記事は広告で囲まれていて、Citizen Labの元のソースからのブログスパムだね。

そうそう、URLを https://www.haaretz.com/israel-news/security-aviation/2026-0... から、参照しているレポートに変更したよ。提出したURLのリンクは上のテキストに残しておくね。

https://archive.ph/0QYbN

すごく興味深いね。DiameterやSS7については、専門家がたくさんいるし。

SS7やMAPみたいなレイヤー化されたプロトコルには、ほぼゼロのセキュリティ対策しかないから、これをエクスプロイトとは呼べないよね。

記事がそう言ってるように、エクスプロイトと呼ぶこともできるけど、それは別の意味だね。

これは結構面白い読み物だったけど、いくつかの主張はかなり状況証拠的に感じた。コメントが小説みたいになりそうだったけど、みんなをその苦痛から救うために要約するよ。俺は無線通信のキャリアをスタートしたんだけど、Diameterルーティングやローミングパートナーとの技術的な問題に直接関わってた。SIMカードのことは専門外だから、そこについてはコメントしないけど、レポートが見落としてる重要な点がいくつかあると思う。まず、携帯ネットワークがユーザーを追跡する方法について。GPS座標のセットを返すわけじゃないんだ。携帯ネットワークには解決すべき問題があって、どの無線でデバイスが着信（またはSMSやパケット）でアイドルから起きるべきかを伝えるかなんだ。これを全く追跡できなかったら、国全体に全ての通話を通知するために帯域幅が使われちゃう。一方で、これを全ての無線で追跡できるけど、そうするとネットワーク全体がデバイスに到達するための最適な無線の変更についての信号トラフィックで埋まっちゃう。風に揺れる木が常に更新を引き起こすみたいな感じだね。だから、ネットワークをエリアに分けて、デバイスが動いて新しいエリアのタワーからビーコンを見たら、ネットワークに位置情報を更新するように伝えるんだ。Cell IDという少し正確な記録もあるけど、デバイスはそれを常に最新に保つ必要はない。だから、レポートでCell ID/E-UTRAN Global Cell IdentityやLAC/TAIについての言及があるとき、これがその識別子に結びつく概念なんだ。Cell IDをGPS位置にマッピングできるデータベースもあって、それをタワーへの割り当てと考えることができるけど、いくつかの偏差がある（無線の遠隔地など）。だから、ほとんどの場合、デバイスのGPS位置を得るのではなく、タワーを得ることになる。これはまだプライバシーに関する影響があって、無線ネットワークがより密になって高速化するにつれて、時間とともにより正確になるけど、実際のデバイスの位置からは数十キロ離れているかもしれない。結局、小説みたいになっちゃったけど、短くしないとね。DiameterプロトコルやGPRSのDNS動作に関する証拠のいくつかは、レポートを読むときに結論づけるほど強いとは思えない。特に印象的だったのは、DNS NXDomainが情報源を隠すためのトレードクラフトの指標として何度も言及されていること。これは、クエリを行うために使われるソースネットワークが他のプロバイダーとローミング契約を結んでいない場合、ローミングDNSでの期待される動作だと思う。GSMAのDNS仕様はちょっと変で、何度も痛い目にあったけど、インターネットで期待されるようなDNS関連の期待は持ってないんだ。オープンなインターネットでは、comからycombinatorへの委任を見て、それをycombinatorにたどることが期待されるけど、ローミング交換ネットワークではそうじゃない。ファイアウォールや回答は、契約があるときだけ開かれるから。このプロバイダーが小さい場合、契約があまりないかもしれないし、NXDomainやタイムアウトが返ってくるのはおかしくない。これは、ルートやプロバイダーの証明書が詳細に入っていないかによるけど、そこは詳しく触れてない。Diameterに関するいくつかの発言も、技術を完全に理解していないように感じたし、トレードクラフトへの直接的なリンクを示唆している。Origin-HostとRoute-Record 1が同じであることは、標準の技術的違反かもしれないけど、影響はなくて、ネットワークオペレーターが内部の詳細を世界に広告したくないだけのことだって説明できる。IPXプロバイダーが領域とホストの不一致を検出できなかったことも、期待されるかどうかも分からないし、どうやってやるのかも分からないけど、分析の観点からは、敵がそれを明らかにした明らかなミスだね。でも、プロバイダー間で十分な情報が交換されていたとは思えないし、そういうフィールドの強制が実際に可能だったかどうかは分からない。ローミング交換だけでなく、全てのネットワークがそれを強制できなかったことも忘れないで。今、敵がこのレポートを見てバグを修正するかもしれないから、その強制が状況を完全に変えたとは言えない。でも、強制されていれば、悪意のある行為者がいることが早く検出できたかもしれないという点はあるね。他の主張についても、019Mobileが実際にメッセージを中継していたのか、二次ホップがメッセージを受け入れるように騙されていたのか、敵が019Mobileを装っていたのか、という合理的な説明もある。これが少し状況を変えるね。彼らは019Mobileがこれらのメッセージのソースだと長々と話しているけど、可能性は高いものの、他にもメッセージの起源に関する信頼できる説明がある。技術的な詳細についても間違っている部分があるけど、重要な点ではないと思う。面白いレポートだし、実際に何かが起こっているようだけど、引用されている証拠の多くには問題があると思うし、多くの読者が強い結論を引き出すかもしれないけど、それは避けた方がいいと思う。

