IMSIキャッチャー

International Mobile Subscriber Identity キャッチャー、IMSIキャッチャー（イムズィーキャッチャー）は、携帯電話の通信を傍受し、携帯電話ユーザーの位置情報を追跡するために使用される電話盗聴装置である。スマートフォンなどの携帯回線のハッキングにも使用される。
基本的に、標的の携帯電話とサービス・プロバイダの本物の携帯基地局との間で"偽"の携帯電話の基地局として機能するため、中間者攻撃とされる。
3Gは、携帯電話機とネットワークの双方から相互認証が必要であるため、リスクをある程度軽減できる。
しかし、巧妙な攻撃になると、3G および LTE の通信を、相互認証を必要としない非 LTE ネットワーク・サービスにダウングレードできる。

IMSIキャッチャーは、多くの国で法執行機関や諜報機関によって使用されているが、国民の自由とプライバシーを侵害するとして非常に危惧されており、ドイツのStrafprozessordnung（刑事訴訟法）のように厳しく使用を制限する国もある。
電話のデータ通信が暗号化されていない（または暗号化が非常に弱い）ため、IMSIキャッチャーが不要な国もある。

日本国内でIMSIキャッチャーによって許可なく他人の通信を傍受して解読する行為は、不正アクセス禁止法によって禁じられており、刑事罰を受ける可能性がある。

概要 

仮想基地局（Virtual Base Transceiver Station: VBTS）という、近くにある2G携帯電話の、IMSIを識別し、その通話を傍受するための装置が存在した。IMEIを検出できる高度なものもあった。2003年にローデ・シュワルツが特許を取得し、初めて商品化した。この装置は、悪意のあるオペレーターによって改造された携帯基地局と見なすことができるため、2012年1月4日にイングランド・ウェールズ控訴裁判所は、特許は自明性により無効であると判決を下した。

法執行機関がより低い司法基準であるや trap-and-trace装置（注：電話番号を調べる装置）の使用の許可をする命令を好むように、IMSIキャッチャーは捜査令状なしの裁判所の命令で配備されることが多い。
また、IMSIキャッチャーは行方不明者の捜索や救助活動にも利用できる。
アメリカの警察は、これらのプログラムの使用や、スティングレイやキングフィッシュの携帯電話傍受装置のメーカーであるなどの販売会社との契約を明らかにしたがらない。

英国では、公的機関が最初にIMSIキャッチャーを使用したことを認めたのはだったが、ロンドン警視庁は2011年以前からIMSIキャッチャーを使用していたようだ 。

米国の法執行機関に対する、近くにある携帯電話を標的にする身体装着型IMSIキャッチャーの営業もあった。

2Gのモバイル通信では、携帯端末がネットワークに対して認証を要求するが、ネットワークが携帯端末に対して認証を要求しない。このよく知られたセキュリティ・ホールが、IMSIキャッチャーによって悪用される。
IMSIキャッチャーは携帯基地局になりすまし、エリア内のIMSIキャッチャーに接続を試みる全てののIMSI番号を記録する。接続された携帯電話に対して、通話暗号化なし（A5/0モード）や、解読が容易な暗号化（A5/1またはA5/2モード）を強制することで、通話データの傍受や音声への変換を容易にする。

3G および LTE に対する巧妙な攻撃の中には、相互認証を必要としない非 LTE モバイルネットワークにダウングレードできるものがある。

4Gは、3G以前と比べるとセキュリティは強化されているが、安価なSDRとオープンソースのツールで作成したIMSIキャッチャーで攻撃できる。

5Gでは、4G以前でプレーン・テキストとして通信していたIMSIが暗号化されて、SUCI（Subscription Concealed Identifier）として認証する仕様に変更された。攻撃者はSUCIに対応した攻撃（SUCIキャッチャー）が必要になる。

機能

IMSIの識別 

すべての携帯電話には、受信を最適化する要件がある。加入しているネットワーク事業者の携帯基地局に複数接続できる場合、常に最も信号の強い携帯基地局を選択する。IMSIキャッチャーは携帯基地局になりすまし、規定の半径内にある偽装したネットワーク事業者の全ての携帯電話にログインさせる。特別な識別要求を送ることで、強制的にIMSIを送信させることができる。

