悪い接続：隠れた監視者によるグローバルな通信の搾取

記事は広告で囲まれていて、Citizen Labの元のソースからのブログスパムだね。

https://archive.ph/0QYbN

すごく興味深いね。DiameterやSS7については、専門家がたくさんいるし。

SS7やMAPみたいなレイヤー化されたプロトコルには、ほぼゼロのセキュリティ対策しかないから、これをエクスプロイトとは呼べないよね。

これは結構面白い読み物だったけど、いくつかの主張はかなり状況証拠的に感じた。コメントが小説みたいになりそうだったけど、みんなをその苦痛から救うために要約するよ。俺は無線通信のキャリアをスタートしたんだけど、Diameterルーティングやローミングパートナーとの技術的な問題に直接関わってた。SIMカードのことは専門外だから、そこについてはコメントしないけど、レポートが見落としてる重要な点がいくつかあると思う。まず、携帯ネットワークがユーザーを追跡する方法について。GPS座標のセットを返すわけじゃないんだ。携帯ネットワークには解決すべき問題があって、どの無線でデバイスが着信（またはSMSやパケット）でアイドルから起きるべきかを伝えるかなんだ。これを全く追跡できなかったら、国全体に全ての通話を通知するために帯域幅が使われちゃう。一方で、これを全ての無線で追跡できるけど、そうするとネットワーク全体がデバイスに到達するための最適な無線の変更についての信号トラフィックで埋まっちゃう。風に揺れる木が常に更新を引き起こすみたいな感じだね。だから、ネットワークをエリアに分けて、デバイスが動いて新しいエリアのタワーからビーコンを見たら、ネットワークに位置情報を更新するように伝えるんだ。Cell IDという少し正確な記録もあるけど、デバイスはそれを常に最新に保つ必要はない。だから、レポートでCell ID/E-UTRAN Global Cell IdentityやLAC/TAIについての言及があるとき、これがその識別子に結びつく概念なんだ。Cell IDをGPS位置にマッピングできるデータベースもあって、それをタワーへの割り当てと考えることができるけど、いくつかの偏差がある（無線の遠隔地など）。だから、ほとんどの場合、デバイスのGPS位置を得るのではなく、タワーを得ることになる。これはまだプライバシーに関する影響があって、無線ネットワークがより密になって高速化するにつれて、時間とともにより正確になるけど、実際のデバイスの位置からは数十キロ離れているかもしれない。結局、小説みたいになっちゃったけど、短くしないとね。DiameterプロトコルやGPRSのDNS動作に関する証拠のいくつかは、レポートを読むときに結論づけるほど強いとは思えない。特に印象的だったのは、DNS NXDomainが情報源を隠すためのトレードクラフトの指標として何度も言及されていること。これは、クエリを行うために使われるソースネットワークが他のプロバイダーとローミング契約を結んでいない場合、ローミングDNSでの期待される動作だと思う。GSMAのDNS仕様はちょっと変で、何度も痛い目にあったけど、インターネットで期待されるようなDNS関連の期待は持ってないんだ。オープンなインターネットでは、comからycombinatorへの委任を見て、それをycombinatorにたどることが期待されるけど、ローミング交換ネットワークではそうじゃない。ファイアウォールや回答は、契約があるときだけ開かれるから。このプロバイダーが小さい場合、契約があまりないかもしれないし、NXDomainやタイムアウトが返ってくるのはおかしくない。これは、ルートやプロバイダーの証明書が詳細に入っていないかによるけど、そこは詳しく触れてない。Diameterに関するいくつかの発言も、技術を完全に理解していないように感じたし、トレードクラフトへの直接的なリンクを示唆している。Origin-HostとRoute-Record 1が同じであることは、標準の技術的違反かもしれないけど、影響はなくて、ネットワークオペレーターが内部の詳細を世界に広告したくないだけのことだって説明できる。IPXプロバイダーが領域とホストの不一致を検出できなかったことも、期待されるかどうかも分からないし、どうやってやるのかも分からないけど、分析の観点からは、敵がそれを明らかにした明らかなミスだね。でも、プロバイダー間で十分な情報が交換されていたとは思えないし、そういうフィールドの強制が実際に可能だったかどうかは分からない。ローミング交換だけでなく、全てのネットワークがそれを強制できなかったことも忘れないで。今、敵がこのレポートを見てバグを修正するかもしれないから、その強制が状況を完全に変えたとは言えない。でも、強制されていれば、悪意のある行為者がいることが早く検出できたかもしれないという点はあるね。他の主張についても、019Mobileが実際にメッセージを中継していたのか、二次ホップがメッセージを受け入れるように騙されていたのか、敵が019Mobileを装っていたのか、という合理的な説明もある。これが少し状況を変えるね。彼らは019Mobileがこれらのメッセージのソースだと長々と話しているけど、可能性は高いものの、他にもメッセージの起源に関する信頼できる説明がある。技術的な詳細についても間違っている部分があるけど、重要な点ではないと思う。面白いレポートだし、実際に何かが起こっているようだけど、引用されている証拠の多くには問題があると思うし、多くの読者が強い結論を引き出すかもしれないけど、それは避けた方がいいと思う。

019Mobileは、イスラエルに拠点を置く民間の携帯電話事業者で、「Telzar 019」というブランド名で運営されている。GSMAのウェブサイトによると、彼らは2013年にモバイルサービスを提供し始め、イスラエルの国際空港での出入国ローミングサービスの「唯一の供給者」となっている。つまり、イスラエルに出入りするほぼ全ての人（他に国境を越えるのはヨルダンとエジプトだけ）は、1つの電話ネットワークオペレーターしか利用できないエリアを通過することを強いられる。仮にこのプロバイダーが怪しいモサドのフロントでないとしても、その存在だけで監視装置のターゲットとしては最高のものになってしまう。