В ходе обсуждения предыдущих двух частей описания проекта Tottoli GSM "Все под контролем: защищаем корпоративные разговоры" (Часть 1, Часть 2) стало ясно, что отдельного описания требует технология использования и реализации MULTI SIM. В этой статье мы подробно расскажем именно о технологии MULTI SIM. Все привыкли воспринимать SIM-карту как некий безусловный элемент аутентификации абонента в сети. В рамках платформы Tottoli GSM модуль MULTI SIM является неотъемлемой частью системы и выполняет необходимые функции, предъявляемые проектом. Так как SIM-карта является элементом сети, рассматривать её функциональность вне системы невозможно. Более наглядным будет рассмотрение функционала модуля относительно конкретных сценариев. • Размер памяти: 256 Кб
• Поддержка на уровне аппаратного обеспечения карты алгоритма MILENAGE и ниже COMP128v1-v3.
• Поддержка javacard 2.2
• Загрузка апплетов с помощью APDU, а также с поддержкой загрузки GSM 03.48 Поддержка функций с целью реализации MULTI SIM функционала: изменения "файлов" (EF GSM 11.11) в (u)SIM-карте c целью смены профилей мобильного оператора: IMSI, KI, HPLMN, PLMN, FPLMN.
Также на SIM-картах предустановлены разработанные нами апплеты и базовый профиль (IMSI/KI и др. параметры, необходимые для регистрации в сети) одного из доступных нам операторов. Под «доступностью оператора» в данном контексте подразумевается опорный договор с этим оператором и имплементация пула профилей в нашу HLR. В описываемых сценариях мы намеренно опустили стандартные процедуры взаимодействия с сетью и сфокусировались на основных моментах. Сотрудник получает телефонный аппарат (ТА) с установленной MULTI SIM. При включении телефона MULTI-SIM автоматически регистрируется в локальной сети благодаря предустановленным параметрам сети в SIM-карте. Локальная сеть в свою очередь позволяет данной SIM-карте регистрацию на основании прописанных параметров SIM в HLR своей сети. Исходящие вызовы внутри локальной сети совершаются стандартным образом. Для звонков между сотрудниками используются короткие номера FMC. FMC-номера и правила маршрутизации для них настраиваются в биллинге компании. Использовать FMC-номера сотрудники могут как внутри локальной сети, так и за её пределами. Сотрудник покидает зону действия локальной сети, телефонный аппарат производит процедуру Location Update (LU) из сетей, доступных на данный момент. Все параметры сети при LU автоматически попадают в биллинг компании для дальнейшего анализа и управления. При необходимости сервер принимает решение о смене текущего профиля и/или смене оператора. Для этого формируется ОТА команда с параметрами профиля и приоритетной сети. Данная команда отправляется на абонентское устройство и происходит смена профиля и перевыбор сети. Когда сотрудник находится в сетях общего пользования, все его коммуникации также проходят через ресурсы компании и подчинены внутренним правилам. Это даёт возможность разрешать или запрещать использование конкретных сетей или делать их приоритетными. Специальный апплет постоянно передаёт параметры сетей на сервер компании. Таким образом в зависимости от местоположения сотрудника, на SIM-карту приходят параметры доверительной сети. Если исходящий звонок идёт во внешней сети PLMN, он также проходит через АТС компании. Это достигается работой специального апплета на SIM-карте. После набора номера и нажатия кнопки вызова апплет перехватывает звонок и маршрутизирует его на сервисный номер, который выделяется биллингом компании для каждого звонка. Таким образом между абонентом А и абонентом Б всегда находится АТС компании, что не позволяет обнаружить прямую связь между абонентами. Организация входящего звонка производится с использованием виртуального номера (DID).
Каждый сотрудник имеет виртуальный номер в формате ABC/DEF. Правила маршрутизации звонков на эти номера также прописаны в биллинге компании. Таким образом звонок из внешней сети PLMN на виртуальный номер (DID) также проходит через АТС компании. Использование интернета (DATA) во внешней сети происходит согласно правилам, прописанным в биллинге компании. Параметры точки доступа прописаны на SIM-карте. APN предоставляется компанией и таким образом весь трафик DATA маршрутизируется на оборудование компании (GGSN). На стороне компании также развёрнут Policy Controller (DPI) для анализа DATA трафика сотрудников. Таким образом обеспечивается безопасность на уровне интернета вне зависимости от того, в сети какого оператора находится сотрудник. Услуга SMS также находится на стороне компании. Таким образом у компании есть весь инструментарий по управлению SMSC: разрешать/запрещать отправку/приём SMS, управление маршрутизацией и логикой. Всё это производится на уровне сети. Таким образом если в биллинге компании стоит флаг о запрете входящих SMS, такая попытка будет пресечена на уровне оператора-инициатора. Этот механизм не позволяет производить атаки с помощью SMS любого класса, в том числе и так называемых Silent SMS. Всем сотрудникам доступен USSD сервис. Через SIM MENU SIM-карты сотрудник может воспользоваться услугами данного сервиса. Вся логика развёрнута на сервисе компании. Таким образом сотрудник получает всю актуальную информацию и управляет доступными сервисами и услугами, разрешёнными для конкретного сотрудника или группы сотрудников. Смена профиля (IMSI/KI) на SIM-карте может происходить по разным событиям: при процедуре LU смену профиля инициирует сам сотрудник через SIM MENU, смена профиля инициируется со стороны сервера без участия сотрудника, смена профиля производится по заданному таймингу. Смена профиля обеспечивается предустановленным апплетом на SIM-карте. Погрузка профилей производится с помощью ОТА со стороны сервера компании. Процедура смены профиля происходит синхронно с функцией ТА и сменой IMEI. Таким образом происходит смена всех идентификаторов в сети. Также на данных MULTI-SIM картах доступны апплеты с функциями: В итоге благодаря программным дополнениям, реализованным на MULTI-SIM, мы смогли реализовать необходимое взаимодействие абонентского устройства и серверной части как в локальной сети, так и в сетях общего пользования без ущерба для безопасности. Все под контролем: защищаем корпоративные разговоры. Часть 1.
Все под контролем: защищаем корпоративные разговоры. Часть 2: защищенный телефонный аппарат