Diameter, 4G LTE ve 5G çekirdek ağlarında operatörler arasında kimlik doğrulama, yetkilendirme ve faturalandırma bilgilerini taşıyan sinyalleşme protokolüdür. Diameter protokolü güvenliği ise bu trafiğin sahte mesajlarla manipüle edilmesini, abone konumunun sızmasını ve servislerin dışarıdan kesilmesini önlemeye yönelik denetimlerin bütünüdür. Protokol, önceki nesil SS7’nin yerini alması için tasarlandı; ancak yerleşim biçimi güvenliği ihmal edilince benzer sınıfta zafiyetler taşımaya devam etti.

Diameter protokolü güvenliği, mobil çekirdek ağın kalbindeki sinyalleşme trafiğinin sahte komut ve dinleme girişimlerine kapatılmasıdır.

Protokolün özü mesaj tabanlı bir istek-yanıt akışıdır. Bir operatörün ağı, dolaşımdaki bir abonenin kimliğini doğrulamak için ev ağına Diameter mesajı yollar; ev ağı da abone anahtarları ve profil bilgisiyle karşılık verir. Bu alışverişte iki temel arayüz öne çıkar: kimlik doğrulama için S6a ve konum yönetimi için S6d gibi arabirimler. Saldırgan, bu arayüzlerden birine erişim kazandığında meşru bir dolaşım ortağı gibi davranarak kandırıcı istekler gönderebilir.

Saldırılar Nasıl Gerçekleşir?

Tehdit genellikle operatörler arası bağlantı ağı olan IPX üzerinden gelir. Bir saldırgan, güvenilir kabul edilen bir ortak operatör kimliğiyle ağa mesaj enjekte ettiğinde, örneğin Update-Location isteğiyle bir abonenin oturumunu kendi kontrol ettiği sahte bir düğüme yönlendirebilir. Bu, gelen aramaların ve SMS’lerin ele geçirilmesine, iki faktörlü doğrulama kodlarının kaçırılmasına yol açar. Insert-Subscriber-Data mesajlarıyla abone profili değiştirilerek servis kalitesi düşürülebilir; Cancel-Location ile de hedef, ağdan koparılıp hizmet dışı bırakılabilir. Bu yöntemlerin bir bölümü, eski nesilde görülen SS7 protokolü saldırıları ile aynı mantığı yeni protokole taşır.

• Konum takibi: Abonenin bulunduğu baz istasyonu bölgesinin sorgulanarak coğrafi olarak izlenmesi
• Araya girme: Çağrı ve mesajların sahte bir düğüme yönlendirilip ele geçirilmesi
• Servis kesintisi: Abonenin ağ kaydının iptal edilerek hizmetten koparılması
• Faturalandırma dolandırıcılığı: Oturum bilgilerinin manipülasyonuyla ücretlendirmenin çarpıtılması

Tespit ve Korunma

Savunmanın ilk katmanı sınırdaki Diameter Edge Agent üzerinde çalışan bir sinyalleşme güvenlik duvarıdır. Bu bileşen, gelen mesajın kaynak operatör kimliğiyle mesajın içeriğinin tutarlı olup olmadığını denetler; örneğin abonenin dakikalar önce başka bir ülkeden geldiğini iddia eden fiziksel olarak imkânsız konum güncellemelerini eler. Kategori bazlı filtreleme, dışarıdan gelmemesi gereken iç mesaj türlerini engeller. Bunun yanı sıra 3GPP tarafından tanımlanan ve arayüzleri IPsec ile şifreleyip karşılıklı kimlik doğrulayan koruma çerçeveleri, mesajların kaynağının gerçekliğini garanti altına almaya çalışır. Sağlıklı bir savunma, bu kontrollerin sürekli izlenmesini ve anomali tespitini de gerektirir; bu da doğrudan telekom abone veri koruması disipliniyle örtüşür.

Kurumsal Etki

Bir operatör için Diameter katmanındaki zafiyet, tek tek abonelerin değil ağın bütününün riske girmesi anlamına gelir; çünkü aynı arayüz milyonlarca oturumu yönetir. Konum sızıntısı ve mesaj kaçırma, düzenleyici yaptırımların yanında abone güveninin kaybına yol açar. Mobil çekirdek, bir ülkenin haberleşme omurgasının parçası olduğu için bu koruma kritik altyapı güvenliği kapsamında değerlendirilir. Operatörlerin sinyalleşme mimarisini bağımsız gözle değerlendirmesi için altyapı ve mimari gözden geçirme hizmetimiz bu tür arayüzlerdeki yapılandırma açıklarını ortaya çıkarır.