“游子归家“服务分析和安全威胁

创建时间：2003-01-03
文章属性：原创
文章来源：http://www.xfocus.net
文章提交：benjurry (benjurry_at_xfocus.org)

“游子归家“服务分析和安全威胁

Benjurry
Benjurry@xfocus.org
http://www.xfocus.net
2002-1-3

目    录

前言    3
使用说明    3
原理分析    5
通信过滤转移系统工作流程    5
服务注册开通工作流程    6
转移设置/取消系统工作流程    6
安全威胁分析    7
补救措施    8
后记    9

前言
在新年来临之际，广东电信在广州、深圳、东莞三地推出了深受喜欢的“游子归家”手机休息站服务，市场反响巨大。通过该服务，用户可以用固话接听固定电话拨打移动手机的电话，既省却了手机的电话费用，又能减少手机对人体的辐射，同时又提高了通话的质量，可以说是一个非常好的创意。但是由于该服务严重影响了移动和联通公司的收入，受到了他们的强烈反对，并且已经向监管机构广东通信管理局投诉。
需要说明的是，本文不涉及不同公司之间的利益之争，作为消费者，我也很欢迎中国电信的这个举措，但是针对这项服务中存在的安全缺陷，我进行了初步分析，希望中国电信能进行修改，为我们提供更好，更便宜，更安全的服务，同时也提醒大家认识到安全的重要性。对于其中的技术分析，由于知识水平所限，可能会存在错误，希望得到大家的批评和指教。任何意见或者建议，可以发至 benjurry@xfocus.org。

使用说明
以下是“游子归家”手机休息站的使用说明，在这里阐述一下，以便了解整个工作流程，其中参考了中国电信的操作指导：
1)    购买终端：
到中国电信营业厅填写一个类似调查问卷的表格，写上移动电话号码和身份证，（电信人员并不进行认证）购买手机休息站终端。
2)    安装终端：
把电话线插入“游子归家”手机休息站终端的一端口，终端的另一端口接一固定电话，插上电源变压器，将金属架由水平位置掰至竖直位置。如下图：

3)    用户首先使用手机拨打96330，根据系统提示自行设置游子归家---手机休息站业务的业务密码。（通过这个操作，电信读取手机的号码，把手机号码和您设置的密码绑定，作为以后的认证）
4)    设置终端：
第一次使用”游子归家”手机休息站终端时，需要设置”游子归家”手机休息站终端。
（1）    普通直线电话用户的设置方法：
按住"设置"按钮不放，电话摘机，顺序拨"70401*手机号码*密码"，挂机，放开"设置"按钮。
例：手机号码为13912345678、业务密码为321的用户终端设置为：70401*13912345678*321
（2）    分机用户：汇线通用户或具有可直接拨入号码的小交换机用户的设置方法：
按住"设置"按钮不放，电话摘机，顺序拨"呼外线接入码*70401*手机号码*密码"，挂机，放开"设置"按钮。
例：手机号码为13912345678、业务密码为321，呼叫外线电话须先拨"9"的用户终端设置为：9*70401*13912345678*321
5)    使用终端进行手机呼叫转移：
将手机置于终端的压簧上，终端即发出呼叫，呼叫转移设置成功则机器上"转移灯"亮起。若未成功，机器会每隔6秒自动重新发出呼叫转移设置呼叫，共发3次。
将手机从该终端上拿开，机器及会发出撤销转移设置呼叫，呼叫撤销成功则转移灯熄灭，若未成功，机器隔6秒重新发出撤销转移设置呼叫，共3次。

通过以上步骤设置，用户就能根据需要把固定电话拨打手机的电话转移到手机上。

原理分析
从原理上分析，其实“游子归家”手机休息站服务就是一个拨号过滤转发器，和网络上使用的网关型URL过虑产品工作原理一样，它能根据数据库信息把所有固定电话拨打设置了该服务的手机的话截断并转移到对应的固话上。它可以分为三个主要系统，分别是：
1、    通信过滤转移系统
2、    服务注册开通系统
3、    转移设置/取消系统
通信过滤转移系统工作流程
该系统是整个服务的主要模块，该模块的功能是根据数据库设置，负责对通信请求的过滤、转发，整个工作流程如下：
1、    用户用固话拨打手机；
2、    在电信的本地接入交换局内，先分析被叫号码是否为游子归家的用户，并且当前已启用该服务。如果是，则呼叫直接转到游子归家登记的相应固定电话号码上；否则，放行到移动或者联通的对应关口局；
3、    当目标用户接听固定电话时，则该服务完成。
整个流程可以见下图：

服务注册开通工作流程
服务注册开通系统是整个服务的基础模块，该模块的功能是注册开通该服务的手机号码，并设置密码，同时把密码和手机号码绑定，建立认证系统。工作流程如下：
1、    用户用手机拨96330或者其他由中国电信提供的号码；
2、    中国电信截取来电号码，如果是手机号码，则提取该号码，然后查询数据库，如果不在数据库中，则要求输入新密码，否则可以选择进行其他设置（在2003-1-3日0:20，我在做这个测试用来验证的时候，电信提供的几个号码都不能进行注册了）。
3、    系统把用户的手机号码和对应的密码存入数据库中，并开通了该项服务。

