home *** CD-ROM | disk | FTP | other *** search
/ Group 42-Sells Out! - The Information Archive / Group 42 Sells Out (Group 42) (1996).iso / commun / cell / dnabox.txt < prev    next >
Text File  |  1995-11-26  |  49KB  |  1,134 lines
  1.                         ⌠ ⌠ ⌠ ⌠ ⌠ ⌠ ⌠ ⌠ ⌠ ⌠ ⌠ ⌠                         JAN-89
  2.                     ⌠ ╔═╧═╧═╧═╧═╧═╧═╧═╧═╧═╧═╧═╧═╗ ⌠
  3.                     └─╢      THE DNA BOX        ╟─┘
  4.                     ┌─╢ Hacking Cellular Phones ╟─┐
  5.                     ⌡ ╚╤═╤═╤═╤═╤═╤═╤═╤═╤═╤═╤═╤═╤╝ ⌡
  6.                        ⌡ ⌡ ⌡ ⌡ ⌡ ⌡ ⌡ ⌡ ⌡ ⌡ ⌡ ⌡ ⌡
  7. ⌠                          P A R T   O N E                                ⌠
  8. └─────────────────────────────────────────────────────────────────────────┘
  9. It turns out that there are several Japanese handheld transceivers (HT's) 
  10. availible in the US for use by ham radio hobbyists that have hidden 
  11. features allowing them to operate in the 800MHz band used by cellular
  12. telephones. Using an FSK decoder chip and a personal computer running an
  13. assembly language program to record and decypher the ID beeps at the beginning
  14. of cellular calls, a "phone book" of cellular ID's can be compiled. A simple 
  15. FSK oscillator controlled by the PC can then be used to dial out using the
  16. Handheld Transceiver and the captured ID codes.
  17.  
  18. A low tech analysis could be done by taping the beeps and playing them back
  19. at slow speed into an oscilloscope. An edited tape may even be adequate for
  20. retransmission; no decyphering required.
  21.  
  22. Several radio stores in Los Angeles sell the HT's and have given advice in
  23. the past about how to access the hidden out-of-band tuning features in the
  24. ROMS of the Japanese HT's. It's possible now to listen in to cellular
  25. phone conversations without building any special hardware. In fact if you
  26. have a good antenna, or live near a cellular repeater tower, you can
  27. pick up celluar calls using a UHF TV with a sliding tuner by tuning in
  28. "channels" between 72 and 83 on the UHF dial.
  29.  
  30. Beside the obvious benefits of unlimited, untraceable, national mobile
  31. voice communication, there are other uses for cellular hacking.
  32. For instance: most people using cellular phones are pretty upscale.
  33. It may be possible to scan for ID codes of the telephones of major
  34. corporations and their executives and get insider stock trading information.
  35. Simply by logging the called and calling parties you will be able to compile
  36. a database mapping out the executive level command & communication structure.
  37. If this is linked to a remote controlled tape deck you will know precisely
  38. what is going on and be able to note any unusual activity, such as calls
  39. between the executives of corporations that are in a takeover or leveraged
  40. buy out relationship. It is even likely that you will occasionally intercept
  41. calls between investors and their stock brokers, or calls discussing plans
  42. for new contracts.
  43.  
  44. This data is most safely used for insider trading of your own; there will be
  45. no way that the Securities and Exchange Commission can establish a link
  46. between you and the insiders. A more risky proposition would be to offer any
  47. intelligence gathered to competitors for a price as industrial espionage.
  48.  
  49. Then there are the anarchy & disruption angles for cybernetic guerrilla
  50. action at the corporate economic & financial level. Leaking info to the
  51. press can kill a deal or move stock prices prematurely. Intelligence
  52. gathered via cellular hacking can also be used to plan operations against
  53. corporate mainframes by providing names and keywords, or indicating vital
  54. information to be searched for. Listening to the phone calls of candidates
  55. and their campaign staff is also a field rich in possibilities.
  56.  
  57. A related technology waiting to be hacked is the nationwide net of pocket
  58. pagers. The possibilities for executive harrassment using beeper technology
  59. are relatively unexplored.
  60.  
  61. There are also several on-line instant stock & commodity quotation systems
  62. that use SCA subcarriers to transmit investment data. By watching activity
  63. on these networks you will be able to look over the shoulder of investors
  64. as they plan their strategy - what kind of inquiries are they making and what
  65. the results are.
  66.  
  67. Here are a few of the online investment services (business offices, ca.1987)
  68.  
  69. DATAQUICK             1-800-762-DATA (voice)    Southern CA Real Property Data
  70. Lotus Signal/QuoTrek  1-800-272-2855 (voice)    Stock Market Data
  71.                       1-800-433-6955 (voice)
  72. FutureSource          1-800-621-2628 ext.34 (voice) Futures Trading Data
  73.            (Or check recent ads in Wall Street Journal etc.)
  74.  
  75. At any rate, I propose that we start pooling info about cellular phones
  76. toward the goal of building a 'rosetta stone' of cellular dialing protocols,
  77. frequencies, technical info and hardware/software hacks.
  78.  
  79. High on the hit list is a service/repair manual for a cellular phone, and
  80. journal or technical articles about the inner workings of the cellular
  81. phone system.
  82. ┌─────────────────────────────────────────────────────────────────────────┐
  83. │ The DNA BOX - Striking at the Nucleus of Corporate Communications.      │
  84. ⌡ A current project of...                                                 ⌡
  85.  
  86.         Outlaw
  87.      Telecommandos
  88.    ║│▌││▐║│▌▌││▐│▌│║
  89.    ║│▌││▐║│▌▌││▐│▌│║
  90.                         ┐ │ ┐└┐ ┐ ┐┌┐ ┌┘┌ ┌ ┌┘┌┐                      JAN-89
  91.                       ╔═╧═╧═╧═╧═╧═╧═╧═╧═╧═╧═╧═╧═╗ ⌠
  92.                     ├─╢      THE DNA BOX        ╟─┘
  93.                     ┌─╢ Hacking Cellular Phones ╟────┐
  94.                     ⌡ ╚╤═╤═╤═╤═╤═╤═╤═╤═╤═╤═╤═╤═╤╝    °
  95.                        ° ° ° ° ° ° ° ° ° ° ° ° °
  96. ┬                           P A R T   T W O                               ⌠
  97. └─────────────────────────────────────────────────────────────────────────┘
  98. The previous DNA file discussed the possibility of using Japanese handheld
  99. HAM radios and personal computers, or tape recorders to hack Cellular Phone
  100. codes, and possible uses for investment & business info obtained by
  101. hacking executive and corporate phone calls, and investment info services.
  102.  
  103. Here I want to mention the obvious idea of simply modifying or replacing the
  104. ROMs in a standard Cellular Phone, and disassembling the ROM software that
  105. operates the Phone in order to "customize" it for scanning, data monitoring,
  106. evesdropping and (of course) making free calls using the codes of registered
  107. subscribers.
  108.  
  109. Simply unplugging the ROMS, putting them on a ROM card for a PC and then
  110. copying the software to disk for disassembly is the obvious first step.