それが短いバージョンなら、ブログ記事を書いた方がいいよ。

GSMセルIDよりも正確な方法があるよ。「マルチラテレーション：より高度なシステムは、複数の隣接する基地局からの信号強度やタイミングを使って、電話の位置を三角測量する。これは、基地局の密度が高い都市部ではより正確。」多くの場合、200メートル以内の精度が達成できるんだ。「GSM位置情報のデータベース相関法」。IEEE VTS第53回車両技術会議、2001年春。

> 最初のものは、セルラーネットワークがユーザーを追跡するために行うことだ。GPS座標のセットを返しているわけではない。セルラーネットワークのRF側で働いている人から見ると、君は絶対に正しい。だけど、現代の携帯電話のベースバンドチップはMT-LRを実装することが求められていて、これによりネットワークはデバイスに緯度と経度を返すように要求できる。アメリカでは、これが300メートル以内の精度であることが法律で求められているから、GPSまたはAGPSからの情報になる。リクエストでクライアントタイプとしてLAWFUL_INTERCEPT_SERVICESを送信すると、電話はユーザーに通知したりリクエストをログに残したりしてはいけない。中国がアメリカの「合法的傍受」のクッキージャーに手を突っ込んでいるのが少なくとも3回見つかった理由があるんだ。

> 019Mobileは、イスラエルに拠点を置く民間の携帯電話事業者で、「Telzar 019」というブランド名で運営されている。GSMAのウェブサイトによると、彼らは2013年にモバイルサービスを提供し始め、イスラエルの国際空港での出入国ローミングサービスの「唯一の供給者」となっている。つまり、イスラエルに出入りするほぼ全ての人（他に国境を越えるのはヨルダンとエジプトだけ）は、1つの電話ネットワークオペレーターしか利用できないエリアを通過することを強いられる。仮にこのプロバイダーが怪しいモサドのフロントでないとしても、その存在だけで監視装置のターゲットとしては最高のものになってしまう。

いや、グーグル検索すれば、空港の到着・出発時にSIMカードブースを設置する契約に過ぎないってわかるよ。

つまり、バイナリSMSを電話に送信して、それがSIMに渡され、SIMがバイトコードを通じて解釈して、何でも実行できるってことだよね。例えば、リクエストされたデータを含むSMSを静かに送信させるとか、マジで？ :D これが普通の文書化されたことなんだ。設計された当時は、パラノイアな人たちが存在しなかったか、権力を持っていなかったんだろうね。

残念ながら、フィールド外のほとんどの人は、電話やSIMの内部についてあまり知らないんだよね… 自律的にSMSを送信するSIMカードに関する2つの記事を思い出すな（おそらく昔HNで見つけたやつ）

SIMカードはOracle Java Cardだよ。カード管理や他の機能のためにサービスやSIM（Java Card）アプレットを提供している会社もあるし、オープンソースのアプレットもあるよ。

ネットワークがこれをできるようにしたい理由はわかるよ。だから、これが標準に書き込まれたんだろうし、マイナーな機能だから、ネットワークは他のネットワークからのメッセージをブロックするファイアウォールを実装しなかったんだと思う。