¿Debo preocuparme si un desarrollador programó una aplicación para enviarle el número IMEI / IMSI del teléfono donde se instaló la aplicación? ¿Qué puede hacer un atacante con dicha información?
El IMEI es un identificador mundial único para el teléfono (el elemento de hardware), mientras que el IMSI es un identificador mundial único para la tarjeta SIM (por lo que se asigna más o menos al usuario humano que lo posee). Consulte esta página . Ambos se envían "tal cual" por aire, y por lo tanto, cualquier atacante con una antena puede obtenerlos y ubicarlos en las cercanías. El conocimiento del IMEI y / o IMSI de algún usuario no proporciona formas adicionales de interrumpir las comunicaciones de ese usuario; No son valores secretos.
Sin embargo ...
Puede haber una pequeña preocupación sobre la privacidad sobre IMEI e IMSI, ya que permiten "rastrear" los hábitos de los usuarios:
Una aplicación podría generar un identificador único aleatorio cada vez que se instala en un teléfono. Sin embargo, al usar el IMEI, la aplicación puede saber si está re instalada en un teléfono determinado; también se puede usar para hacer referencias cruzadas de la tabla de instancias de aplicación instaladas conocidas con ubicaciones de teléfonos celulares obtenidas a través de la escucha de radio pasiva desde alguna estación base.
El IMSI "sigue" al usuario cuando cambia de teléfono (transfiere su tarjeta SIM de su teléfono antiguo a su nuevo teléfono).
Puedo imaginar una aplicación que está vinculada a alguna "cuenta" en un servidor; el uso de IMSI permite al servidor automatizar más fácilmente el "reenganche" de la aplicación cuando el usuario cambia de teléfono. Por la misma razón, los usuarios pueden sentir que su privacidad está violada porque les gustaría poder volver a instalar su aplicación y / o cambiar los teléfonos para "comenzar de nuevo" con una cuenta distinta que no se puede vincular a su propia cuenta.
En gran medida, los usuarios pueden considerar que su IMSI es el equivalente telefónico de su dirección de correo electrónico. Una aplicación que envía automáticamente el IMSI a un servidor es tanto un problema de seguridad o privacidad como una aplicación de software que envía automáticamente el correo electrónico del usuario a un servidor remoto; muchas personas se sentirían incómodas por esto último, y se plantea la cuestión de por qué se hace en primer lugar.
Por supuesto, si una aplicación hace algo estúpido, como usar el IMEI o IMSI como un token de autenticación, por ejemplo. un tipo de contraseña para acceder a los datos en un servidor remoto, luego, al conocer el IMEI o IMSI, se abre el acceso a esos datos. Pero eso es lo que obtienes cuando usas datos no secretos como si fueran secretos.
Con respecto a la divulgación de IMSI : En primer lugar, IMSI es el corazón de su plan de suscripción. Si el atacante conoce el IMSI, la primera consecuencia es una violación de la privacidad de la ubicación. Lo que significa que utilizando IMSI, puede tratar de encontrar la ubicación aproximada de la víctima explotando los protocolos de señalización, como SS7. Este tipo de ataques se pueden realizar simplemente sabiendo el número de teléfono de la víctima. Le recomiendo que lea el artículo " Locate- Trace -Manipulate "o el resumen detallado y detallado según esto tesis . En segundo lugar, saber que IMSI podría provocar ataques aún peores (en el mismo contexto de SS7) para interceptar sus llamadas, mensajes SMS y muchos más.
Con respecto a la divulgación de IMEI : IMEI es el corazón de su teléfono. Se utiliza principalmente para autenticarse en términos de actividades delictivas para verificar si se ha realizado una llamada desde un teléfono específico. Entonces, en el peor de los casos, uno puede usar el IMEI de una víctima de manera astuta para realizar actividades celulares ilegítimas.
Pero es interesante notar que, cuando enciende su teléfono por primera vez (o se apaga desde el MODO DE VUELO), se enviará un IMEI para que la red pueda verificar que el teléfono que solicita servicios celulares no sea un teléfono robado. Para hacerlo, la red compara el número IMEI con el Registro de identidad del equipo (EIR) para ver si el teléfono está en la lista negra.
Ahora veamos qué puede hacer un atacante al conocer tanto IMSI como IMEI: Busque en la Internet "Desbloqueo de teléfonos móviles robados mediante vulnerabilidades SS7-MAP, que explota la relación entre IMEI e IMSI para el acceso a EIR. Según presentación , un atacante puede desbloquear teléfonos móviles robados y convertirlos en un teléfono legítimo en el mercado blanco de teléfonos de segunda mano.
P.S : hay mucho más sobre los ataques que usan IMSI e IMEI en la Red de Acceso de Radio (RAN), es decir, la interfaz aérea.
IMEI no es una identidad autenticada de terminal móvil. Se puede cambiar para hacerse pasar por otros móviles con bastante facilidad. Piense en ello como una dirección MAC equivalente. IMSI es una identidad permanente autenticada de suscripción móvil. IMSI se puede obtener fácilmente por aire durante el procedimiento de conexión inicial. En los procedimientos subsiguientes de conexión de red, IMSI está siendo reemplazado por un seudónimo, TMSI, que el dispositivo móvil y la red pueden asignar a IMSI. Sin embargo, una estación base falsa puede dominar la red celular legítima y pretender no poder asignar TMSI a IMSI. En ese caso, el móvil deberá presentar su IMSI. Saber IMSI permite el seguimiento del suscriptor.