  111. Use of a logic analyzer to monitor and record activity on the Cellular Phone's
  112. digital bus would simplify things by providing a map of where data is stored
  113. and which instructions are executed during each period of activity:
  114. decoding/sending ID tones, selecting frequencies, dialing, and talking.
  115.  
  116. Checking the part number on the CPU embedded in the Cellular Phone will tell
  117. you which disassembler to use to give a first draft of the ROM code.
  118. The next step is to generate a map of the locations of every subroutine
  119. call's entry point, any branch & loop locations, and all addresses written to,
  120. read, or read-only (to map out any variables and data). Locations incremented,
  121. decremented or tested by branch instructions should also be noted, along with
  122. their initial and final values.
  123.  
  124. Each address in the map should be given a symbolic label in your draft of
  125. the assembly code. Comments can also be entered with high-level language
  126. equivalents that summarize the assembly code as you understand it.
  127. Pay special attention to data or loop limits that match elements of the
  128. Cellular Phone ID codes (length or contents), or any data locations that
  129. are always accessed as a group. This may give you enough info to find the
  130. location of the ID code and burn an EPROM with any ID's you've hacked
  131. by listening to Cellular Calls.
  132.  
  133. If you have identified the subroutines that accept phone numbers for dialing,
  134. you can patch in a second subroutine that accepts an ID code from the keypad
  135. and stores it in RAM before calling out, and modify any routines that 
  136. utilize ID Codes to use RAM addresses instead of ROM addresses.
  137.  
  138. Chances are that the software takes up most or all of the available ROM
  139. and RAM scratchpad space on the single-chip microprocessor. If this is the case
  140. it might be neccessary to piggyback additional memory chips onto the circuit
  141. board to hold any new subroutines you want to add.
  142.  
  143. Suggested new features: 
  144. 1) Have the Cellular Phone scan for an empty channel and wait for an ID code.
  145. Capture the ID code into a table of ID's in RAM and display the captured codes
  146. on the liquid crystal display. 
  147.  
  148. 2) Program the Cellular Phone to emulate the switching signals and codes sent
  149. by PacBell (or your local Cellular carrier), bypassing central switching
  150. entirely. This would be useful for making 100% untraceable calls to other
  151. Cellular subscribers within direct radio range. This can be used to do your own
  152. routing, emulating a phantom switching cell. This could be used to extend
  153. cellular service into an otherwise inaccessible area by coupling your Cellular
  154. Phone to a 1.2GHz linear amplifier modified to work in the 800MHz band.
  155.  
  156. 3) Make the Cellular Phone recieve data under one ID/Frequency and retransmit
  157. it under another. This would make it impossible to monitor both sides of a
  158. conversation. This feature could also be used to implement conference calling
  159. by running several calls at once out of one phone.
  160.  
  161. ┌─────────────────────────────────────────────────────────────────────────┐
  162. │ The DNA BOX - Striking at the Nucleus of Corporate Communications.      │
  163. ⌡ A current project of...                                                 ┴
  164.  
  165.         Outlaw
  166.      Telecommandos
  167.    ║│▌││▐║│▌▌││▐│▌│║
  168.    ║│▌││▐║│▌▌││▐│▌│║
  169.    ║01-213-376-0111║
  170.                         ┌─┴─┐ ┌┴┐ ┌─┐ ┌─┐ ┌─┐ ┌┐ ⌠ ⌠                  1-FEB--89
  171.                  ┌┐   ╔═╧═══╧═╧═╧═╧═╧═╧═╧═╧═╧═╧═╗└┬┘
  172.                  │├───╢      THE DNA BOX        ╟─┘
  173.                 ⌠││  ┌╢ Hacking Cellular Phones ╟────┐
  174.                 └┴┤  ⌡╚╤═╤═╤═╤═╤═╤═╤═╤═╤═╤═╤═╤═╤╝   ┌┴┐
  175.                   ⌡    ' ` ' ` ' ` ' ` ' ` ' ` °    └─┘
  176. ┬                         P A R T   T H R E E                             ⌠
  177. └─────────────────────────────────────────────────────────────────────────┘
  178. Previous DNA files discussed the possibility of using Japanese handheld
  179. HAM radios and personal computers, or tape recorders to hack Cellular Phone
  180. codes, and possible uses for investment & business info obtained by
  181. hacking executive and corporate phone calls, and investment info services,
  182. as well as approaches to modifying the Cellular Phones themselves for use as
  183. hacking tools and pirate communication devices.
  184.  
  185. Here using and modifying UHF-band radio scanners to hack and monitor
  186. Cellular and Mobile telephone systems will be dealt with.
  187.  
  188. Radio Shack, Uniden, and several other manufacturers make scanners
  189. for use by amateur radio hobbyists. Most of these will intercept mobile
  190. radiotelephone calls without modification by tuning in frequencies in the
  191. 156 MHz and 475 MHz regions. Most of these scanners have line-level
  192. audio outputs that can feed a tape recorder or demodulator/tone decoder
  193. chip which can then interface directly to a computer for analyzing codes.
  194. Mobile phones use a tone-pulse dialing protocol that should be simple to decode
  195. and emulate using standard handheld ham radio gear. You can almost count
  196. the dialing beeps without any special equipment. Phone channels are easy to
  197. find: they usually broadcast a standard busy signal or an idle tone
  198. (a fixed audio sine wave) when waiting for the next call. You will also hear
  199. conversations, ringing, and mobile phone operators on these channels.
  200.  
  201. Here's a partial list of frequencies used by mobile phones:
  202.                         (frequencies in MHz)
  203.  
  204. 152.51   154.57   152.66   152.69   152.72   152.78   154.54
  205. 475.45   475.475  475.55   475.6    475.8    475.825  475.85   475.9  476.05
  206.  
  207. As you can see, many of the frequencies are spaced 30KHz or 25KHz apart,
  208. so there are probably more channels in the gaps at those intervals.
  209.  
  210. These frequencies were gathered in a few minutes of casual listening using
  211. an unmodified Radio Shack Pro-2021 scanner in search mode.
  212.  
  213. SCANNING CELLULAR FREQUENCIES:
  214.  
  215. Hobby scanners capable of monitoring Cellular Phones are prohibited in the US.
  216. To save money on the production line, many international scanner manufacturers
  217. make only one kind of scanning chip which they use in both US and foreign
  218. models. These chips are capable of scanning in the 800MHz range but this
  219. feature is diabled by grounding certain pins in the US models.
  220. Often restoring Cellular scanning functions is merely a matter of cutting
  221. a circuit trace or removing a single diode from a scanner's printed circuit
  222. board. 
  223.  
  224. For instance, removing diode 513 from a Radio Shack Pro-2004 Scanner will
  225. enable the 870MHz Cellular range. Installing diode 510 will increase the
  226. number of scanning channels from 300 to 400. Installing diode 514 will
  227. increase the scanning rate from 16 to 20 channels per second.
  228. These are located on the printed circuit board labeled PC-3.
  229.  
