RootedSatellite: Valencia

1. David Pérez
david.perez@layakk.com
1
I wanna jam it wid you
Satellite Edition
Rooted Satellite Valencia
José Picó
jose.pico@layakk.com

2. 2
Rooted Satellite Valencia

3. 3
DENEGACIÓN DE SERVICIO
Rooted Satellite Valencia

4. 4
¿POR QUÉ NOS INTERESA LA
DENEGACIÓN DE SERVICIO?
Rooted Satellite Valencia

5. 5
¿Por qué nos interesa la
denegación de servicio?
Por un lado, interesa connocer las
capacidades ofensivas de los
atacantes para poder evaluar los
riesgos adecuadmente
Por otro lado, la denegación de
servicio puede ser necesaria como
defensa ante algunos ataques
Rooted Satellite Valencia

6. 6
Denegación de servico de telefonía
móvil
En los niveles superiores
del protocolo
En los niveles de radio
del protocolo
En el nivel de la señal
(uplink o downlink)
Rooted Satellite Valencia

7. 7
Rooted Satellite Valencia
Objetivo
En esta charla presentamos el resultado de una
serie de pruebas que hemos realizado para
jamming de la señal del downlink, tanto en 3G
como en 2G, y las herramientas (propias y de
terceros) que hemos utilizado para ello.

8. 8
Rooted Satellite Valencia
Laboratorio

9. 9
2G/GSM/GPRS
Rooted Satellite Valencia

10. 10
JAMMERS CLÁSICOS
Rooted Satellite Valencia

11. 11
Funcionamiento de un jammer
clásico contra una señal 2G
Rooted Satellite Valencia

12. 12
La señal de ruido blanco
Fácil de generar para la
circuitería
Se expande fácilmente
en el ancho de banda
del transmisor con un
nivel de señal
aceptable
GSM es bastante
sensible al ruido blanco
Rooted Satellite Valencia
Consume toda la
energía disponible
indiscriminadamente
Su nivel de señal oscila
en el tiempo
No es sincronizable
3G es muy robusto
frente a ruido blanco

13. Ruido blanco Ruido blanco (generado) no filtrado
13
Rooted Satellite Valencia
Ruido ambiental -110 dBm
Gain UmTRX -28

14. Ruido blanco Ruido blanco (generado) no filtrado
14
Rooted Satellite Valencia
Ruido ambiental -110 dBm
Gain UmTRX -28

15. 15
¿Es posible mejorar la señal del
jammer?
Construir señales que sean más
efectivas que el ruido blanco
Aprovechar más la energía disponible
contra el espectro de una señal GSM
Rooted Satellite Valencia

16. 16
Aprovechar la energía
No es necesario emitir en todo el
espectro, sino donde están las señales
GSM
Rooted Satellite Valencia

17. 17
Aprovechando la energía
disponible
Las señales se construyen digitalmente
Luego pueden desplazarse, combinarse,
etc., siempre en el tratamiento digital,
antes de emitirlas (con limitaciones)
Rooted Satellite Valencia

18. 18
Aprovechando la energía
disponible
Limitaciones:
– La máxima frecuencia de muestreo del conversor D/A del equipo
limita el ancho de banda total
Cuantas más señales se combinan, más potencia se
consume
Rooted Satellite Valencia

19. 19
Aprovechando la energía
disponible
Emitir una señal en una frecuencia durante un tiempo, y
luego ir cambiando de frecuencia
Rooted Satellite Valencia

20. 20
¿Es posible mejorar la señal del
jammer?
Construir señales que sean más
efectivas que el ruido blanco
– Ruido filtrado
– Constantes y ondas específicas
– Sañales digitales construidas ad-hoc
Rooted Satellite Valencia

21. Señales generadas para inhibir GSM
21
SEÑALES CONSTRUIDAS ESPECÍFICAMENTE
Rooted Satellite Valencia

22. 22
Señales constantes
El móvil obtiene la sincronización
de frecuencia y de tiempo de
cada celda basándose en un
canal de GSM (FCCH) que
contiene las ráfagas de
sincronización de frecuencia.
Rooted Satellite Valencia

23. 23
Ocultar celdas
Principio: ocultar la información de sincronismo
de la celda GSM, de forma que el móvil no la
encuentre cuando la busque
Construimos diferentes tipos de señal:
– Señales sencillas (constantes, sinusoidales)
centradas en F+67,7KHz
– Señales construidas simulando el FCCH
Rooted Satellite Valencia

24. 24
Utilización de señales sencillas
La señal en sí misma no inhibe el servicio de la
celda actual en la que está campando el móvil,
pero la oculta de ser elegida de nuevo
Efectividad para potencias similares a las
necesarias para que el ruido blanco sea efectivo
Sería necesario hacer pruebas intensivas en un
entorno real para cuantificar la efectividad de
esta técnica.
Rooted Satellite Valencia

25. 25
Limitaciones: ancho de banda
13 Msps
6,5 Msps
3,25 Msps
Banda 900
Rooted Satellite Valencia

26. 26
Limitaciones: potencia
Cuantas más señales combinamos, menos
potencia de pico en cada señal
Rooted Satellite Valencia

