Detection: Check value from registration timer T3212

Created by: Gitschubser

In the project https://opensource.srlabs.de/projects/mobile-network-assessment-tools/wiki/CatcherCatcher they check the timer T3212:

L5 Y The registration timer is set to a value < 10 minutes wip

We should check this timer too.

http://www.kmshetty.com/2011/06/t3212-periodic-location-update-timer.html http://rfnetworkoptimization.blogspot.de/2011/05/explain-timer-t3212.html http://de.wikipedia.org/wiki/IMSI-Catcher#Schutzma.C3.9Fnahmen

Allerdings ist diesem erkennbaren Muster auf einfachste Art und Weise durch den IMSI-Catcher zu entgegnen, indem ein script pseudo-zufällig für Aktivität zu den einzelnen eingebuchten Teilnehmern sorgt, z.B. durch stille SMS oder RRLP-Abfragen. Dadurch werden die T3212-Timer der einzelnen Teilnehmer dazu gebracht, nicht mehr quasi-synchron zu laufen, die Aktivitätsmuster erscheinen zufälliger, und diese einfache Möglichkeit der Erkennbarkeit wird verhindert.

Da der IMSI-Catcher zwar gegenüber dem Mobiltelefon ein GSM-Netzwerk simulieren kann, jedoch nicht gegenüber dem Netzwerk ein Mobiltelefon, ist ein Scan-Vorgang mit IMSI-Catcher auch recht einfach durch einen Telefonanruf zu enttarnen: Man ruft das fragliche Mobiltelefon an. Wenn es nicht klingelt, wurde die vom „echten“ Netz kommende Signalisierung verschluckt. Ein erfolgreicher terminierter Anruf kann den Einsatz eines „einfachen“ IMSI-Catchers ausschließen (z. B. R&S GA 090). Mittlerweile gibt es jedoch intelligentere IMSI-Catcher, die nur halbaktiv arbeiten. Somit lassen sich auch eingehende Gespräche belauschen. Ein paar Mobiltelefone (z. B. frühere Geräte von SonyEricsson) zeigen jedoch eine deaktivierte Verschlüsselung an ("Ciphering Indication Feature"), was auf den Einsatz eines IMSI-Catchers zurückzuführen sein kann - vorausgesetzt, dass der Netzbetreiber dies nicht über das OFM bit in EF_AD (Operational Feature Monitor LSB in Byte 3 der Elementary File: Administrative Data "6FAD") auf der SIM unterdrückt. Davon unbeeinträchtigt sind jedoch Überwachungsfunktionen, die direkt vom echten Netzwerk vollkommen ohne IMSI-Catcher gesteuert werden.

Google Translation:

However, this apparent pattern in the simplest manner by the IMSI-catcher is to counter by a script pseudo-random provides activity to the individual logged-participants, eg by silent SMS or RRLP queries. Thus, the T3212 timer of each participant is made ​​to no longer run quasi-synchronous activity patterns appear random, and this simple way of recognition is prevented.

Since the IMSI-catcher can indeed over the phone to simulate a GSM network, but not over the network a mobile phone, a scan with IMSI-Catcher is also quite easy to expose by a phone call: You call to the mobile phone in question. If it does not ring, coming from the "real" network signaling has been swallowed. A successful terminated call can use a "simple" IMSI catcher exclude (z. B. R & S GA 090). Meanwhile, there are smarter IMSI catcher who work only half active. Thus, incoming calls can eavesdrop. However, a few mobile phones (E.g. previous Sony Ericsson devices) show a disabled encryption on ("Ciphering Indication Feature"), which may be due to the use of an IMSI catcher - provided that the network operator, this is not bit on the OFM in EF_AD (Operational feature monitor LSB in byte 3 of the Elementary File: Administrative Data "6FAD") suppressed on the SIM. Not compromised but are monitoring functions that are controlled directly from real network completely without IMSI-Catcher.

Want to back this issue? Post a bounty on it! We accept bounties via Bountysource.