  230. The Uniden Bearcat 200/205XLT can be modified for Cellular scanning
  231. by cutting or removing the 10K-ohm resisitor located on the printed circuit 
  232. above the letters "DEN" on the microprocessor chip labeled "UNIDEN UC-1147".
  233.  
  234. The Regency Electronics MX7000 Scanner reportedly scans Cellular Phones
  235. without modification.
  236.  
  237. An additional scanner rumored to be modifiable is the Realistic Pro-32.
  238.  
  239. Another source of useful radio gear are "Export Only" manufacturers.
  240. One of these is currently rumored to be offering a handheld cellular phone
  241. that does it's own routing and has an operating radius of 160 kilometers!
  242.  
  243. CELLULAR PHONE FREQUENCIES:
  244. Here are the frequency range assignments for Cellular Telephones:
  245.  
  246. Repeater Input  (Phone transmissions) 825.03 - 844.98 Megahertz
  247. Repeater Output (Tower transmissions) 870.03 - 889.98 Megahertz
  248.  
  249. There are 666 Channels. Phones transmit 45 MHz below the corresponding
  250. Tower channel. The channels are spaced every 30 KHz.
  251.  
  252. CORDLESS PHONE FREQUENCIES:
  253. It's also possible to hack the popular cordless phones. These use the 49MHz
  254. band used by baby monitors and toy FM walkie talkies. Scanners can be used
  255. to monitor these without modification, and FM handheld transceivers will
  256. allow 2-way hacking of these frequencies, which some may find amusing.
  257.  
  258. Channel Handset Transmit Base Transmit
  259. ------- ---------------- -------------
  260.    1        49.67           46.61   (frequencies in Megahertz)
  261.    2        49.845          46.63
  262.    3        49.86           46.67
  263.    4        49.77           46.71
  264.    5        49.875          46.73
  265.    6        49.83           46.77
  266.    7        49.89           46.83
  267.    8        49.93           46.87
  268.    9        49.99           46.93
  269.   10        49.97           46.97
  270.  
  271. Business Update:
  272. As of January 1989 there are legal maneuvers going on to lift the
  273. ban on portable phones by traders at the NY Stock Exchange. 
  274.  
  275. ┌─────────────────────────────────────────────────────────────────────────┐
  276. │ The DNA BOX - Striking at the Nucleus of Corporate Communications.      │
  277. ⌡ A current project of...                                                 ┴
  278.  
  279.         Outlaw
  280.      Telecommandos
  281.    ║│▌││▐║│▌▌││▐│▌│║
  282.    ║│▌││▐║│▌▌││▐│▌│║
  283.    ║01-213-376-0111║
  284.                    ┌─┐                           ┌─┐                  3-FEB-89
  285.                    └┬┘╔══╧═╧═╧═╧═╧═╧═╧═╧═╧═╧═╧══╗└┬┘
  286.                     └─╢      THE DNA BOX        ╟─┘
  287.                  ┌────╢ Hacking Cellular Phones ╟────┐
  288.                 ┌┴┐   ╚╤═╤═╤═╤═╤═╤═╤═╤═╤═╤═╤═╤═╤╝   ┌┴┐
  289.                 └─┘    ' ` ' ` ' ` ' ` ' ` ' ` '    └─┘
  290. ⌠                         P A R T    F O U R                              ⌠
  291. │                                                                         │
  292. │           T H E   N U M B E R   O F   T H E   B E A S T                 │
  293. └─────────────────────────────────────────────────────────────────────────┘
  294. Preliminary technical info about the AMPS (Advanced Mobile Phone System).
  295.  
  296. MOBILE TELEPHONE SWITCHING OFFICE (MTSO)
  297. Cell Control Sites (Towers) are connected to the Mobile Telephone Switching
  298. Office (MTSO) by a pair of 9600 baud data lines, one of which is a backup.
  299. The MTSO routes calls, controls and coordinates the cell sites (especially
  300. during handoffs as a mobile phone moves from one cell to another while a
  301. call is in progress), and connects to a Central Office (CO) of the local
  302. telephone company via voice lines.
  303. There is some indication that an MTSO may be re-programmed and otherwise
  304. hacked via standard phone lines using a personal computer/modem.
  305.  
  306. NUMERIC ASSIGNMENT MODULE (NAM)
  307.  There is a PROM chip in every cellular phone that holds the phone number (MIN)
  308.  assigned to it. This is the "Numerical Assignment Module" or NAM. Schematics
  309.  and block diagrams occasionally call this the "ID PROM". The NAM also
  310.  holds the serial number (ESN) of the cellular phone, and  the system ID (SID)
  311.  of the mobile phone's home system. 
  312.  By encoding new PROM chips (or re-programming EPROM chips) and swapping them
  313.  with the originals, a cellular phone can be made to take on a new identity.
  314.  It is possible to make a circuit board with a bank of PROMs that
  315.  plugs into the NAM socket, and allows quick switching between several
  316.  phone ID's. It's even feasible to emulate the behavior of a PROM with
  317.  dual-port RAM chips, which can be instantly updated by a laptop computer.
  318.  
  319.  A photograph of a "BYTEK S1-KX NAM Multiprogrammer" suggests that this
  320.  "sophisticated piece of equipment" is merely a relabled generic PROM burner.
  321.  
  322. ==============================================================================
  323. MOBILE IDENTIFICATION NUMBER (MIN)
  324.  The published explanations of how to compute this number all contain 
  325.  deliberate errors, probably for the purpose of thwarting phreaks and people
  326.  attempting to change the serial numbers and ID codes of stolen phones.
  327.  Even the arithmetic is wrong in some published examples!
  328.  Until the FCC/IEEE spec is available (a trip is planned to a university
  329.  engineering library) the following is almost certainly the way that MIN is
  330.  computed, taking into consideration how such codings are done elsewhere,
  331.  comparing notes and tables from a variety of sources, and using common sense.
  332.  
  333.  A BASIC program (MIN.BAS) that computes MINs from phone numbers is being
  334.  distributed with this file.
  335.  
  336. There are two parts to the 34-bit MIN.
  337. They are derived from a cellular phone number as follows:
  338.  
  339. -------------------------------------------------------------------
  340. MIN2 - a ten bit number representing the area code.
  341.  
  342. Look up the three digits of area code in the following table:
  343.  
  344. Phone Digit: 1 2 3 4 5 6 7 8 9 0
  345. Coded Digit: 0 1 2 3 4 5 6 7 8 9
  346.  
  347. (Or just add 9 to a digit and use the right digit of the result)
  348.  
  349. Then convert that number to a 10-digit binary number:
  350.             
  351. For example, for the (213) area code, MIN2 would be 102,
  352. which expressed as a 10-digit binary number would be 0001100110.
  353.  
  354.    Area Code = 213         (get Area Code)
  355.                102         (add 9 to each digit modulo 10, or use table)
  356.         MIN2 = 0001100110  (convert to binary)
  357. ---------------------------------------------------------------------------
  358. MIN1 - a 24 bit number representing the 7-digit phone number.
  359.  
  360. The first ten bits of MIN1 are computed the same way as MIN2, only
  361. the next 3 digits of the phone number are used. 
