В ходе обсуждения предыдущих двух частей описания проекта Tottoli GSM "Все под контролем: защищаем корпоративные разговоры" (Часть 1, Часть 2) стало ясно, что отдельного описания требует технология использования и реализации MULTI SIM. В этой статье мы подробно расскажем именно о технологии MULTI SIM.
Все привыкли воспринимать SIM-карту как некий безусловный элемент аутентификации абонента в сети. В рамках платформы Tottoli GSM модуль MULTI SIM является неотъемлемой частью системы и выполняет необходимые функции, предъявляемые проектом. Так как SIM-карта является элементом сети, рассматривать её функциональность вне системы невозможно. Более наглядным будет рассмотрение функционала модуля относительно конкретных сценариев.
Сначала о самой MULTI SIM:
• Размер памяти: 256 Кб
• Поддержка на уровне аппаратного обеспечения карты алгоритма MILENAGE и ниже COMP128v1-v3.
• Поддержка javacard 2.2
• Загрузка апплетов с помощью APDU, а также с поддержкой загрузки GSM 03.48
Поддержка функций с целью реализации MULTI SIM функционала: изменения "файлов" (EF GSM 11.11) в (u)SIM-карте c целью смены профилей мобильного оператора: IMSI, KI, HPLMN, PLMN, FPLMN.
Также на SIM-картах предустановлены разработанные нами апплеты и базовый профиль (IMSI/KI и др. параметры, необходимые для регистрации в сети) одного из доступных нам операторов. Под «доступностью оператора» в данном контексте подразумевается опорный договор с этим оператором и имплементация пула профилей в нашу HLR.
В описываемых сценариях мы намеренно опустили стандартные процедуры взаимодействия с сетью и сфокусировались на основных моментах.
Сценарий 1:
Сотрудник получает телефонный аппарат (ТА) с установленной MULTI SIM. При включении телефона MULTI-SIM автоматически регистрируется в локальной сети благодаря предустановленным параметрам сети в SIM-карте. Локальная сеть в свою очередь позволяет данной SIM-карте регистрацию на основании прописанных параметров SIM в HLR своей сети.
Сценарий 2:
Исходящие вызовы внутри локальной сети совершаются стандартным образом. Для звонков между сотрудниками используются короткие номера FMC. FMC-номера и правила маршрутизации для них настраиваются в биллинге компании. Использовать FMC-номера сотрудники могут как внутри локальной сети, так и за её пределами.
Сценарий 3:
Сотрудник покидает зону действия локальной сети, телефонный аппарат производит процедуру Location Update (LU) из сетей, доступных на данный момент. Все параметры сети при LU автоматически попадают в биллинг компании для дальнейшего анализа и управления. При необходимости сервер принимает решение о смене текущего профиля и/или смене оператора. Для этого формируется ОТА команда с параметрами профиля и приоритетной сети. Данная команда отправляется на абонентское устройство и происходит смена профиля и перевыбор сети. Когда сотрудник находится в сетях общего пользования, все его коммуникации также проходят через ресурсы компании и подчинены внутренним правилам. Это даёт возможность разрешать или запрещать использование конкретных сетей или делать их приоритетными. Специальный апплет постоянно передаёт параметры сетей на сервер компании. Таким образом в зависимости от местоположения сотрудника, на SIM-карту приходят параметры доверительной сети.
Сценарий 4:
Если исходящий звонок идёт во внешней сети PLMN, он также проходит через АТС компании. Это достигается работой специального апплета на SIM-карте. После набора номера и нажатия кнопки вызова апплет перехватывает звонок и маршрутизирует его на сервисный номер, который выделяется биллингом компании для каждого звонка. Таким образом между абонентом А и абонентом Б всегда находится АТС компании, что не позволяет обнаружить прямую связь между абонентами.
Сценарий 5:
Организация входящего звонка производится с использованием виртуального номера (DID).
Каждый сотрудник имеет виртуальный номер в формате ABC/DEF. Правила маршрутизации звонков на эти номера также прописаны в биллинге компании. Таким образом звонок из внешней сети PLMN на виртуальный номер (DID) также проходит через АТС компании.
