수는 매우 유사한 디자인과 프로토콜을 사용합니다. WPA2와 같이 널리 사용되는 여러 프로토콜에 동일한 키를 다시 설치해야 하는 문제에 직면했다면 이제 사양과 테스트 절차를 더욱 강력하게 만들어야 할 때라고 생각하지 않습니까? 표준 구현자를 경고에 주의를 기울이는 사려 깊은 파트너로 대하지 마십시오. 필연적으로 일을 잘못하게 될 (의도하지 않은) 적처럼 그들을 대하십시오.

또는 Facebook이나 Apple과 같은 회사가 점점 더 많이 수행하고 있는 작업을 수행할 수 있습니다. 즉, 셀룰러 장비 제조업체에 의존하지 않고 OSI 네트워크 스택의 더 높은 수준에서 음성 통화 암호화가 발생하도록 할 수 있습니다. 미국 정부가 중단한다고 가정하면 WhatsApp이 Signal 및 FaceTime에서 수행하는 것처럼 음성 통화의 종단 간 암호화를 추진할 수도 있습니다. 우리를 넘어뜨리다. 그러면 (일부 메타데이터를 제외하고) 이러한 문제 중 상당수가 간단히 사라질 것입니다. 이 솔루션은 특히 다음과 같은 환경에 적합합니다. 정부조차도 장비 공급업체를 신뢰하는지 확신하지 못합니다..

아니면 우리 아이들이 이미 해왔던 일을 할 수도 있습니다. 짜증나는 음성 통화에 응답하지 마세요.

출처 : habr.com