  362. The middle four bits of MIN1 are simply the fourth digit of the phone number
  363. expressed in binary (Remember; a "0" becomes a "10").
  364. The last next ten bits of MIN1 are encoded using the final three digits of
  365. the phone number in the same way.
  366.  
  367. So, MIN1 for 376-0111 would be:
  368.  
  369. (get Phone Number)                      376   0  111
  370. (modify digits where appropriate)       265 (10) 000
  371. (convert each part to a binary number)  0100001001 1010 0000000000
  372. ---------------------------------------------------------------------------
  373.  
  374. Thus the complete 34-bit Mobile Identification Number for (213)376-0111 is:
  375.  
  376.                   376     0     111       213
  377.                 ________  __  ________  ________
  378.                /        \/  \/        \/        \
  379.        MIN  =  0100001001101000000000000001100110
  380.                \______________________/\________/
  381.                          MIN1             MIN2
  382.  
  383. ----------------------------------------------------------------------------
  384.  
  385. ELECTRONIC SERVICE NUMBER (ESN)
  386. The serial number for each phone is encoded as a 32 bit binary number.
  387.  
  388. Available evidence suggests that the ESN is an 8-digit hexadecimal
  389. number, which is encoded directly to binary:
  390.  
  391.  Serial Number  =   821A056F
  392.         Digits  =   8    2    1    A    0    5    6    F
  393.            ESN  =   0001 0001 0001 1010 0000 0101 0110 1111
  394.  
  395. Here is a table for converting Hexadecimal to Binary:
  396.  
  397.   Hex Binary   Hex Binary   Hex Binary   Hex Binary
  398.   --- ------   --- ------   --- ------   --- ------
  399.    0   0000     4   0100     8   1000     C   1100
  400.    1   0001     5   0101     9   1001     D   1101
  401.    2   0010     6   0110     A   1010     E   1110
  402.    3   0011     7   0111     B   1011     F   1111
  403.  
  404. ----------------------------------------------------------------------------
  405. SYSTEM IDENTIFICATION (SID)
  406. A 15 bit binary number representing a mobile phone's home cellular system.
  407.  
  408. ============================================================================
  409.  
  410. ---------------------CELLULAR PHONE FREQUENCIES-----------------------------
  411. Here, again, are the frequency range assignments for Cellular Telephones:
  412.  
  413. Repeater Input  (Phone transmissions) 825.030 - 844.980 Megahertz
  414. Repeater Output (Tower transmissions) 870.030 - 889.980 Megahertz
  415.  
  416. There are 666 Channels. Phones transmit 45 MHz below the corresponding
  417. Tower channel. The channels are spaced every 30 KHz.
  418.  
  419. These channels are divided into "Nonwireline" (A) and "Wireline" (B) services.
  420.  
  421. Nonwireline (A) service uses the 825-835/870-880 frequencies (channels 1-333)
  422. Wireline (B) service uses the 835-845/880-890 frequencies (channels 334-666)
  423.  
  424. A channel is either dedicated to control signals, or to voice signals.
  425. Digital message streams are sent on both types of channels, however.
  426.  
  427. There are 21 control channels for each service.
  428.  
  429. Non-Wireline (A) control channels are located in the frequency ranges
  430. 834.39 - 834.99 and 879.39 - 879.99 (channels 312 - 333 )
  431.  
  432. Wireline (B) control channels are located in the frequency  ranges 
  433. 835.02 - 835.62 and 880.02 - 880.62 (channels 334 - 355)
  434.  
  435. The new 998 channel systems use 332 additional channels in the ranges
  436. 821-825/866-870 and 845-851/890-896.
  437.  
  438. Cell Control Sites (Towers) are connected to an MTSO (Mobile Telephone
  439. Switching Office) which connects the cellular system to a Central Office (CO)
  440. of a conventional telephone system.
  441.  
  442. Each Cell Control Site uses a maximum of 16 channels, up to 4 of which
  443. may be control channels. There will always be at least 1 control channel
  444. available in each cell. Cellular Towers are easily identified by the
  445. flat triangular platforms at the top of the mast, with short vertical
  446. antennas at each corner of the platform.
  447.  
  448. Most UHF Televisions and cable-ready VCR's are capable of monitoring
  449. Cellular Phone channels. Try tuning between UHF TV channels 72 - 76 for
  450. mobile phones, and between UHF TV channels 79 - 83 for towers.
  451. -----------------------------------------------------------------------------
  452.  
  453. SUPERVISORY AUDIO TONE (SAT)
  454. A mobile phone must be able to recognize and retransmit any of the
  455. three audio frequencies used as SAT's.
  456.  
  457. These tones (and their binary codes) are:
  458.     (00)  5970 Hz
  459.     (01)  6000 Hz
  460.     (10)  6030 Hz
  461.  
  462. The SAT is used during signaling, but not during data transmission.
  463. The binary codes are sent during data transmission to control which of the
  464. SAT tones a mobile phone will be using. 
  465. Each cell site (or tower) uses only one of the three SATs. The mobile
  466. transmitter returns that same SAT to the tower.
  467. Tone recognition must take place within 250 milliseconds.
  468.  
  469. SIGNALING TONE (ST)
  470. A 10 KHz tone is used for signaling by mobile phones during alert, handoff,
  471. certain service requests, and diconnect.
  472.  
  473. DATA TRANSMISSION
  474. Cellular Phones use a data rate of 10 Kilobits per second, and must be
  475. accurate to within one bit per second.
  476. Frequency Modulation (FM) is used for both voice and data transmissions.
  477. Digital data is transmitted as an 8KHz frequency shift of the carrier.
  478. A binary one is transmited as a +8KHz shift and a binary zero as a -8KHz
  479. shift. NRZ (Non-Return to Zero) coding is used, which means that the carrier
  480. is not shifted back to it's center frequency between transmitted binary bits.
  481.  
  482. ┌─────────────────────────────────────────────────────────────────────────┐
  483. │ The DNA BOX - Striking at the Nucleus of Corporate Communications.      │
  484. ⌡ A current project of...                                                 ┴
  485.  
  486.         Outlaw
  487.      Telecommandos
  488.    ║│▌││▐║│▌▌││▐│▌│║
  489.    ║│▌││▐║│▌▌││▐│▌│║
  490.    ║01-213-376-0111║
  491.       ···───────────────┐                           ┌────┐            6-FEB-89
  492.                       ╔═╧═══╧═╧═╧═╧═╧═╧═╧═╧═╧═╧═╗   └┬───┘
  493.     ···───────────────╢      THE DNA BOX        ╟────┘
  494.    ···────────────────╢ Hacking Cellular Phones ╟────┐
  495.                       ╚╤═╤═╤═╤═╤═╤═╤═╤═╤═══╤═╤═╤╝   ┌┴┐
  496.   ···──────────────────┘                            └─┘
  497.                           P A R T    F I V E
  498. ┌─────────────────────────────────────────────────────────────────────────┐
  499.  
