# GSM ## 概要 Global System for Mobile Communications(GSM)は、第2世代(2G)デジタル携帯電話の国際標準規格である。1987年に15社がGSM Associationを設立し、EUの政治的支持を得て1992年にサービスが始まった。設計者は「有線網と同等以上のセキュリティ」を目標に、SIMカードによる加入者認証と、A5/1・A5/2という暗号アルゴリズムによる通話内容の秘匿を導入した。しかし、基地局を認証しないという設計上の欠陥により中間者攻撃(IMSIキャッチャー/StingRay)に脆弱であり、暗号アルゴリズム自体も解読済みで、アルゴリズムネゴシエーションが平文で行われるためダウングレード攻撃(A5/1→A5/2)も成立する。3G(UMTS)以降は相互認証・暗号範囲拡大によってこれらの弱点の一部を塞いだが、IMSIキャッチャーは端末に2Gへのフォールバックを強制することで対策を無効化し続けている。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 22 Phones]] ch.22 §22.3.1, §22.3.2) ## 認証プロトコルの構造 SIMは加入者識別番号(IMSI)と128ビットの認証鍵`Ki`を保持する。移動機の電源投入時、SIMはIMSIを最寄りの基地局へ送り、これがホーム網のHLR(home location register)へ中継される。HLRはランダムな challenge `RAND`を`Ki`で暗号化し、応答`SRES`と暗号鍵`Kc`の三つ組を5組生成する。この三つ組は訪問先網のVLR(visitor location register)経由で基地局制御装置(BSC)に配布され、BSCが`RAND`を移動機に提示、SIMが計算した`SRES`が一致すれば`Kc`で暗号化した通信を開始する。この認証プロトコルは、SamのようなTTP(信頼できる第三者)を介した鍵配送プロトコルの通信キャリア規模での具体化であり、HLRがNeedham-Schroeder/Kerberosにおける「Sam」の役割を果たす。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 22 Phones]] ch.22 §22.3.1、[[鍵配送プロトコル]]) ## 攻撃事例 - IMSIキャッチャー(StingRay)による偽基地局を使った中間者攻撃。基地局が認証されないため、正規の通信をそのまま中継するだけで通過する。 - Barkan・Biham・Kellerによる事後的な鍵回復攻撃: 録音しておいた通話を、後からIMSIキャッチャーで同じ`RAND`を使って移動機にA5/2を強制させ、弱い暗号で解読する。 - 2004-05年、アテネオリンピック期間中にVodafoneギリシャ網の合法的傍受機構が不正利用され、ギリシャ首相を含む約100人の政治・法執行・軍エリートが盗聴された。VodafoneとEricssonの双方が罰金を科された。 - SIMの認証を悪用したSIMスワップ攻撃(→ [[SIMスワップ攻撃]])。 (Source: [[@2020__Wiley__Security Engineering 3e - Chapter 22 Phones]] ch.22 §22.3.1) ## 関連 - ソース: [[@2020__Wiley__Security Engineering 3e - Chapter 22 Phones]](§22.3.1, §22.3.2) - 概念: [[認証プロトコルの失敗モード]](GSMの中間者攻撃・ダウングレード攻撃) / [[鍵配送プロトコル]](SIM/HLRのTTP方式) / [[SIMスワップ攻撃]] ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 22, §22.3.1, §22.3.2.