数万安卓用户躺枪，4G网络漏洞究竟是如何实现攻击的？

雷锋网 • 9年前扫码分享

我是创始人李岩：很抱歉！给自己产品做个广告，点击进来看看。

【编者按】针对美国4G网络漏洞事件，雷锋网邀请了360无线电&硬件实验室成员Alin进行深度分析。在本文中，Alin将会对此次出现漏洞的VoLTE网络技术进行解读，4G网络漏洞的背后，到底都有什么技术门道？

最近， CERT（美国计算机安全应急响应组）发布了一个重大消息：美国两大无线运营商 Verizon 和 AT&T 存在严重的网络漏洞，会导致用户遭受点对点的攻击。所有安卓版本的设备不幸全部中枪，包括最新版本的Android6.0（棉花糖）。具体可参考雷锋消息： 4G网络爆出漏洞？美国两大运营商全军覆没

目前在美国出现漏洞的是VoLTE网络技术 ，关于漏洞产生的原因，可引用雷锋网资深安全领域风趣兼具内涵的记者方枪枪所言：

在全球网络通讯向LTE技术演技的过程中，技术的迭代产生了在上一代网络中没有出现过的新攻击方式。

在今年10月，美国丹佛市举办的ACM CCS 2015会议上，来自韩国科学技术院（KAIST）的研究者们发表了他们在VoLTE安全方面的一些研究成果。

什么是VoLTE？

VoLTE是Voice over LTE的缩写，意思是在LTE网络（也就是我们常说的4G网络）上“打电话”。目前全世界大部分的，已经开通了4G网络的移动运营商，都还没有支持VoLTE业务。

根据论文中的数据，到2015年4月，有7个国家的16个运营商支持VoLTE，还有47个国家的90个运营商正在准备部署VoLTE。另外，目前支持VoLTE的终端也比较少。这篇论文总共测试了2个美国运营商和3个韩国运营商。

介绍这个背景的目的是想说明：第一，目前VoLTE还是个新生事物，不成熟，容易暴露问题；第二，因为很多运营商不支持，所以影响面不大。

对中国有影响吗？

香港地区支持。中国大陆地区现在还不支持VoLTE，目前语音通话是使用3G和2G网络。

漏洞利用会危害谁的利益？

对于运营商来说，可以发起的攻击是：

1）绕过运营商的计费系统，免费通话或者免费上网；

2）拒绝服务攻击，使运营商的SIP服务器瘫痪。

对用户的危害是：

1）可以伪造主叫号码，拨打欺诈电话；

2）可以恶意产生巨额话单。

漏洞究竟是如何实现攻击的？

这里解读一下具体的攻击方法。这个研究团队在VoLTE这个攻击面上上做了很多的研究工作，发现的漏洞也很多。

首先说明一下，这个研究的前提是：

1、攻击者没有接触到运营商核心网。

2、攻击者对自己的手机有完全的控制权，也就是有root权限。

因为安卓系统的开放性，所以利用安卓系统进行实验是比较方便的。请注意，手机在这里主要是一个攻击工具，因为漏洞主要存在于运营商的VoLTE系统中。

绕过计费系统

因为VoLTE本质上是一个SIP通话的过程。

SIP是基于IP数据传输的。运营商对VoLTE的计费，沿袭了传统的语音通话按时间长短计费的原则，按照SIP通话的时间长度来计费。而且仅当被叫方发出“接听”这个消息之后，才开始计费。但是，在SIP session建立之前，主叫和被叫双方就已经建立的IP连接（因为SIP是在IP层之上的嘛）。所以攻击者可以让这个SIP session始终不能成功建立，但是IP连接却可以保持，攻击者可以利用这个IP连接免费传输数据。

更糟糕的是，研究者们发现，有些运营商的系统中，两个互相知道IP地址的终端，可以通过P-GW直接传递SIP消息，而不需要经过计费系统所在的IMS。这就使得两个手机可以免费享用这个连接，只要把自己所有的数据包装成SIP的数据包就可以了。

拒绝服务攻击

因为在安卓系统上，可以深度控制SIP客户端，所以可以发送大量的SIP请求，使SIP server瘫痪。根据论文中做过的测试，5个运营商中只有一个运营商对SIP session的数量做了限制。

鉴权不严格

SIP客户端可以任意修改SIP消息的端口，内容等等，当然也可以修改主叫号码。5个运营商中有2个，可以修改主叫号码。类似的问题在普通的VoIP应用中也存在。目前有大量的网络电话服务商，这些IP电话应用程序被破解之后，就可以用于伪造主叫号码，可以以10086或者110这样的身份打出电话，之前已经有很多此类案例。