  500.                  CELLULAR TELEPHONE SIGNALING FORMATS
  501. ===========================================================================
  502. (RECC) Reverse Control Channel (mobile-to-tower on control channel)
  503.  RECC Message Format:
  504.  ----------------------------------------------------------
  505.   Seizure Precursor:
  506.    Dotting     (30 bits)     1010101010101010101010101010101
  507.    Word Sync   (11 bits)     11100010010 
  508.    DCC         (7 bits)      xxxxxxx         Digital Color Code (DCC)
  509.                                                 Received  Coded
  510.                                                 --------  -------
  511.                                                 00        0000000    
  512.                                                 01        0011111
  513.                                                 10        1100011
  514.                                                 11        1111100
  515.   Message: (from one to five words in length)
  516.    First Word  repeated 5 times (240 bits)
  517.    Second Word repeated 5 times (240 bits)
  518.    Third Word  repeated 5 times (240 bits)
  519.    Fourth Word repeated 5 times (240 bits)
  520.    Fifth Word  repeated 5 times (240 bits)
  521.   ----------------------------------------------------------
  522. There are 4 types of RECC messages:
  523.     Page Response Message
  524.     Origination Message
  525.     Order Confirmation Message
  526.     Order Message
  527.  
  528. These are composed of combinations of the following message words:
  529.  
  530. Abbreviated Address Word:
  531.  F    (1bit)     1                         (first word indicator)
  532.  NAWC (3 bits)   xxx                       (number of additional words to send)
  533.  T    (1 bit)    x                         (0=response,1=origination/order)
  534.  S    (1 bit)    x                         (1=serial number will be sent)
  535.  E    (1 bit)    x                         (1=area will to be sent)
  536.       (1 bit)    0
  537.  SCM  (4 bits)   xxxx                      (station class mark)
  538.  MIN1 (24 bits)  xxxxxxxxxxxxxxxxxxxxxxxxx (coded 7 digit phone number)
  539.  P    (12 bits)  xxxxxxxxxxxx              (Parity)
  540.    
  541. Extended Address Word:
  542.  F     (1 bit)    0
  543.  NAWC  (3 bits)   xxx
  544.  LOCAL (5 bits)   xxxxx         (local control - system specific)
  545.  ORDQ  (3 bits)   xxx           (order qualifier)
  546.  ORDER (5 bits)   xxxxx         (order code)
  547.  LT    (1 bit)    x             (1=last try)
  548.        (8 bits)   00000000
  549.  MIN2  (10 bits)  xxxxxxxxxx    (coded Area Code)
  550.  P     (12 bits)  xxxxxxxxxxxx
  551.  
  552. Serial Number Word:
  553.  F      (1 bit)    0
  554.  NAWC   (3 bits)   xxx
  555.  SERIAL (32 bits)  xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx (serial number)
  556.  P      (12 bits)  xxxxxxxxxxxx
  557.  
  558. First Word of Called Address: [D1..D16 are the encoded digits]
  559.  F    (1 bit)    0
  560.  NAWC (3 bits)   xxx
  561.  D1   (4 bits)   xxxx                     Table of Digit Codes:
  562.  D2   (4 bits)   xxxx                 -----------------------------
  563.  D3   (4 bits)   xxxx                 1 0001     7 0111   NULL 0000
  564.  D4   (4 bits)   xxxx                 2 0010     8 1000
  565.  D5   (4 bits)   xxxx                 3 0011     9 1001
  566.  D6   (4 bits)   xxxx                 4 0100     0 1010
  567.  D7   (4 bits)   xxxx                 5 0101     * 1011
  568.  D8   (4 bits)   xxxx                 6 0110     # 1100
  569.  P    (12 bits)  xxxxxxxxxxxx
  570.  
  571. Second Word of Called Address:
  572.  F    (1 bit)   0
  573.  NAWC (3 bits)  000
  574.  D9   (4 bits)  xxxx      (encoded digits, see above table)
  575.  D10  (4 bits)  xxxx
  576.  D11  (4 bits)  xxxx
  577.  D12  (4 bits)  xxxx
  578.  D13  (4 bits)  xxxx
  579.  D14  (4 bits)  xxxx
  580.  D15  (4 bits)  xxxx
  581.  D16  (4 bits)  xxxx
  582.  P    (12 bits) xxxxxxxxxxxx
  583. ===========================================================================
  584.  
  585. (RVC) Reverse Voice Channel (mobile-to-tower on voice channel)
  586.  RVC Message Format:
  587.  --------------------------------------------------------------
  588.  Dotting         (101 bits) 101010101....101 
  589.  Word Sync       (11 bits)  11100010010
  590.  Repeat 1 Word 1 (48 bits)  xxxxx ... xxxxx
  591.  Dot             (37 bits)  1010101010101010101010101010101
  592.  Word Sync       (11 bits)  11100010010
  593.  Repeat 2 Word 1 (48 bits)  xxxxx ... xxxxx
  594.   .                 .
  595.   .                 .       [same pattern of repetition]
  596.   .                 .
  597.  Dot             (37 bits)
  598.  Word Sync       (11 bits)
  599.  Repeat 5 word 1 (48 bits)
  600.  Dot             (37 bits)
  601.  Word Sync       (11 bits)
  602.  Repeat 1 Word 2 (48 bits)
  603.  Dot             (37 bits)
  604.  Word Sync       (11 bits)
  605.  Repeat 2 Word 2 (48 bits)
  606.   .                  .
  607.   .                  .      [same pattern of repetition]
  608.   .                  .
  609.  Dot             (37 bits)  1010101010101010101010101010101
  610.  Word Sync       (11 bits)  11100010010
  611.  Repeat 5 word 2 (48 bits)  xxxxx ... xxxxx
  612. -----------------------------------------------------------
  613.  There are two kinds of RVC messages:
  614.  
  615.   Order Confirmation Message  
  616.   Called Address Message
  617.  
  618. ----------
  619. Order Confirmation Message Word:
  620.  F     (1 bit)   1
  621.  NAWC  (2 bits)  00
  622.  T     (1 bit)   1
  623.  LOCAL (5 bits)  xxxxx
  624.  ORDQ  (3 bits)  xxx
  625.  ORDER (5 bits)  xxxxx
  626.        (19 bits) 0000000000000000000
  627.  P     (12 bits) xxxxxxxxxxxx
  628. ---------
  629. ---------
  630. Called Address Message, First Word:
  631.  F    (1 bit)   1
  632.  NAWC (2 bits)  01
  633.  T    (1 bit)   0
  634.  D1   (4 bits)  xxxx
  635.  D2   (4 bits)  xxxx
  636.  D3   (4 bits)  xxxx
  637.  D4   (4 bits)  xxxx
  638.  D5   (4 bits)  xxxx
  639.  D6   (4 bits)  xxxx
  640.  D7   (4 bits)  xxxx
  641.  D8   (4 bits)  xxxx
  642.  P    (12 bits) xxxxxxxxxxxx
  643.  
