Un captador de identidad de suscriptor móvil internacional , o IMSI-catcher , es un dispositivo de escucha telefónica utilizado para interceptar el tráfico de teléfonos móviles y rastrear datos de ubicación de los usuarios de teléfonos móviles. [1] Esencialmente una torre móvil "falsa" que actúa entre el teléfono móvil objetivo y las torres reales del proveedor de servicios, se considera un ataque de intermediario (MITM). El estándar inalámbrico 3G ofrece cierta mitigación de riesgos debido a la autenticación mutua requerida tanto por el teléfono como por la red. [2] Sin embargo, los ataques sofisticados pueden degradar 3G y LTE a servicios de red no LTE que no requieren autenticación mutua. [3]
Los receptores IMSI son utilizados en varios países por agencias policiales y de inteligencia , pero su uso ha planteado importantes preocupaciones sobre la libertad civil y la privacidad y está estrictamente regulado en algunos países, como por ejemplo en el Strafprozessordnung alemán (StPO/Código de Procedimiento Penal). [1] [4] Algunos países no tienen tráfico de datos telefónicos cifrados (o tienen un cifrado muy débil ), lo que hace innecesario un receptor IMSI.
Una estación transceptora base virtual (VBTS) [5] es un dispositivo para identificar la identidad temporal del abonado móvil (TMSI), la identidad del abonado móvil internacional (IMSI) de un teléfono móvil GSM cercano e interceptar sus llamadas; algunas incluso son lo suficientemente avanzadas para detectar la identidad internacional de equipo móvil (IMEI). Fue patentado [5] y comercializado por primera vez por Rohde & Schwarz en 2003. El dispositivo puede verse simplemente como una torre de telefonía móvil modificada con un operador malicioso, y el 4 de enero de 2012, el Tribunal de Apelación de Inglaterra y Gales sostuvo que la patente no es válido por obviedad . [6]
Los receptores IMSI a menudo se despliegan por orden judicial sin una orden de registro , y las autoridades prefieren el estándar judicial más bajo de un registro de bolígrafo y una orden de captura y rastreo. [7] También se pueden utilizar en operaciones de búsqueda y rescate de personas desaparecidas. [8] Los departamentos de policía se han mostrado reacios a revelar el uso de estos programas y contratos con proveedores como Harris Corporation , el fabricante de los dispositivos de seguimiento telefónico Stingray y Kingfish. [9]
En el Reino Unido, el primer organismo público que admitió el uso de receptores IMSI fue el Servicio Penitenciario Escocés , [10] aunque es probable que el Servicio de Policía Metropolitana haya estado utilizando receptores IMSI desde 2011 o antes. [11]
En Estados Unidos se están anunciando detectores de IMSI que se llevan en el cuerpo y que apuntan a teléfonos móviles cercanos a las autoridades encargadas de hacer cumplir la ley. [12]
La especificación GSM requiere que el teléfono se autentique en la red, pero no requiere que la red se autentique en el teléfono. Este conocido agujero de seguridad es aprovechado por un receptor IMSI. [13] El receptor IMSI se hace pasar por una estación base y registra los números IMSI de todas las estaciones móviles en el área, mientras intentan conectarse al receptor IMSI. [14] Permite forzar que el teléfono móvil conectado no utilice cifrado de llamadas (modo A5/0) o utilice cifrado fácilmente rompible (modo A5/1 o A5/2), lo que hace que los datos de la llamada sean fáciles de interceptar y convertir a audio.
El estándar inalámbrico 3G mitiga el riesgo y mejora la seguridad del protocolo debido a la autenticación mutua requerida tanto del teléfono como de la red y elimina el ataque falso a la estación base en GSM. [2] Algunos ataques sofisticados contra 3G y LTE pueden reducirse a servicios de red que no sean LTE que luego no requieren autenticación mutua. [3]
Todo teléfono móvil tiene la necesidad de optimizar su recepción. Si hay más de una estación base del operador de red suscrito accesible, siempre elegirá la que tenga la señal más fuerte. Un IMSI-catcher se hace pasar por una estación base y hace que todos los teléfonos móviles del operador de red simulado se registren dentro de un radio definido. Con ayuda de una solicitud de identidad especial, puede forzar la transmisión del IMSI. [15]
El IMSI-catcher somete a los teléfonos cercanos a un ataque de intermediario , presentándoles como una estación base preferida en términos de intensidad de señal. Con la ayuda de una tarjeta SIM , se conecta simultáneamente a la red GSM como estación móvil. Dado que el modo de cifrado lo elige la estación base, el receptor IMSI puede inducir a la estación móvil a no utilizar ningún cifrado. Por lo tanto, puede cifrar el tráfico de texto plano desde la estación móvil y pasarlo a la estación base.
