SS7 Açığı Nedir ve Nasıl Çalışır?
SS7 (Signaling System No. 7), dünya genelindeki telefon operatörlerinin birbirleriyle haberleşmesini sağlayan eski nesil bir sinyalleşme sistemidir.
Bunu basitçe, operatörlerin birbirleriyle konuştuğu devasa bir telefon ağı gibi düşünebilirsin.
Örneğin sen başka bir ülkedeki bir kişiyi aradığında veya ona SMS gönderdiğinde, arka planda yalnızca telefonların arasında iletişim gerçekleşmez. Operatörlerin birbirlerine:
Bu numara hangi operatöre ait?
Telefon şu anda hangi şebekede?
SMS hangi sisteme gönderilmeli?
Arama hangi santrale yönlendirilmeli?
gibi birçok bilgi göndermesi gerekir.
Bu işlemlerin önemli bir bölümü tarihsel olarak SS7 üzerinden gerçekleştirilmiştir.
SS7'nin temel problemi
SS7'nin tasarlandığı dönemde telefon operatörlerinin birbirlerine güveneceği varsayılıyordu.
Yani sistemin temel mantığı kabaca şöyleydi:
"Bu mesajı gönderen gerçekten yetkili bir operatör olmalı."
Bu nedenle günümüzde internette gördüğümüz sistemlerde bulunan modern kimlik doğrulama ve güvenlik mekanizmaları SS7'nin ilk tasarımında aynı şekilde bulunmuyordu.
Sorun da burada ortaya çıkıyor.
Eğer saldırgan bir şekilde SS7 ağına yetkisiz erişim elde ederse, operatörlerin birbirleriyle yaptığı bazı sinyalleşme işlemlerini kötüye kullanmaya çalışabilir.
1. Adım: Erişim Satın Almak (Global Title - GT)
SS7 ağına bağlanmak için bir operatör gibi görünmen lazım. Bunun yolu birGlobal Title (GT)adresine sahip olmaktan geçer.
Yol A (Legal/Gri): Gidip Mozambik, Karadağ veya küçük bir Afrika ülkesinde "Telekom Danışmanlık" adı altında bir şirket kurarsın. Oradaki yerel bir operatöre rüşvet veya yüksek bir meblağ vererek "Sistemimi sizin üzerinizden dünyaya bağlamak istiyorum" dersin. Sana bir SIGTRAN (IP tabanlı SS7) tüneli açarlar.
Yol B (Dark Web/Brokerlar): Bazı brokerlar, ellerindeki yasal erişimi "API" olarak kiralarlar. Aylık 15.000$ - 30.000$ arası bir bütçen varsa sana bir kullanıcı adı ve şifre verirler.
Yol C (Insider): Bir operatörün NOC (Network Operations Center) biriminde çalışan personeli satın alırsın. Senin için bir VPN tüneli açar.
2. Adım: Yazılım Altyapısını Kurmak
Erişimi aldın, peki şebekeye nasıl komut göndereceksin? Sıradan bir tarayıcıyla olmaz.
Stack Kurulumu: Linux sunucuna OpenSS7 veya Osmocom gibi kütüphaneleri kurman lazım.
Bağlantı: Aldığın GT adresini ve IP tünelini bu yazılıma tanıtırsın. Artık şebekenin içine "Merhaba, ben bir operatörüm" diyebilecek sinyalleri göndermeye hazırsın.
3. Adım: HLR Sorgusu (Bilgi Toplama)
SS7 güvenlik açıklarını anlamak için önemli kavramlardan biri HLR (Home Location Register) sistemidir.
HLR'yi basitleştirerek, bir mobil operatörün aboneleriyle ilgili çeşitli bilgilerin yönetildiği merkezi bir kayıt sistemi gibi düşünebilirsin.
Mobil şebeke bir telefon numarasıyla ilgili işlem yapmak istediğinde, arka planda çeşitli sinyalleşme mesajları kullanılır.
Bu mesajlar sayesinde şebeke örneğin:
Abonenin hangi operatöre ait olduğunu,
Çağrı veya SMS'in nereye yönlendirilmesi gerektiğini,
Abonenin hangi ağ bileşenleriyle ilişkilendirildiğini
belirleyebilir.
Buradaki önemli ayrıntı şudur:
HLR, telefonun GPS konumunu tutan bir Google Maps sistemi değildir.
HLR ve diğer mobil ağ bileşenleri, telefonun şebeke içerisinde nasıl yönlendirileceğine ilişkin bilgiler sağlar.
Komut: MAP_SEND_ROUTING_INFO_FOR_SM
İşlem: Bu sorgu hedefin ana operatörüne (HLR) gider. HLR, "Bu adam şu an Almanya'da, şu IP'li santrale bağlı" der ve sana hedefin IMSI numarasını (SIM kartın kimliği) verir.
4. Adım: Konum Sorgusunu Patlatmak (ATI/PSI)
İşin en can alıcı yeri. Hedefin o an bağlı olduğu santrale (VLR) doğrudan "nokta atışı" sorusu sorarsın.
Komut: MAP_ANY_TIME_INTERROGATION (ATI)
İçerik: Sorgunun içine "locationInformation" parametresini eklersin.
Dönen Yanıt: Şebeke sana Cell Global Identity (CGI)bilgisini döner.
5. Adım: Haritaya Dökme (Geolocating)
Elde ettiğin CellID (45231) tek başına bir işe yaramaz. Bunu koordinata çevirmen lazım.
Sorgu: opencellid.org gibi devasa baz istasyonu haritalarının API'sine bu kodu gönderirsin.
Sonuç: API sana 41.0142, 25.9760 gibi bir koordinat verir. Bunu Google Maps'e yapıştırırsın ve hedefin hangi sokakta, hangi binanın yanında olduğunu görürsün.
Bu Açıkla Başka Neler Yapılabilir?
SMS Çalma: Saldırgan, "Hedefin SMS'lerini benim üzerimden geçirin" komutu verir. Bankadan gelen onay kodu hedefe değil, saldırganın ekranına düşer.
SMS tabanlı iki faktörlü doğrulama zayıflatılabilir.
Abone ve yönlendirme bilgileri hedef alınabilir.
Dinleme: Gelen aramaları kendi telefonuna yönlendirip konuşmaları kaydedebilir.