  644. Called Address Message, Second Word:
  645.  F    (1 bit)   1
  646.  NAWC (2 bits)  00
  647.  T    (1 bit)   0
  648.  D9   (4 bits)  xxxx
  649.  D10  (4 bits)  xxxx
  650.  D11  (4 bits)  xxxx
  651.  D12  (4 bits)  xxxx
  652.  D13  (4 bits)  xxxx
  653.  D14  (4 bits)  xxxx
  654.  D15  (4 bits)  xxxx
  655.  D16  (4 bits)  xxxx
  656.  P    (12 bits) xxxxxxxxxxxx
  657. --------
  658. ===========================================================================
  659.  
  660. (FOCC) Forward Control Channel (tower-to-mobile on control channel)
  661.  FOCC Message Format:
  662.  --------------------------------------
  663.  Dotting         (10 bits) b1010101010
  664.  Word Sync       (11 bits) b11100010010
  665.  Repeat 1 word A (40 bits) bxxxxxxxxxxbxxxxxxxxxxbxxxxxxxxxxbxxxxxxxxxx
  666.  Repeat 1 word B (40 bits)            A Busy/Idle Bit (b) is inserted
  667.  Repeat 2 word A (40 bits)            at the beginning of Dotting and
  668.  Repeat 2 word B (40 bits)            Word Sync, and every 10 bits
  669.  Repeat 3 word A (40 bits)            during word repetitions beginning
  670.  Repeat 3 word B (40 bits)            at the start of the first word.
  671.  Repeat 4 word A (40 bits)            b=1 when the RCC is Idle.
  672.  Repeat 4 word B (40 bits)            b=0 when the RCC is Busy.
  673.  Repeat 5 word A (40 bits)
  674.  Repeat 5 word B (40 bits) bxxxxxxxxxxbxxxxxxxxxxbxxxxxxxxxxbxxxxxxxxxx
  675.  Dotting         (10 bits) b1010101010
  676.  -------------------------------------
  677. There are three types of FOCC messages: 
  678.  
  679.  Mobile Station Control Message
  680.  Overhead Message
  681.  Control-filler Message
  682.  
  683. Mobile Station Control Message: (one,two or four words)
  684. ------------------------------
  685. Abbreviated Address Word: 
  686.  TT   (2 bits)  0x         (00=if one word sent, 01=if multiple words sent)
  687.  DCC  (2 bits)  xx         Digital Color Code
  688.  MIN1 (24 bits) xxxxxxxxxxxxxxxxxxxxxxxx
  689.  P    (12 bits) xxxxxxxxxxxx
  690.  
  691. Extended Address Word: (two versions of this word occur)
  692.  -----------------------------   -----------------------------
  693.  TT    (2 bits)  10              TT   (2 bits)  10
  694.  SCC   (2 bits)  11              SCC  (2 bits)  xx    [not=11]
  695.  MIN2  (10 bits) xxxxxxxxxx      MIN2 (10 bits) xxxxxxxxxx
  696.        (1 bit)   0                    (1 bit)   0 
  697.  LOCAL (5 bits)  xxxxx           VMAC (3 bits)  xxx         (attenuation code)
  698.  ORDQ  (3 bits)  xxx             CHAN (11 bits) xxxxxxxxxxx (channel number)
  699.  ORDER (5 bits)  xxxxx              P (12 bits) xxxxxxxxxxxx
  700.  P     (12 bits) xxxxxxxxxxxx
  701.  
  702. First Directed-Retry Word:
  703.  TT      (2 bits)  10
  704.  SCC     (2 bits)  11       SAT Color Code
  705.  CHANPOS (7 bits)  xxxxxxx  channel position relative to first access channel
  706.  CHANPOS (7 bits)  xxxxxxx 
  707.  CHANPOS (7 bits)  xxxxxxx
  708.          (3 bits)  000 
  709.  P       (12 bits) xxxxxxxxxxxx 
  710.  
  711. Second Directed-Retry Word:
  712.  TT      (2 bits)  10
  713.  SCC     (2 bits)  11
  714.  CHANPOS (7 bits)  xxxxxxx
  715.  CHANPOS (7 bits)  xxxxxxx
  716.  CHANPOS (7 bits)  xxxxxxx
  717.          (3 bits)  000
  718.  P       (12 bits) xxxxxxxxxxxx
  719. -------------------------------
  720. -------------------------------
  721. Overhead Messages:
  722.   System Parameter Overhead Message:
  723.   Global Action Overhead Message:
  724.   Registration Identification Message:
  725.   Control-filler Message:
  726.  
  727. System Parameter Overhead Message:
  728. ----------------------------------
  729. System Parameter Word 1:
  730.  TT   (2 bits)  11
  731.  DCC  (2 bits)  xx
  732.       (3 bits)  000
  733.  NAWC (4 bits)  xxxx
  734.  OHD  (3 bits)  110           (overhead message type)
  735.  P    (12 bits) xxxxxxxxxxxx
  736.  
  737. System Parameter Word 2:
  738.  TT     (2 bits)  11
  739.  DCC    (2 bits)  xx
  740.  S      (1 bit)   x     (serial number flag)
  741.  E      (1 bit)   x     (extended address flag)
  742.  REGH   (1 bit)   x     (registration for home stations)
  743.  REGR   (1 bit)   x     (registration for roaming stations)
  744.  DTX    (1 bit)   x     (discontinuous transmission flag)
  745.         (1 bit)   0
  746.  N-1    (5 bits)  xxxxx (number of paging channels in system minus 1)
  747.  RCF    (1 bit)   x     (read-control-filler flag)
  748.  CPA    (1 bit)   x     (combined paging/access flag)
  749.  CMAX-1 (1 bit)   x     (number of access channels in system minus 1)
  750.  END    (1 bit)   x     (1=last word of overhaed message train)
  751.  OHD    (3 bits)  111
  752.  P      (12 bits) xxxxxxxxxxxx
  753. -------------------------------
  754. -------------------------------
  755. Global Action Overhead Messages:
  756.  
  757.  Rescan Global Action Message:
  758.     TT  (2 bit)   11
  759.     DCC (2 bits)  xx
  760.     ACT (4 bits)  0001
  761.         (16 bits) 0000000000000000
  762.     END (1 bit)   x
  763.     OHD (3 bits)  100
  764.     P   (12 bits) xxxxxxxxxxxx
  765.  
  766.  Registration Increment Global Action Message:
  767.     TT      (2 bits)  11
  768.     DCC     (2 bits)  xx
  769.     ACT     (4 bits)  0010
  770.     REGINCR (12 bits) xx    (registration increment)
  771.             (4 bits)  0000
  772.     END     (1 bits)  xx
  773.     OHD     (3 bits)  100
  774.     P       (12 bits) xx
  775.  
  776.  New Access Channel Set Global Action Message:
  777.     TT     (2 bits)  11
  778.     DCC    (2 bits)  xx
  779.     ACT    (4 bits)  0110
  780.     NEWACC (11 bits) xxxxxxxxxxx  (new access channel starting point)
  781.            (4 bits)  0000
  782.     END    (1 bit)   x
  783.     OHD    (3 bits)  100
  784.     P      (12 bits) xxxxxxxxxxxx
  785.  