A un teléfono móvil objetivo se le envían señales en las que el usuario no podrá distinguir el dispositivo de la infraestructura auténtica del proveedor de servicios celulares. [16] Esto significa que el dispositivo podrá recuperar datos que una torre celular normal recibe de los teléfonos móviles si está registrado. [dieciséis]
Sólo existe una conexión indirecta desde la estación móvil a través de IMSI-catcher a la red GSM. Por esta razón, las llamadas telefónicas entrantes generalmente no pueden conectarse a la estación móvil mediante la red GSM , aunque las versiones más modernas de estos dispositivos tienen sus propias soluciones de conexión móvil para proporcionar esta funcionalidad.
La diferencia entre un receptor IMSI pasivo y un receptor IMSI activo es que un receptor IMSI activo intercepta los datos en transferencia, como el tráfico hablado, de texto, de correo y web, entre el punto final y la torre de telefonía móvil.
Los captadores IMSI activos generalmente también interceptan todas las conversaciones y el tráfico de datos dentro de un amplio rango, por lo que también se les llama torres de telefonía móvil fraudulentas. Envía una señal con una gran cantidad de comandos a los puntos finales, que responden estableciendo una conexión y enruta todas las conversaciones y el tráfico de datos entre los puntos finales y la torre celular real durante el tiempo que el atacante desee.
Por otro lado, un receptor IMSI pasivo solo detecta el IMSI , TMSI o IMEI de un punto final. Una vez que se detecta la dirección IMSI, TMSI o IMEI, el punto final se libera inmediatamente. El IMSI-catcher pasivo envía una señal con un solo comando específico a los puntos finales, que responden a ella y comparten los identificadores del punto final con el IMSI-catcher pasivo. Los proveedores de receptores IMSI pasivos tienen más en cuenta la privacidad.
Los ataques falsos a estaciones base se evitan mediante una combinación de actualización de claves y protección de la integridad de los datos de señalización, no mediante la autenticación de la red de servicio. [17]
Para proporcionar una alta cobertura de red, el estándar UMTS permite la interoperabilidad con GSM. Por lo tanto, a la red de servicio UMTS están conectadas no sólo estaciones base UMTS sino también GSM. Esta alternativa es una desventaja de seguridad y permite una nueva posibilidad de un ataque de intermediario. [18]
La asignación de un receptor IMSI presenta una serie de dificultades:
Se han realizado algunas investigaciones preliminares para tratar de detectar y frustrar los receptores de IMSI. Uno de esos proyectos se realiza a través del software de estación móvil de código abierto Osmocom . Este es un tipo especial de firmware de teléfono móvil que se puede utilizar para detectar y tomar huellas dactilares de ciertas características de red de los receptores IMSI y advertir al usuario que existe un dispositivo de este tipo operando en su área. Pero esta detección basada en firmware/software está fuertemente limitada a unos pocos teléfonos móviles GSM obsoletos (es decir, Motorola) que ya no están disponibles en el mercado abierto. El principal problema es la naturaleza de código cerrado de los principales productores de teléfonos móviles.
La aplicación Android IMSI-Catcher Detector (AIMSICD) se está desarrollando para detectar y eludir los receptores IMSI mediante StingRay y SMS silenciosos . [20] También se ha desarrollado tecnología para una red estacionaria de detectores IMSI-catcher. [13] Varias aplicaciones que figuran en Google Play Store como aplicaciones de detección de receptores IMSI incluyen SnoopSnitch, Cell Spy Catcher y GSM Spy Finder y tienen entre 100 000 y 500 000 descargas de aplicaciones cada una. Sin embargo, estas aplicaciones tienen limitaciones porque no tienen acceso al hardware subyacente del teléfono y pueden ofrecer sólo una protección mínima. [21]