Все під контролем: захищаємо корпоративні розмови. Частина 3: захищена SIM-карта

В ході обговорення попередніх двох частин опису проекту Tottoli GSM "Все під контролем: захищаємо корпоративні розмови" (Частина 1, Частина 2) стало ясно, що окремого опису вимагає технологія використання та реалізації MULTI SIM. У цій статті ми докладно розповімо саме про технології MULTI SIM.


Всі звикли сприймати SIM-карту як якийсь безумовний елемент аутентифікації абонента в мережі. В рамках платформи Tottoli GSM модуль MULTI SIM є невід'ємною частиною системи і виконує необхідні функції, пропоновані проектом. Так як SIM-карта є елементом мережі, розглядати її функціональність поза системи неможливо. Більш наочним буде розгляд функціоналу модуля щодо конкретних сценаріїв.
Спочатку про саму MULTI SIM:
• Розмір пам'яті: 256 Кб
• Підтримка на рівні апаратного забезпечення карти алгоритму MILENAGE і нижче COMP128v1-v3.
• Підтримка javacard 2.2
• Завантаження аплетів з допомогою APDU, а також з підтримкою завантаження GSM 03.48
Підтримка функцій з метою реалізації MULTI SIM функціоналу: зміни "файлів" (EF GSM 11.11) в (u)SIM-карти з метою зміни профілів мобільного оператора: IMSI, KI, HPLMN, PLMN, FPLMN.
Також на SIM-картах встановлені розроблені нами аплети і базовий профіль (IMSI/KI і ін. параметри, необхідні для реєстрації в мережі) одного з доступних нам операторів. Під «доступністю оператора» в даному контексті мається на увазі опорний договір з цим оператором та імплементація пулу профілів в нашу HLR.


В описуваних сценаріях ми навмисно опустили стандартні процедури взаємодії з мережею і сфокусувалися на основних моментах.
Сценарій 1:
Співробітник отримує телефонний апарат (ТА) з встановленою MULTI SIM. При включенні телефону MULTI-SIM автоматично реєструється в локальній мережі завдяки встановленим параметрам мережі в SIM-карті. Локальна мережа в свою чергу дозволяє даній SIM-карті реєстрацію на підставі прописаних параметрів SIM в HLR своєї мережі.

Сценарій 2:
Вихідні дзвінки всередині локальної мережі відбуваються стандартним чином. Для дзвінків між співробітниками використовуються короткі номери FMC. FMC-номери і правила маршрутизації для них налаштовуються в біллінгу компанії. Використовувати FMC-номери співробітники можуть як усередині локальної мережі, так і за її межами.

Сценарій 3:
Співробітник залишає зону дії локальної мережі, телефонний апарат проводить процедуру Location Update (LU) з мереж, доступних на даний момент. Всі параметри мережі при LU автоматично потрапляють у біллінг компанії для подальшого аналізу і управління. При необхідності сервер приймає рішення про зміну поточного профілю та/або зміні оператора. Для цього формується ОТА команда з параметрами профілю і пріоритетною мережі. Дана команда відправляється на абонентське пристрій і відбувається зміна профілю і перевыбор мережі. Коли працівник знаходиться в мережах загального користування, всі комунікації проходять через ресурси компанії і підпорядковані внутрішнім правилам. Це дає можливість дозволяти або забороняти використання конкретних мереж або робити їх пріоритетними. Спеціальний аплет постійно передає параметри мереж на сервер компанії. Таким чином, залежно від місцезнаходження співробітника, на SIM-карту приходять параметри довірчої мережі.

Сценарій 4:
Якщо вихідний дзвінок йде у зовнішній мережі PLMN, він також проходить через АТС компанії. Це досягається роботою спеціального аплету на SIM-карті. Після набору номера і натискання кнопки виклику аплет перехоплює дзвінок і скеровує його на сервісний номер, який виділяється білінгом компанії для кожного дзвінка. Таким чином між абонентом А і абонентом Б завжди знаходиться АТС компанії, що не дозволяє виявити прямий зв'язок між абонентами.


Сценарій 5:
Організація вхідного дзвінка проводиться з використанням віртуального номера (DID).
Кожен співробітник має віртуальний номер у форматі ABC/DEF. Правила маршрутизації дзвінків на ці номери також прописані в біллінгу компанії. Таким чином, дзвінок із зовнішньої мережі PLMN на віртуальний номер (DID) також проходить через АТС компанії.

Сценарій 6:
Використання інтернету (DATA) у зовнішній мережі відбувається згідно з правилами, прописаними в біллінгу компанії. Установки точки доступу прописані на SIM-карті. APN надається компанією і таким чином весь трафік DATA маршрутизируется на обладнання компанії (GGSN). На боці компанії також розгорнуто Policy Controller (DPI) для аналізу DATA трафіку співробітників. Таким чином забезпечується безпека на рівні інтернету незалежно від того, в мережі якого оператора знаходиться співробітник.

Сценарій 7:
Послуга SMS також знаходиться на стороні компанії. Таким чином у компанії є весь інструментарій з управління SMSC: дозволяти/забороняти відправлення/прийом SMS, управління маршрутизацією і логікою. Все це робиться на рівні мережі. Таким чином, якщо в біллінгу компанії варто прапор про заборону вхідних SMS, така спроба буде припинено на рівні оператора-ініціатора. Цей механізм не дозволяє виробляти атаки з допомогою SMS будь-якого класу, в тому числі і так званих Silent SMS.
Сценарій 8:
Всім співробітникам доступний USSD сервіс. Через SIM MENU SIM-карти працівник може скористатися послугами даного сервісу. Вся логіка розгорнута на сервісі компанії. Таким чином, працівник отримує всю актуальну інформацію і управляє доступними сервісами і послугами, дозволеними для конкретного працівника або групи працівників.
Сценарій 9:
Зміна профілю (IMSI/KI) на SIM-карті може відбуватися з різних подій: при процедурі LU зміну профілю ініціює сам співробітник через SIM MENU, зміна профілю ініціюється з боку сервера без участі співробітника, зміна профілю проводиться по заданому таймингу. Зміна профілю забезпечується встановленим аплетом на SIM-карті. Завантаження профілів проводиться за допомогою ОТА з боку сервера компанії. Процедура зміни профілю відбувається синхронно з функцією та зміною IMEI. Таким чином відбувається зміна всіх ідентифікаторів в мережі.
Також на даних MULTI-SIM картах доступні аплети з функціями:
  1. Track IMEI
  2. Remote Control
  3. Dynamic SIM menu
  4. History Location
  5. Notification Bar
У підсумку завдяки програмним додаткам, реалізованим на MULTI-SIM, ми змогли реалізувати необхідну взаємодію абонентського пристрою і серверної частини як у локальній мережі, так і в мережах загального користування без шкоди для безпеки.
Читати ще:
Все під контролем: захищаємо корпоративні розмови. Частина 1.
Все під контролем: захищаємо корпоративні розмови. Частина 2: захищений телефонний апарат
Джерело: Хабрахабр

0 коментарів

Тільки зареєстровані та авторизовані користувачі можуть залишати коментарі.