모바일 스위칭 센터 MSC는 일반적으로 각 가입자가 통화를 설정하는 데 사용하는 암호화 키를 보유하고 있습니다. 가입자가 이동 중일 때는 핸드오버 프로세스를 통해 통화 진행 상황을 유지하면서 서로 다른 무선 셀 간에 가입자를 원활하게 전환할 수 있습니다.
가입자가 한 셀에서 다른 VLR이 관리하는 다른 셀로 이동하는 경우도 있습니다. 이 경우 새 VLR에는 처음에 통화를 유지하는 데 도움이 되는 인증 정보가 없으므로 키를 새 MSC로 전송하기 위해 MSC 간 핸드오버 프로세스가 필요합니다.
이 작업은 sendIdentification이라는 MAP 메시지를 통해 이루어집니다. 새 VLR은 기존 VLR에 sendIdentification 메시지를 보내면, 기존 VLR은 통화를 유지하는 데 필요한 키로 응답합니다. 이 키 중에는 무선으로 트래픽을 암호화하는 데 사용되는 키가 포함됩니다. 공격 시나리오에서 공격자는 무선 인터페이스를 통해 표적 트래픽을 캡처합니다(표적과의 물리적 근접이 필요함).
그런 다음 SS7에 액세스할 수 있으면 sendIdentification 메시지를 사용하여 대상의 암호 해독 키를 검색하고 이를 사용하여 트래픽을 해독할 수 있습니다. sendIdentification은 내부 네트워크 내에서 다음과 같은 경우에만 필요합니다.
핸드오버. 외부에서 합법적으로 사용할 수 없으므로 경계에서 필터링해야 합니다.
발신 전화 가로채기
GSM 서비스 제어 함수(gsmSCF)는 특정 이벤트 집합에 대해 원하는 작업을 계속 수정, 수정 취소 또는 중단할 수 있는지 여부를 결정하는 CAMEL 서비스 로직을 포함하는 기능적 엔티티입니다. 예를 들어 지역 번호 또는 국제 형식을 추가하기 위해 발신 번호를 수정하는 데 사용할 수 있습니다.
SS7에 액세스할 수 있는 공격자는 insertSubscriberData 메시지를 사용하여 가입자의 gsmSCF 주소를 자신이 제어하는 주소로 변경할 수 있습니다. 그런 다음 공격자는 발신 번호를 자신이 제어하는 번호로 다시 쓸 수 있습니다. 이 경우 공격자는 아웃바운드 전화를 수신하고 통화를 녹음한 후 트래픽을 최종 목적지로 전달합니다.
차단 - 수신 트래픽 - 착신 전환
등록SS 메시지는 가입자에게 부가 서비스를 등록하는 데 사용됩니다. 이러한 서비스 중 하나가 착신 전환 서비스입니다. 공격자는 registerSS 메시지를 사용하여 자신이 제어하는 번호로 착신 전환을 활성화할 수 있습니다. 그런 다음 공격자는 전화를 받으면 eraseSS 메시지를 사용하여 착신 전환을 제거한 다음 가입자에게 다시 전화를 전달합니다. 이러한 방식으로 공격자는 통화를 가로채서 녹음할 수 있습니다.