  786.  Overload Control Global Action Message:
  787.     TT     (2 bits)  11
  788.     DCC    (2 bits)  xx
  789.     ACT    (4 bits)  1000
  790.     OLCD0  (1 bit)   x     (overload class flags)
  791.     OLCD2  (1 bit)   x
  792.     OLCD3  (1 bit)   x
  793.     OLCD4  (1 bit)   x
  794.     OLCD5  (1 bit)   x
  795.     OLCD6  (1 bit)   x
  796.     OLCD7  (1 bit)   x
  797.     OLCD8  (1 bit)   x
  798.     OLCD9  (1 bit)   x
  799.     OLCD10 (1 bit)   x
  800.     OLCD11 (1 bit)   x
  801.     OLCD12 (1 bit)   x
  802.     OLCD13 (1 bit)   x
  803.     OLCD14 (1 bit)   x
  804.     OLCD15 (1 bit)   x
  805.     END    (1 bit)   x
  806.     OHD    (3 bits)  100
  807.     P      (12 bits) xxxxxxxxxxxx
  808.  
  809.  Access Type Paramters Global Action Message:
  810.     TT  (2 bits)  11
  811.     DCC (2 bits)  xx
  812.     ACT (4 bits)  1001
  813.     BIS (1 bit)   x                  (busy/idle status flag)
  814.         (15 bits) 000000000000000
  815.     END (1 bit)   x
  816.     OHD (3 bits)  100
  817.     P   (12 bits) xxxxxxxxxxxx
  818.  
  819.  Access Attempt Parameters Global Action Message:
  820.     TT            (2 bits)  11 
  821.     DCC           (2 bits)  xx
  822.     ACT           (4 bits)  1010
  823.     MAXBUSY-PGR   (4 bits)  xxxx    (maximum busy occurrences, page response)
  824.     MAXSZTR-PGR   (4 bits)  xxxx    (maximum seizure tries, page response)
  825.     MAXBUSY-OTHER (4 bits)  xxxx    (maximum busy occurrences, other accesses)
  826.     MAXSZTR-OTHER (4 bits)  xxxx    (maximum seizure tries, other accesses)
  827.     END           (1 bits)  x
  828.     OHD           (3 bits)  100
  829.     P             (12 bits) xxxxxxxxxxxx
  830.  
  831.  Local Control 1 Message:
  832.     TT            (2 bits)  11
  833.     DCC           (2 bits)  x
  834.     ACT           (4 bits)  1110
  835.     LOCAL CONTROL (16 bits) xxxxxxxxxxxxxxxx  (any local control code)
  836.     END           (1 bits)  x
  837.     OHD           (3 bits)  100
  838.     P             (12 bits) xxxxxxxxxxxx
  839.  
  840.  Local Control 2 Message:
  841.     TT            (2 bits)  11
  842.     DCC           (2 bits)  xx
  843.     ACT           (4 bits)  1111
  844.     LOCAL CONTROL (16 bits) xxxxxxxxxxxxxxxx
  845.     END           (1 bits)  x
  846.     OHD           (3 bits)  100
  847.     P             (12 bits) xxxxxxxxxxxx
  848. -------------------------------
  849. Registration Identification Message:
  850.  
  851.    TT    (2 bits)  11
  852.    DCC   (2 bits)  xx
  853.    REGID (20 bits) xxxxxxxxxxxxxxxxxxxx    (registration ID)
  854.    END   (1 bit)   x
  855.    OHD   (3 bits)  000
  856.    P     (12 bits) xxxxxxxxxxxx
  857. ------------------------------------
  858. Control-Filler Message:
  859.  
  860.    TT   (2 bits) 11
  861.    DCC  (2 bits) xx
  862.         (6 bits) 010111
  863.    CMAC (3 bits) xxx            (current mobile attenuation)
  864.         (7 bits) 0011001
  865.    WFOM (1 bit)  x              (wait for overhead message)
  866.         (4 bits) 1111
  867.    OHD  (3 bits) 001
  868.    P    (12 bits) xxxxxxxxxxxx
  869. ===========================================================================
  870. (FVC) Forward Voice Channel: (tower-to-mobile on voice channel)
  871.  FVC Message Format: * BUSY/IDLE bits are inserted into FVC messages in a
  872.                        format similar to that of FOCC messages)
  873.  --------------------------------------------------------------
  874.  Dotting         (101 bits) 101010101...101 
  875.  Word Sync       (11 bits)  11100010010
  876.  Repeat 1 Word   (40 bits)  xxxxx...xxxxx
  877.  Dot             (37 bits)  1010101010101010101010101010101
  878.  Word Sync       (11 bits)  11100010010
  879.  Repeat 2 Word   (40 bits)  xxxxx...xxxxx
  880.  Dot             (37 bits)
  881.  Word Sync       (11 bits)
  882.  Repeat 3 Word   (40 bits)
  883.  .                   . 
  884.  .                   .      [same pattern of repetition]
  885.  .                   .
  886.  Dot             (37 bits)  1010101010101010101010101010101
  887.  Word Sync       (11 bits)  11100010010
  888.  Repeat 11 Word  (40 bits)  xxxxx...xxxxx
  889. -----------------------------------------------------------
  890.  There is only kind of FVC message:
  891.  
  892. Mobile Station Control Message:
  893.  
  894. Mobile Station Control Word: (two versions of this word occur)
  895.  -----------------------------   -----------------------------
  896.  TT    (2 bits)  10              TT   (2 bits)  10
  897.  PSCC  (2 bits)  xx              PSCC (2 bits)  xx          (present SAT code)
  898.        (9 bits)  000000000            (9 bits)  000000000 
  899.  LOCAL (5 bits)  xxxxx           VMAC (3 bits)  xxx         (attenuation code)
  900.  ORDQ  (3 bits)  xxx             CHAN (11 bits) xxxxxxxxxxx (channel number)
  901.  ORDER (5 bits)  xxxxx              P (12 bits) xxxxxxxxxxxx
  902.  P     (12 bits) xxxxxxxxxxxx
  903.  
  904. ===========================================================================
  905. * See Part Six for information describing various codes used in message
  906.   word fields.
  907. ===========================================================================
  908. ┌─────────────────────────────────────────────────────────────────────────┐
  909. │ The DNA BOX - Striking at the Nucleus of Corporate Communications.      │
  910. ⌡ A current project of...                                                 ⌡
  911.  
  912.         Outlaw
  913.      Telecommandos
  914.    ║│▌││▐║│▌▌││▐│▌│║
  915.    ║│▌││▐║│▌▌││▐│▌│║
  916.    ║01-213-376-0111║
  917.        ···───────────────┐                     ┌─────────────···       9-FEB-89
  918.                        ╔═╧═══╧═╧═╧═╧═╧═╧═╧═╧═╧═╧═╗    ┌────────···
  919.      ···───────────────╢      THE DNA BOX        ╟────┘ ┌─────────···
  920.     ···────────────────╢ Hacking Cellular Phones ╟──────┘
  921.                        ╚╤═╤═╤═╤═╤═╤═╤═╤═╤═══╤═╤═╤╝
  922.   ···───────────────────┘                       └────────────────────···
  923.                             P A R T    S I X
  924. ┌──────────────────────────────────────────────────────────────────────────┐
  925.  
