I wanna jam it wid you

I wanna jam it wid you
Satellite Edition
David Pérez
[email protected]
José Picó
[email protected]
1
Rooted Satellite Valencia
2
Rooted Satellite Valencia
DENEGACIÓN DE SERVICIO
3
Rooted Satellite Valencia
¿POR QUÉ NOS INTERESA LA
DENEGACIÓN DE SERVICIO?
4
Rooted Satellite Valencia
¿Por qué nos interesa la
denegación de servicio?
Por un lado, interesa connocer las
capacidades ofensivas de los
atacantes para poder evaluar los
riesgos adecuadmente
Por otro lado, la denegación de
servicio puede ser necesaria como
defensa ante algunos ataques
5
Rooted Satellite Valencia
Denegación de servico de telefonía
móvil
En los niveles superiores
del protocolo
En los niveles de radio
del protocolo
En el nivel de la señal
(uplink o downlink)
6
Rooted Satellite Valencia
Objetivo
En esta charla presentamos el resultado de una
serie de pruebas que hemos realizado para
jamming de la señal del downlink, tanto en 3G
como en 2G, y las herramientas (propias y de
terceros) que hemos utilizado para ello.
7
Rooted Satellite Valencia
Laboratorio
8
Rooted Satellite Valencia
2G/GSM/GPRS
9
Rooted Satellite Valencia
JAMMERS CLÁSICOS
10
Rooted Satellite Valencia
Funcionamiento de un jammer
clásico contra una señal 2G
11
Rooted Satellite Valencia
La señal de ruido blanco
Fácil de generar para la
circuitería
Se expande fácilmente
en el ancho de banda
del transmisor con un
nivel de señal
aceptable
GSM es bastante
sensible al ruido blanco
Consume toda la
energía disponible
indiscriminadamente
Su nivel de señal oscila
en el tiempo
No es sincronizable
3G es muy robusto
frente a ruido blanco
12
Rooted Satellite Valencia
Ruido blanco
Ruido blanco (generado) no filtrado
Ruido ambiental -110 dBm
Gain UmTRX -28
13
Rooted Satellite Valencia
Ruido blanco
Ruido blanco (generado) no filtrado
Ruido ambiental -110 dBm
Gain UmTRX -28
14
Rooted Satellite Valencia
¿Es posible mejorar la señal del
jammer?
Construir señales que sean más
efectivas que el ruido blanco
Aprovechar más la energía disponible
contra el espectro de una señal GSM
15
Rooted Satellite Valencia
Aprovechar la energía
No es necesario emitir en todo el
espectro, sino donde están las señales
GSM
16
Rooted Satellite Valencia
Aprovechando la energía
disponible
Las señales se construyen digitalmente
Luego pueden desplazarse, combinarse,
etc., siempre en el tratamiento digital,
antes de emitirlas (con limitaciones)
17
Rooted Satellite Valencia
Aprovechando la energía
disponible
Limitaciones:
– La máxima frecuencia de muestreo del conversor D/A del equipo
limita el ancho de banda total
Cuantas más señales se combinan, más potencia se
consume
18
Rooted Satellite Valencia
Aprovechando la energía
disponible
Emitir una señal en una frecuencia durante un tiempo, y
luego ir cambiando de frecuencia
19
Rooted Satellite Valencia
¿Es posible mejorar la señal del
jammer?
Construir señales que sean más
efectivas que el ruido blanco
– Ruido filtrado
– Constantes y ondas específicas
– Sañales digitales construidas ad-hoc
20
Rooted Satellite Valencia
Señales generadas para inhibir GSM
SEÑALES CONSTRUIDAS ESPECÍFICAMENTE
21
Rooted Satellite Valencia
Señales constantes
El móvil obtiene la sincronización
de frecuencia y de tiempo de
cada celda basándose en un
canal de GSM (FCCH) que
contiene las ráfagas de
sincronización de frecuencia.
22
Rooted Satellite Valencia
Ocultar celdas
Principio: ocultar la información de sincronismo
de la celda GSM, de forma que el móvil no la
encuentre cuando la busque
Construimos diferentes tipos de señal:
– Señales sencillas (constantes, sinusoidales)
centradas en F+67,7KHz
– Señales construidas simulando el FCCH
23
Rooted Satellite Valencia
Utilización de señales sencillas
La señal en sí misma no inhibe el servicio de la
celda actual en la que está campando el móvil,
pero la oculta de ser elegida de nuevo
Efectividad para potencias similares a las
necesarias para que el ruido blanco sea efectivo
Sería necesario hacer pruebas intensivas en un
entorno real para cuantificar la efectividad de
esta técnica.
24
Rooted Satellite Valencia
Limitaciones: ancho de banda
13 Msps
6,5 Msps
3,25 Msps
Banda 900
25
Rooted Satellite Valencia
Limitaciones: potencia
Cuantas más señales combinamos, menos
potencia de pico en cada señal
26
Rooted Satellite Valencia
Utilización de señales sencillas
anti-sincronización
La señal en sí misma no inhibe el servicio de la
celda actual en la que está campando el móvil,
pero la oculta de ser elegida de nuevo.
