台灣電信業者於2016年6月起陸續推出高品質通話服務（Voice over LTE, VoLTE），以及能夠補足長期演進技術（Long Term Evolution, LTE）服務訊號相較微弱之地區、室內或是地下室的Wi-Fi通話服務（Voice over Wi-Fi, VoWiFi），亦稱Wi-Fi Calling，並且當用戶出國時，也可以直接透過VoWiFi服務撥打話務功能，省去高額的國際漫遊費率。儘管這項服務有如此多的優勢，我們發現VoWiFi服務使用的認證機制並非相當的完善。VoWiFi服務在連線的過程中，使用網際網路金鑰交換（Internet Key Exchange, IKE）、網際網路安全協定（Internet Protocol Security, IPSec）以及安全關聯（Security Association, SA）的方式建立通道連線和加密隱私資訊且沒有確認無線接入點（Access Point, AP）是否為合法的AP，導致攻擊者能夠透過這些漏洞進行攻擊。
本論文透過使用者設備（User Equipment, UE）連接無線網路（Wireless Fidelity, Wi-Fi）執行VoWiFi服務換手（Handover）過程時的IKEv2安全協定漏洞，利用架設軟體無線接入點（Soft Access Point, Soft AP）以及偽造的演進式分組數據網關（Evolved Packet Data Gateway, ePDG），達到竊取UE與真實ePDG認證的IKEv2安全協定認證封包，並利用中間人攻擊的手法，獲取IKEv2安全協定中的加密密鑰並且破解IKEv2安全協定認證封包，最終獲得國際行動用戶識別碼（International Mobile Subscriber Identity, IMSI）、IP地址（Internet Protocol Address, IP Address）、IP多媒體子系統（IP Multimedia Subsystem, IMS）伺服器資訊以及電信業者資訊等資訊。
為了保護用戶隱私和服務，我們提出透過設定憑證的方式，讓ePDG能夠過濾非認證AP，防止攻擊者架設偽ePDG竊取用戶隱私資料。並架設模擬平台進行實驗，結果證實該方法能夠有效的阻擋偽ePDG獲取IKEv2安全協定中的加密密鑰，得以防止攻擊者透過上述漏洞獲取UE的隱私資訊。

Since June 2016, Taiwanese telecom operators have successively launched VoLTE, as well as Voice over Wi-Fi, also known as Wi-Fi Calling, that can complement the areas with LTE, indoors or basements. When users go abroad, they can also directly dial the traffic function through the VoWiFi service, save high phone bills. Although this service has so many advantages, we found that the authentication mechanism used by the VoWiFi service is not quite perfect. During the connection process of the VoWiFi service, IKE、IPSec and SA are used to establish channel connections and encrypt private messages without confirming whether the wireless AP is a legitimate AP, resulting in attackers being able to use these vulnerability to attack.
This thesis uses UE to connect to Wi-Fi, execute the VoWiFi service handover , IKEv2 security protocol vulnerability, use Soft AP and fake ePDG, to steal IKEv2 authentication packets from UE and real ePDG authentication, and use the method of man-in-the-middle attack to obtain the encryption key in the IKEv2 security protocol , and use the encryption key to crack the IKEv2 authentication package, and finally obtain the IMSI、Private IP、IMS Information and operator information.
In order to protect user privacy and services, we propose to set up credentials to make ePDG to filter non-authentication AP to prevent attackers from setting up fake ePDG to steal user privacy data. And set up a simulation platform to conduct experiments, the results confirmed that the method can effectively prevent the fake ePDG from obtaining the encryption key in the IKEv2 security protocol, which can prevent attackers from obtaining the private information of the UE through the above vulnerability.

中文摘要
ABSTRACT
誌謝
目錄
圖目錄
專有名詞對照表
一、緒論
1.1 研究背景
1.2 研究目的
1.3 VoWiFi系統架構簡介
1.3.1 Soft AP架構與其元件功能簡介
1.3.2 ePDG架構與其元件功能簡介
1.4論文架構
二、文獻探討
2.1 3GPP安全協定
2.1.1 WiFi與LTE Handover流程
2.1.2 識別碼
2.2 認證與密鑰協商
2.3 行動網路協定與架構
2.4 VoWiFi協定弱點探討
2.4.1 中間人攻擊
2.4.2 阻斷式攻擊
2.4.3 IMSI Capture
三、攻擊應用實例
3.1 軟體與硬體之選用
3.1.1 DWA140 Wireless N USB 無線網路卡
3.1.2 Kali Linux介紹
3.1.3 Soft AP介紹
3.1.4 VMWare介紹
3.1.5 StrongSwan介紹
3.1.6 Scapy介紹
3.1.7 Wireshark介紹
3.2 攻擊實驗流程結果
3.2.1 利用中間人攻擊擷取隱私資訊
四、防護應用實例
4.1 CA介紹
4.2 防護實驗流程結果
4.2.1 Soft AP與偽ePDG中皆設置憑證
4.2.2 僅於偽ePDG中設置憑證
五、結論與未來展望
5.1 結論
5.2 未來展望
參考文獻

[1] 亞太電信，Wi-Fi通話使用分享，https://www.aptg.com.tw/volte/volte-wifi/how-to-use/archives_1/。
[2] CTIMES電子雜誌，萬物聯網時代下的Wi-Fi發展分析，https://www.ctimes.com.tw/DispArt/tw/%E8%A1%8C%E5%8B%95%E8%A3%9D%E7%BD%AE/Wi-Fi/%E6%99%BA%E6%85%A7%E5%AE%B6%E5%BA%AD/%E8%90%AC%E7%89%A9%E8%81%AF%E7%B6%B2/2003271109K9.shtml。
[3] Jaejong Baek, 2019, Wi Not Calling: Practical Privacy and Availability Attacks in Wi-Fi Calling
[4] 3GPP, Architecture enhancements for non-3GPP accesses（3GPP TS 23.402 version 8.10.0 Release 8）
[5] 3GPP system to Wireless Local Area Network（WLAN）Interworking; System Description （3GPP TS 23.234）
[6] IP Security Protocol（IPSec）- IETF Datatracker, https://datatracker.ietf.org/wg/ipsec/about/。
[7] https://kknews.cc/zh-tw/tech/y34a3yb.html
[8] Ulrike Meyer. 2004, A Man-in-the-Middle Attack on UMTS
[9] D-Link Technical Support, http://www.dlinktw.com.tw/techsupport/ProductInfo.aspx?m=DWA-140。
[10] VMWare, https://www.vmware.com/tw.html。
[11] StrongSwan, https://www.strongswan.org/。
[12] Scapy, https://scapy.net/。
[13] Wireshark, https://www.wireshark.org/。
[14] 3GPP, 2019-06, Architecture enhancements for non-3GPP accesses（3GPP TS 23.402 version 16.0.0 Release 16）
[15] 3GPP, 2020-03, System architecture for the 5G System（5GS 3GPP TS 23.501 version 16.4.0 Release 16）