首页 ›资讯› 安全 › 查看内容

搭建并使用便携式 4G/LTE 伪基站研究移动安全

2017-8-23 01:13 |来自: 互联网 3200 0

摘要: 本文来自知名安全专家 Seeker 在 GitChat 上的精彩分享。前言在移动互联网深入普及和物联网开始规模应用的今天，网络安全公司怎能不研究移动安全，要研究移动安全，怎能没有 4G／LTE 伪基站研究测试环境？本文介绍如 ...

本文来自知名安全专家 Seeker 在 GitChat 上的精彩分享。

前言

在移动互联网深入普及和物联网开始规模应用的今天，网络安全公司怎能不研究移动安全，要研究移动安全，怎能没有 4G／LTE 伪基站研究测试环境？

本文介绍如何利用开源项目和 SDR，合法的搭建并使用便携式 4G/LTE 伪基站，用于实验室的安全研究，或者用于用户授权的物理渗透测试。

合法开展研究活动

根据国家无线电管理法规，我们需要先取得频率、设备和人员许可才能合法的在通信业务频段进行收发。而已经分配给运营商的频段，需要该运营商同意才能使用。

因此，我们做通信实验时，通常的做法不是申请许可，而是构造一个封闭的电磁空间，即法拉第笼，在这个空间里进行无线信号的发射和接收不会影响到外部世界。

法拉第笼是由金属或金属网包围形成的一个空间，大可以到一个大房子，小可能就是一个小箱子。测试时，如果法拉第笼比较小，我们就只把发射和接收无线电信号的天线放在法拉第笼里面，其它部分仍可放在外面，内外通过馈线连接。

1. SBC：UP Board， Intel Atom x5-Z8350 四核CPU，4GB RAM，64GB eMMC

2. SDR：USRP B200mini + USB电缆

3. 天线+馈线+双工器

4. 充电宝：5V 3A（非常重要）

软件准备

Ubuntu 16.04 LTS
安装之后更新
sudo apt-get update
sudo apt-get upgrade
必备软件：Git
sudo apt-get install git
国内专享：Shadowsocks、Privoxy
sudo apt-get install privoxy python-gevent python-pip
sudo pip install shadowsocks
科学上网配置略。

安装步骤

eNodeB：
找到 ~/openairinterface5g/targets/PROJECTS/GENERIC-LTE-EPC/CONF/enb.band3.tm1.usrpb210.conf
进行如下修改，并另存为enb.band3.tm1.usrpb200.conf。

tracking_area_code = "13";

2. EPC:

修改 hosts 文件和 hostname，然后重新启动。

sudo gedit /etc/hosts

127.0.0.1 localhost

sudo gedit /etc/hostname

mini

复制EPC配置文件：

sudo mkdir -p /usr/local/etc/oai/freeDiameter

编辑 hss.conf

## MySQL mandatory options

编辑 mme.conf

REALM = "openair4G.eur";

编辑 spgw.conf

S-GW :

编辑 HSS freediameter 配置文件 ( /usr/local/etc/oai/freeDiameter/hss_fd.conf ):

Identity = "hss.openair4G.eur";

编辑 MME freediameter 配置文件 (/usr/local/etc/oai/freeDiameter/mme_fd.conf):

Identity = "mini.openair4G.eur";

运行

安装证书：

cd ~/openair-cn/scripts

首次运行 HSS：

cd ~/openair-cn/scripts

之后每次运行 HSS：

cd ~/openair-cn/scripts

运行 MME:

cd ~/openair-cn/scripts

安全测试通常不需要运行 SP-GW。

运行 eNB:

cd ~/openairinterface5g

对TD-LTE的支持
OAI本身支持 TD-LTE。但是因为 TD 系统全网收发同步的要求，伪基站要正常工作，就必须与运营商现网同步。OAI 已含有部分通过空中接口信号实现 TD 同步的代码，需要进一步修改才能完成与现网同步。
精简代码
如果我们只做网络安全研究，不做通信研究，就不需要完整的EPC。大部分公司只是研究空口的 DoS 攻击和 RRC 重定向攻击，每次只有少量固定格式的网络报文从 MME 返回，因此可以修改代码，直接返回我们想要的报文，或者执行我们想要的逻辑，就可以精简掉 EPC，只运行 lte-softmodem 一个进程就好了。
连接运营商核心网
如果能从运营商核心网获得安全认证四元组：Kasme、AUTN、RAND、XRES，就能通过双向鉴权，让 LTE 手机相信我们的基站是真基站。这需要修改 MME 的代码和 freeDiameter 的配置来实现。
同一硬件集成 LTE+GSM 伪基站
架设自己的测试网