– Podemos usar un mecanismo de jamming de celda,
que puede ser multiplexado en el tiempo.
27
Rooted Satellite Valencia
Utilización de señales sencillas
anti-sincronización
Efectividad para potencias similares a las
utilizadas para emitir ruido blanco
Sería necesario hacer pruebas intensivas en un
entorno real para cuantificar la efectividad de
esta técnica.
28
Rooted Satellite Valencia
Señales ad-hoc anti-sincronización
Simular el canal FCCH, con una señal
modulada GMSK
Son menos efectivas porque consumen más
energía y no introducen ruido adicional
29
Rooted Satellite Valencia
Señales de jamming específicas
Se ha logrado alguna señal que es más efectiva
que el ruido blanco filtrado, pero debido al
consumo de potencia, no es rival sin multiplexar
para el ruido blanco sin filtrar
En el ejemplo, una señal construida a partir de
Training Sequences
30
Rooted Satellite Valencia
3G/UMTS
31
Rooted Satellite Valencia
Características de la señal en 3G
Fuente: www.wirexhibit.com
32
Rooted Satellite Valencia
Características de la señal en 3G:
spreading (=channelization+scrambling)
En emisión:
Fuente: http://www.umtsworld.com/
– Cada bit se transforma en 256 “chips”
– Los chips se modifican según un código de canalización
(channelization)
– Finalmente los chips resultantes se vuelven a modificar según
un código de “scrambing” (scrambling)
33
Rooted Satellite Valencia
Características de la señal en 3G:
utilidad del spreading
Fuente: http://alumni.cs.ucr.edu/
34
Rooted Satellite Valencia
35
Rooted Satellite Valencia
Funcionamiento de un jammer
clásico contra una señal 3G
36
Rooted Satellite Valencia
Un canal especial: CPICH
CPICH = Common Pilot Channel
Secuencia de bits conocida
Código de canalización conocido
Cada NodeB emite un CPICH usando un código
de scrambling único (único entre las celdas
vecinas que usen la misma frecuencia), llamado
PSC (Primary Scrambling Code)
Los dispositivos móviles lo utilizan como
referencia (RSCP, Ec/Io, sincronismo, fase)
37
Rooted Satellite Valencia
¿Y si emitimos un CPICH falso?
38
Rooted Satellite Valencia
Problema: sincronización
Los PSC tienen como propiedades:
– Correlación cruzada muy baja
– Autocorrelación muy alta para mismo origen de tiempo, pero
muy baja en cualquier otro caso
39
Rooted Satellite Valencia
Captura y emisión sincronizada
Escucha del CPICH
de la celda de
interés
Localización de un
inicio de trama (T0)
Comienzo de
emisión en:
GigE
UHD
– T0 + N * 10 ms
UmTRX
40
Rooted Satellite Valencia
En la práctica…
41
Rooted Satellite Valencia
¿Y si…?
¿… emitiéramos también un BCCH con información falsa?
¿… modificáramos sutilmente la frecuencia de emisión?
¿…?
No somos los únicos que lo hemos pensado:
www.faqs.org/patents/app/20120202460
Rooted Satellite Valencia
42
4G/LTE
43
Rooted Satellite Valencia
Características de la señal en 4G
MIMO-OFDM: Multiple Input Multiple Output
Orthogonal Frequency Division Multiplexing
Fuente: wikipedia
Fuente: connectedplanetonline.com
44
Rooted Satellite Valencia
Características de la señal en 4G:
Portadoras piloto
Fuente: http://www.ni.com/
45
Rooted Satellite Valencia
Ataque a las portadoras piloto
Ganancia frente a
“barrage jamming”:
– Pilot Jamming: 2dB
– Pilot Nulling: 7.5 dB
Fuente: http://www.ni.com/
46
Rooted Satellite Valencia
Ataque a las portadoras piloto
Sincroniz. perfecta: 3 dB de
ganancia sobre “barrage jamming”
Pérdidas de eficiencia:
–
error en sincronización temporal (%
de tiempo de símbolo):
•
•
–
25%:
50%:
0.25 dB
1
error en frecuencia (normalizado):
•
•
0,2:
0,5:
1 dB
3 dB
47
Rooted Satellite Valencia
CONCLUSIONES
48
Rooted Satellite Valencia
Conclusiones
Es posible inhibir la señal en el downlink de
forma más eficiente que con ruido blanco:
– En GSM, ocultando la información de sincronización
de las celdas y luego jameando con multiplexación en
el tiempo
– En UMTS, atacando el CPICH
– En LTE, atacando las portadoras
En UMTS, emitir un CPICH falso correctamente
sincronizado podría facilitar otro tipo de ataques,
como suplantar a un nodoB activo
49
Rooted Satellite Valencia
50
Rooted Satellite Valencia
I wanna jam it wid you
Satellite Edition
David Pérez
[email protected]
José Picó
[email protected]
51
Rooted Satellite Valencia