转移设置/取消系统工作流程
转移设置/取消系统是主要完成用户设置或者取消转移功能，按照中国电信的本意，这个工作是由手机休息站终端完成（目前这个终端由深圳力德迅公司生产）。
1、    当用户第一次使用终端的时候，要按照操作指导进行设置，这时，实际上是把你的手机号码和密码保存在该终端中。
2、    当用户把手机放到该终端上的时候，实际上是按下了压簧，这时终端会发出一系列命令，其中包含了拨号的固定电话号码、手机号码和密码，和数据库匹配，如果手机号码、密码都和数据库中保存的一致，则把该固定电话号码设置成被转移的号码，并保存在数据库中，否则不做处理。该终端在第一次设置后，以后只是起到服务登记和撤销的功能，这时不需要放手机进去，随便拿一形状合适的物体插放也一样起到相同作用。
3、    当用户从终端拿起手机时，压簧弹起，这时终端也会发出一系列命令，其中包含了拨号的固定电话号码、手机号码和密码，和数据库匹配，如果手机号码、密码都和数据库中保存的一致，则把该转移服务取消，同时删除数据库中固定电话号码，否则不做处理。

通过对该终端拨出指令的分析，发现：
1、当压下压簧的时候，终端发出的指令是:
70401+1＋手机号码＋密码，即如果手机号码是13912345678，密码为123，则发出指令是70401113912345678123,这样就设置完成。
2、当弹出簧的时候，终端发出的指令是:
70401+2＋手机号码＋密码，即如果手机号码是13912345678，密码为123，则发出指令是70401213912345678123,这样就设置取消。

了解了发出的指令后，其实我们可以不用花钱买这个终端也可以通过手工拨号设置来使用这个“游子归家”手机休息站服务了。

安全威胁分析
通过以上对这个服务的详细分析，我们可以很容易发现这个服务在提供价美物廉的服务的时候，却也疏忽了安全问题：
1、    手机注册该服务的时候是通过用手机拨打某个号码来设置密码从而完成注册的。如果中国移动和中国联通针锋相对，则可能采用类似办法，截断手机到该号码的拨号请求，进行拒绝服务攻击，从而造成无法注册该服务和设置密码。这样对中国电信提供该服务的质量造成很大影响。
2、    由于是通过手机拨打某个号码来设置密码来完成注册的，具有方便迅速的特定，这样恶意用户就可以很容易地通过借用他人的手机来注册和设置密码，从而把他人的电话恶意地转移到他的电话，从而实施电话监听或者对他人造成拒绝服务攻击。由此可以看到手机是用户的私人用品，不能轻易借给别人使用，否则将会对自己产生重大影响。除了这个威胁以外，还有很多其他威胁，我将另外撰文详细阐述。
3、    由于目前密码只有3位，而且输入错误多次没有锁定功能，因此很容易就可以被别人破解了密码。我已经根据手机休息站终端发出的指令写了一个破解程序，可以很快地把别人的手机电话转到自己的固定电话上。即使对方已经把手机电话转移到了固定电话，我们也可以通过暴力先取消转移，然后再暴力设置转移达到目标。通过我的测试，可以在1个小时左右破解。由于该破解程序有一定的危害作用，目前暂时不提供下载。

补救措施
对于这样一个既省钱，又能减少受到的手机辐射，还能提高通话质量的好创意，我们当然不能让它夭折了，所以得想出一些解决办法，解决目前得安全问题，使中国电信更好地为我们提供服务。针对以上分析出的安全威胁，我们有一下安全补救措施：
1、    修改注册方法：其实注册最好的办法，我觉得时利用中国移动或者中国联通的数据库，因为里面有电话号码和身份证的对应关系，注册的时候只要根据身份证就可以在营业厅办理，这样注册就比较安全了。但是鉴于目前的竞争关系，我想电信要想拿到这个数据库是不大可能的，而且还有好多手机比如神州行是没有注册的。因此如果电信受到中国移动或者中国联通的截断的话，有以下几个办法来解决这个问题：
a)    避免用手机拨号认证，就是通过直接读取手机SIM卡中存放的本机号码来进行认证，然后给每个手机号码发一个密码，这样就能防止移动或者联通的反击。目前可以采用的办法是在手机上使用AT指令读取SIM卡上的本机号码。
b)    利用网络中代理服务器的原理，通过电话转移进行设置。用户把自己的固定电话设置成呼叫转移，在电话上进行如下设置：*57*96330#，听到提示音后就把该固定电话转移到了96330，这时这个电话就相当于代理服务器，当用户用手机拨打该固定电话号码时，会把这个通话转移到96330号码上，从而绕过了移动的截断。注册完之后，再在该固定电话上输入＃57＃取消设置。

2、    用户要保护好自己的手机，不轻易让别人使用自己的手机。
3、    在系统中增加密码的长度，至少为6位，而且要设置输入3次密码错误要锁定10分钟才能继续输入的功能，防止用户密码被破解。另外要求用户不要在公共场合设置转移功能，否则很容易被电话中的已拨记录中看到密码。

后记
在中国电信推出“游子归家”手机休息站几天的时间中，受到了用户的极大关注，而市场人士亦推测中国电信想利用这个服务，推动手机单向收费，以便在不久的将来拿到移动牌照的时候能和移动，联通进行竞争。且不论这个服务的结果如何，它的创意是很不错的，只是希望以后在推出新服务的时候，能多从安全的角度考虑一下，从而为我们提供价廉质优、安全可靠的服务。