Докладчик представит результат исследования прошивки ядра LTE-модема Huawei E3372, отвечающего за радиоканал. Автор продемонстрирует, как внести в ядро изменения, которые позволят передавать данные по радиоканалу без шифрования.

1. Backdooring LTE modem
radio channel kernel
Ведущий:
Специалист по информационной
безопасности в "ASP Labs"
Лебедев Филипп
1

2. Структура доклада
2
1. Обзор прошивки модема Е3372
2. Исследование прошивки VxWorks ядра
3. Краткий обзор структуры стандарта GSM
4. Слой GSM, отвечающий за шифрование
трафика
5. Патч VxWorks ядра, отключающий
шифрование GSM-трафика
6. Способы защиты VxWorks ядра

3. Чип модема Huawei E3372
3
Linux
VxWorks
Balong

4. Linux:
1. Соответствует стандартному ядру Android
2. Содержит модули, отвечающие за обработку AT-
команд
VxWorks:
1. Осуществляет управление радиомодулем и
взаимодействие с сотовой связью
2. Запускается подсистемой, встроенной в Linux
ICC:
1. Регламентирует взаимодействие между Linux и
VxWorks
Некоторые особенности Linux и VxWorks ядер
4

5. Исследование прошивки VxWorks (1)
5
• binwalk -e E3372-Update_Firmware.exe

6. Исследование прошивки VxWorks (2)
6
• binwalk -e E3372-Update_Firmware.exe

7. Исследование прошивки VxWorks (3)
7
• binwalk -e balong_modem.bin
Balong_modem.bin
gzip
Decompression
VxWorks

8. Исследование прошивки VxWorks (4)
8
Balong_modem.bin
gzip
Decompression
VxWorks
• binwalk -e balong_modem.bin

9. Исследование прошивки VxWorks (5)
9
• binwalk -A vxworks.bin

10. Загрузка VxWorks ядра
10
• adb shell ls –a /dev/mtd/

11. GSM и VxWorks ядро
11
CM
MM
RR
LAPDm
physical
RR
LAPDm
physical
MS BTS
Level 1
Level 2
Level 3
Level 1
Level 2
Level 3

12. GSM и VxWorks ядро
12
CM
MM
RR
LAPDm
physical
RR
LAPDm
physical
MS BTS
Level 1
Level 2
Level 3
Level 1
Level 2
Level 3

13. GSM и Classmark
13
Mobile Station Classmark 1 IE
Mobile Station Classmark 2 IE

14. GSM и Classmark
14
Mobile Station Classmark 1 IE
Mobile Station Classmark 2 IE

15. ClassMark и VxWorks ядро (1)
15

16. ClassMark и VxWorks ядро (2)
16

17. ClassMark и VxWorks ядро (3)
17

18. ClassMark и VxWorks ядро (4)
18
• ORR R2, R2, #0xB

19. ClassMark и VxWorks ядро (5)
19

20. Патч и обновление VxWorks ядра
20
VxWorksEvil
•Патчим
VxWorks ядро
balong_modem.bin
•Упаковываем
с помощью
gzip
MTD-X
•Загружаем в
mtd-
устройство
• adb shell reboot

21. Тестирование патча VxWorks ядра
с помощью Open BTS
21
E3372
GSM
GSM
BTS
Insecure GSM channel

22. HUAWEI и обновления безопасности VxWorks ядра
22
Компания HUAWEI представила следующие
обновления безопасности VxWorks ядра:
1. Добавлена функция security startup function,
отвечающая за безопасную первоначальную загрузку
VxWorks ядра
2. Добавлена верификация целостности VxWorks ядра
посредством алгоритмов подписи с помощью
функции security startup function
3. Для доступа к Linux и VxWorks требуется
аутентификацию пользователя

23. HUAWEI and VxWorks Kernel security updates
23
HUAWEI performs next VxWorks security
updates according to this security issue:
1. Added security startup function, which is
responsible for VxWorks secure booting
2. Added VxWorks signature, which is checked by
security startup function
3. Added Linux and VxWorks shells authorization
procedures