27. 27
Utilización de señales sencillas
anti-sincronización
La señal en sí misma no inhibe el servicio de la
celda actual en la que está campando el móvil,
pero la oculta de ser elegida de nuevo.
– Podemos usar un mecanismo de jamming de celda,
que puede ser multiplexado en el tiempo.
Rooted Satellite Valencia

28. 28
Utilización de señales sencillas
anti-sincronización
Efectividad para potencias similares a las
utilizadas para emitir ruido blanco
Sería necesario hacer pruebas intensivas en un
entorno real para cuantificar la efectividad de
esta técnica.
Rooted Satellite Valencia

29. 29
Señales ad-hoc anti-sincronización
Simular el canal FCCH, con una señal
modulada GMSK
Son menos efectivas porque consumen más
energía y no introducen ruido adicional
Rooted Satellite Valencia

30. 30
Señales de jamming específicas
Se ha logrado alguna señal que es más efectiva
que el ruido blanco filtrado, pero debido al
consumo de potencia, no es rival sin multiplexar
para el ruido blanco sin filtrar
En el ejemplo, una señal construida a partir de
Training Sequences
Rooted Satellite Valencia

31. 31
Rooted Satellite Valencia
3G/UMTS

32. 32
Características de la señal en 3G
Fuente: www.wirexhibit.com
Rooted Satellite Valencia

33. 33
Características de la señal en 3G:
spreading (=channelization+scrambling)
Fuente: http://www.umtsworld.com/
En emisión:
– Cada bit se transforma en 256 “chips”
– Los chips se modifican según un código de canalización
Rooted Satellite Valencia
(channelization)
– Finalmente los chips resultantes se vuelven a modificar según
un código de “scrambing” (scrambling)

34. 34
Características de la señal en 3G:
utilidad del spreading
Fuente: http://alumni.cs.ucr.edu/
Rooted Satellite Valencia

35. 35
Rooted Satellite Valencia

36. 36
Funcionamiento de un jammer
clásico contra una señal 3G
Rooted Satellite Valencia

37. 37
Un canal especial: CPICH
CPICH = Common Pilot Channel
Secuencia de bits conocida
Código de canalización conocido
Cada NodeB emite un CPICH usando un código
de scrambling único (único entre las celdas
vecinas que usen la misma frecuencia), llamado
PSC (Primary Scrambling Code)
Los dispositivos móviles lo utilizan como
referencia (RSCP, Ec/Io, sincronismo, fase)
Rooted Satellite Valencia

38. 38
¿Y si emitimos un CPICH falso?
Rooted Satellite Valencia

39. 39
Problema: sincronización
Los PSC tienen como propiedades:
– Correlación cruzada muy baja
– Autocorrelación muy alta para mismo origen de tiempo, pero
muy baja en cualquier otro caso
Rooted Satellite Valencia

40. 40
Captura y emisión sincronizada
Escucha del CPICH
de la celda de
interés
Localización de un
inicio de trama (T0)
Comienzo de
emisión en:
– T0 + N * 10 ms
Rooted Satellite Valencia
GigE
UHD
UmTRX

41. 41
En la práctica…
Rooted Satellite Valencia

42. ¿Y si…?
¿… emitiéramos también un BCCH con información falsa?
¿… modificáramos sutilmente la frecuencia de emisión?
¿…?
42
No somos los únicos que lo hemos pensado:
www.faqs.org/patents/app/20120202460
Rooted Satellite Valencia

43. 43
Rooted Satellite Valencia
4G/LTE

44. 44
Características de la señal en 4G
MIMO-OFDM: Multiple Input Multiple Output
Orthogonal Frequency Division Multiplexing
Fuente: connectedplanetonline.com
Rooted Satellite Valencia
Fuente: wikipedia

45. 45
Características de la señal en 4G:
Portadoras piloto
Fuente: http://www.ni.com/
Rooted Satellite Valencia

46. 46
Ataque a las portadoras piloto
Rooted Satellite Valencia
Ganancia frente a
“barrage jamming”:
– Pilot Jamming: 2dB
– Pilot Nulling: 7.5 dB
Fuente: http://www.ni.com/

47. 47
Ataque a las portadoras piloto
Rooted Satellite Valencia
Sincroniz. perfecta: 3 dB de
ganancia sobre “barrage jamming”
Pérdidas de eficiencia:
– error en sincronización temporal (%
de tiempo de símbolo):
• 25%: 0.25 dB
• 50%: 1
– error en frecuencia (normalizado):
• 0,2: 1 dB
• 0,5: 3 dB

48. 48
CONCLUSIONES
Rooted Satellite Valencia

49. 49
Conclusiones
Es posible inhibir la señal en el downlink de
forma más eficiente que con ruido blanco:
– En GSM, ocultando la información de sincronización
de las celdas y luego jameando con multiplexación en
el tiempo
– En UMTS, atacando el CPICH
– En LTE, atacando las portadoras
En UMTS, emitir un CPICH falso correctamente
sincronizado podría facilitar otro tipo de ataques,
como suplantar a un nodoB activo
Rooted Satellite Valencia

50. 50
Rooted Satellite Valencia

51. David Pérez
david.perez@layakk.com
51
I wanna jam it wid you
Satellite Edition
Rooted Satellite Valencia
José Picó
jose.pico@layakk.com