携帯電話の盗聴 

IMSIキャッチャーは、近くの携帯電話を中間者攻撃の標的とし、信号強度を強くすることで優先的に接続する携帯基地局のように見せかける。同時にSIMを使用して、自身はとして2Gモバイルネットワークにログインする。暗号化モードを選択するのは携帯基地局であるため、IMSIキャッチャーは携帯端末が暗号化しないように誘導することができる。したがって、移動端末から受け取ったプレーン・テキストの通信を暗号化したうえで携帯基地局に転送することができる。

標的にされた携帯電話には、ユーザーが本物のサービス・プロバイダーと見分けがつかないような信号が送られる。つまり、攻撃者が標的の端末のIMSIを知っている場合、通常の携帯基地局が携帯電話から受信するデータをIMSIキャッチャーが取得できることになる。
5GではIMSIを暗号化したSUCIを用いて通信するため、SUCIを解読するための暗号鍵も入手する必要がある。

携帯端末からIMSIキャッチャーを介して2Gモバイルネットワークへ間接的に接続する。一般的に着信通話は2Gモバイルネットワークによってパッチを通されることはないが、新しいバージョンのIMSIキャッチャーは盗聴するために独自の携帯電話のパッチを通す。

携帯電話を傍受することで、通話やSMS、Twitterなどの通信データを盗聴できる。

DoS攻撃も可能である。

位置の追跡 

携帯電話の電源を入れると、携帯電話はサービス・プロバイダの携帯基地局と通信し、IMSIを用いて認証する。認証した後、IMSIの特定を避けるために、サービス・プロバイダからが割りあてられ、以後はTMSIを用いて携帯基地局と通信する。

TMSIの変更の頻度が少ない場合、IMSIキャッチャーは射程範囲内の標的の携帯電話の位置を追跡できる。

携帯の通信システムのダウングレード 

標的の携帯の通信システムをダウングレードすることでセキュリティを弱くし、攻撃しやすくする。

電話番号の推定 

IMSIとTMSI、MCC、MNCなどを元に辞書攻撃を併用することで、携帯の電話番号を推定できる。

ユニバーサル移動体通信システム（UMTS) 
偽の携帯基地局による攻撃は、モバイルネットワークへの認証ではなく、暗号鍵の鮮度とシグナルの整合性への保護との組み合わせによって防御される。

受信できる地域を広くするために、UMTSは2Gモバイルネットワークとの相互運用できる仕様である。したがって、UMTSだけではなく2Gの携帯基地局もUMTSサービスのネットワークに接続する。このダウングレードする機能はセキュリティにおいて欠点となり、中間者攻撃を受けるリスクが大きくなる。

対策 

5Gの通信を利用する。IMSIが暗号化されてSUCIとして通信しているため、セキュリティが高い。しかし、攻撃を完全に防げるわけではない。

ダウングレード攻撃に対しては、スマホが新しい機種になるほど防御性能は高くなる。しかし、全ての攻撃を防ぐことのできる機種は存在しない。同じ機種でも、製造会社が違う場合に防御性能が違うことがある（例：iPhone SE）。

IMSIキャッチャーを検知するアプリについては、効果的に攻撃を検出できるものは存在しない。

関連項目 
 スティングレイ (IMSIキャッチャー)
 中間者攻撃
 サイバー攻撃
 サイバーストーカー
 通信機能抑止装置

外部リンク 
 Washington Post "How StingRay cellphone surveillance devices work"
 ABC11 "The Stingray: How Law Enforcement Can Track Your Every Move"
 Chris Paget's presentation Practical Cellphone Spying at  DEF CON 18
 Verrimus - Mobile Phone Intercept Detection
 Mobile Phone Networks: a tale of tracking, spoofing and owning mobile phones
 IMSI-catcher Seminar paper and presentation
 Mini IMSI and IMEI catcher
 The OsmocomBB project
 MicroNet: Proximus LLC GSM IMSI and IMEI dual band catcher
 MicroNet-U: Proximus LLC UMTS catcher
 iParanoid: IMSI Catcher Intrusion Detection System presentation
 Vulnerability by Design in Mobile Network Security

出典

参考 
 
 
 

ハッキング (コンピュータ・セキュリティ)
モバイルネットワーク
携帯機器