Imsi-nummer att spana på kan man få tag i på två sätt: endera tvingar till sig dem från operatörerna, eller så spanar man visuellt på telefonanvändare i närheten och får deras telefoner att logga in på den falska basstationen och därigenom lämna ifrån sig numret.
Imsi, international mobile subscriber identity, är sim-kortets personnummer. Det består dels av landskod och nätverks-id, dels av ett min-nummer (mobile identification number), som är en nyckel till telefonnumret, vilket i sin tur lagras hos operatören. Varför måste infiltratören ha imsinumret? Jo man lyssnar inte planlöst på vem som helst, utan som vanligt med signalspaning arbetar man mot bestämda mål.
När man hittar en telefon med önskat imsi-nummer är det dags att börja tvinga den lämna ifrån sig information. Förväxla inte imsi med imeinumret, international mobile station equipment identity, som är själva maskinvarans identitet och används för att spärra stulen utrustning.
Telefonförbindelsen är normalt krypterad, men kryptot är inget vidare. Man skulle kunna tro att avsikten skulle vara att komma i klartextläge, även kallat A5/0, med den avlyssnade telefonen. Men då kan man inte få tag i kryptonyckeln som telefonen har på sitt sim-kort, eftersom nyckeln behövs i den andra länken mot den riktiga basstationen. Operatören kommer alltid att försöka påbörja en session i krypterat läge (utom i Indien, mer om det strax). Gsm kan krypteras med två olika krypton, som dock har samma nyckel. Kryptot A5/1 kan brytas med cirka 30 minuters forcering, men det svagare A5/2 kan brytas i realtid.
Det finns möjlighet att använda sig av 3g-krypteringen A5/3 även på gsm. A5/3 är inte enkelt forcerbar, men tyvärr kan basstationen alltid tvinga ned krypteringen till någon av de enklare A5/1 eller A5/2 eller bara tvinga bort krypteringen helt.
Man kan inte ta kryptonyckeln från offret, men man kan utvärdera den. I sin konversation med telefonen kan infiltratören löpande knäcka A5/2 och därmed utvärdera nyckeln. Den stoppas i den falska uppringaren (”A-abonnenten” i vår skiss), som tar kontakt med den riktiga basstationen, som i sin tur kommer att kräva att kryptonyckeln är rätt.
Därefter är det fritt att spela in samtal och sms. Eventuellt är det enklare att spela in samtalet löpande utan kryptering. Då kan infiltratören enkelt be A-abonnentens telefon att stänga av krypteringen helt och gå till klartextläge, A5/0.
Kommersiella falska basstationer kan göra flera saker än bara avlyssna tal och sms. De kan logga vilka telefoner som finns i närheten, logga kryptonycklar, logga telefonernas imsi- och esn-nummer, fånga mejl och bilder. Det kan en legitim basstation också göra. Det är inget konstigt.