Сценарий 6:
Использование интернета (DATA) во внешней сети происходит согласно правилам, прописанным в биллинге компании. Параметры точки доступа прописаны на SIM-карте. APN предоставляется компанией и таким образом весь трафик DATA маршрутизируется на оборудование компании (GGSN). На стороне компании также развёрнут Policy Controller (DPI) для анализа DATA трафика сотрудников. Таким образом обеспечивается безопасность на уровне интернета вне зависимости от того, в сети какого оператора находится сотрудник.
Сценарий 7:
Услуга SMS также находится на стороне компании. Таким образом у компании есть весь инструментарий по управлению SMSC: разрешать/запрещать отправку/приём SMS, управление маршрутизацией и логикой. Всё это производится на уровне сети. Таким образом если в биллинге компании стоит флаг о запрете входящих SMS, такая попытка будет пресечена на уровне оператора-инициатора. Этот механизм не позволяет производить атаки с помощью SMS любого класса, в том числе и так называемых Silent SMS.
Сценарий 8:
Всем сотрудникам доступен USSD сервис. Через SIM MENU SIM-карты сотрудник может воспользоваться услугами данного сервиса. Вся логика развёрнута на сервисе компании. Таким образом сотрудник получает всю актуальную информацию и управляет доступными сервисами и услугами, разрешёнными для конкретного сотрудника или группы сотрудников.
Сценарий 9:
Смена профиля (IMSI/KI) на SIM-карте может происходить по разным событиям: при процедуре LU смену профиля инициирует сам сотрудник через SIM MENU, смена профиля инициируется со стороны сервера без участия сотрудника, смена профиля производится по заданному таймингу. Смена профиля обеспечивается предустановленным апплетом на SIM-карте. Погрузка профилей производится с помощью ОТА со стороны сервера компании. Процедура смены профиля происходит синхронно с функцией ТА и сменой IMEI. Таким образом происходит смена всех идентификаторов в сети.
Также на данных MULTI-SIM картах доступны апплеты с функциями:
- Track IMEI
- Remote Control
- Dynamic SIM menu
- History Location
- Notification Bar
В итоге благодаря программным дополнениям, реализованным на MULTI-SIM, мы смогли реализовать необходимое взаимодействие абонентского устройства и серверной части как в локальной сети, так и в сетях общего пользования без ущерба для безопасности.
Читать еще:
Все под контролем: защищаем корпоративные разговоры. Часть 1.
Все под контролем: защищаем корпоративные разговоры. Часть 2: защищенный телефонный аппарат
Nizametdinov
В 4 сценарии Diversion и CLI как передаются на АТС?
В 3 сценарии немножко не прозрачно написано, если я покину зону действия, то никакие команды до меня уже не долетят — надо упомянуть, что апплет по умолчанию сам отрабатывает переключение между сетями.
В 6 сценарии упомяните, что дата только 2G\3G
П.С. Все это реализуемо только при наличии своего HLR в сигнальной сети GSM оператора, не думаю что МТС\Мега пустят.
Nizametdinov
Еще — биллинг в 1 сценарии лишний ИМХО, в момент GSM Attach его никто не спрашивает. Если биллинг против регистрации — он заранее провиженит признак запрета на HLR.
Либо вы нарушили стандартную процедуру атача и накостылили запрос разрешения в биллинг, что явно лишнее — дрючить биллинг при каждом атаче, при 1-2 блокировках в год — это не айс.
AndreyBadin
Биллинг тут играет роль надстройки к CAMEL. У него свои специфические правила. GMSC хост оператора взаимодействует с нашим MSC, а наш MSC обращается к нашему HLR и биллингу. Пулы профилей в HLR не разделяются по группам, именно биллинг определяет группы и правила для каждой группы. Все процедуры согласно контрактов и никаких нарушений быть не может.
AndreyBadin
1. Внутри оператора, все параметры передаются в рамках стандарта, а от оператора до нас по API.
2. В момент, когда абонент покидает зону действия Лок Сти, происходит процедура LU, в этот момент никакие команды не требуются, так как не производится замена профиля. СИМ карта знает разрешённые сети и хранит их в памяти. Если среди доступных сетей нет разрешённых, сим карта сядит на не запрещённую сеть и сообщит нам об этом. Сервер после анализа примет решение, разрешать использование текущей сети или доставить другой профиль с другим списком PLMN.
3. Безусловно, вся необходимая инфраструктура на нашей стороне и для этого МТС или любому другому оператору не нужно пускать нас к себе. Его задача, согласно опорнику предоставить свой радиоресурс и выставить правила для наших IMSI