  926.                     CELLULAR TELEPHONE MESSAGE CODES
  927. ============================================================================
  928. The previous file (Part Five) listed the Message Formats and Message Words
  929. used by the Cellular Telephone system. Message words have variable
  930. sub-fields that are set to convey various information (such as dialed
  931. numbers, mobile phone ID, commands, requests, channel assignments etc.).
  932.  
  933. Here are the codes used in Message Word subfields during data transmissions.
  934.  
  935. ============================================================================
  936. Mobile Station Automatic Attenuation Levels
  937.  
  938. Mobile Attenuation Code (MAC)
  939.       Power Classifications
  940. MAC     I      II     III       Nominal ERP Power Outputs
  941. ---    ---     ---    ---       Class      ERP   Level
  942. 000      6      2     -2        ---------  ----  --------
  943. 001      2      2     -2        Class I    4W    ( 6 dBW)
  944. 010     -2     -2     -2        Class II   1.6W  ( 2 dBW)
  945. 011     -6     -6     -6        Class III  0.6W  (-2 dBW)
  946. 100    -10    -10    -10
  947. 101    -14    -14    -14
  948. 110    -18    -18    -18
  949. 111    -22    -22    -22
  950.       (Attenuation in dBW)
  951. =========================================================
  952.  
  953. Station Class Mark (SCM)
  954.  
  955. SCM       Station Class, Transmission
  956. ----      ----------------------------
  957. xx00      Class I
  958. xx01      Class II
  959. xx10      Class III
  960.  
  961. 00xx      Continuous Transmissions
  962. 01xx      Discontinuous Transmissions
  963.  
  964. (for example 0010 means Class I Continuous Transmissions)
  965. =========================================================
  966.  
  967. Digital Color Code (DCC)
  968. Received  Coded
  969. --------  -------
  970. 00        0000000
  971. 01        0011111
  972. 10        1100011
  973. 11        1111100
  974. =======================================
  975.  
  976. SAT Color Code (Supervisory Audio Tone)
  977.  
  978. Code  Frequency
  979. ----  ---------
  980. 00    5970 Hz
  981. 01    6000 Hz
  982. 10    6030 Hz
  983. 11    (not a channel designation)
  984. ====================================
  985.  
  986. Digit Code (for dialed numbers etc.)
  987. Digit  Code
  988. -----  ----
  989. 1      0001
  990. 2      0010
  991. 3      0011
  992. 4      0100
  993. 5      0101
  994. 6      0110
  995. 7      0111
  996. 8      1000
  997. 9      1001
  998. 0      1010 (zero is encoded as a binary ten)
  999. *      1011
  1000. #      1100
  1001. Null   0000 (when no digit present)
  1002. ===================================
  1003.  
  1004. Order and Qualification Codes
  1005.  
  1006. Order  Qual  Function
  1007. -----  ---   ---------------------
  1008. 00000  000   page (or origination)
  1009. 00001  000   alert
  1010. 00011  000   release
  1011. 00100  000   reorder
  1012. 00110  000   stop alert
  1013. 00111  000   audit
  1014. 01000  000   send called-address
  1015. 01001  000   intercept
  1016. 01010  000   maintenance
  1017.  
  1018. 01011  000   change to power level 0
  1019. 01011  001   change to power level 1
  1020. 01011  010   change to power level 2
  1021. 01011  011   change to power level 3
  1022. 01011  100   change to power level 4
  1023. 01011  101   change to power level 5
  1024. 01011  110   change to power level 6
  1025. 01011  111   change to power level 7
  1026.  
  1027. 01100  000   directed retry - not last try
  1028. 01100  001   directed retry - last try
  1029.  
  1030. 01101  000   non-autonomous registration - do not make whereabouts known
  1031. 01101  001   non-autonomous registration - make whereabouts known
  1032. 01101  010   autonomous registration - do not make whereabouts known
  1033. 01101  011   autonomous registration - make whereabouts known
  1034.  
  1035. 11110  000   local control
  1036.  
  1037.              (All other codes are reserved)
  1038. ==============================================================
  1039.  
  1040. Overhead Message Type
  1041.  
  1042. Code Order
  1043. ---- ------------------
  1044. 000  registration ID
  1045. 001  control-filler
  1046. 010  (reserved)
  1047. 011  (reserved)
  1048. 100  global action
  1049. 101  (reserved)
  1050. 110  word 1 of system parameter message
  1051. 111  word 2 of system parameter message
  1052. =======================================
  1053.  
  1054. Global Action Message Types
  1055.  
  1056. Code  Action Type
  1057. ----  -----------
  1058. 0000      (reserved)
  1059. 0001  rescan paging channels
  1060. 0010  registration increment
  1061. 0011      (reserved)
  1062. 0010      (reserved)
  1063. 0011      (reserved)
  1064. 0100      (reserved)
  1065. 0101      (reserved)
  1066. 0110  new access channel set
  1067. 0111      (reserved)
  1068. 1000  overload control
  1069. 1001  access type parameters
  1070. 1010  access attempt parameters
  1071. 1011      (reserved)
  1072. 1100      (reserved)
  1073. 1101      (reserved)
  1074. 1110  local control 1
  1075. 1111  local control 2
  1076. ====================================================================
  1077.  
  1078. Restricted Central Office Codes.
  1079. Cellular phone numbers are NEVER issued with these patterns in order
  1080. to prevent Word Sync patterns from occuring inside a command word.
  1081.  
  1082. 1xx-xxxx                      544-2xxx                      864-2xxx
  1083. 224-2xxx                      568-1xxx thru 568-7xxx        899-xxxx
  1084. 288-2xxx                      595-8xxx thru 595-0xxx        800-xxxx
  1085. 339-8xxx thru 339-0xxx        663-xxxx thru 666-xxxx        928-2xxx
  1086. 352-xxxx                      672-2xxx                      992-2xxx
  1087. 416-2xxx                      736-2xxx                      909-xxxx
  1088. 470-2xxx                      790-2xxx                      0xx-xxxx
  1089. 508-2xxx                      851-8xxx thru 851-0xxx
  1090. =====================================================================
  1091. Bose-Chaudhuri-Hocquenghem (BCH) Codes
  1092.  
  1093.  Right now the best GUESS, based on available material, is that BCH coding
  1094. is the way that the 12 bit Parity field is computed.
  1095.  
  1096. The "polynomial" that generates the code is given as:
  1097.  
  1098.          12     10     8     5     4     3     0
  1099. gB(X)=  X   +  X   +  X  +  X  +  X  +  X  +  X
  1100.  
  1101.  
  1102. Taking this verbatim in the usual way (superscripts meaning exponentiation)
  1103. gives ridiculous results that would be difficult to compute at the
  1104. 10 Kb/s data rate required by the Cellular Data Protocol. It makes more sense
  1105. to interpret this notation to indicate that the bits of the message word are
  1106. summed (in binary) in 12, 10, 8, 5, 4, and 3 bit bytes with 1 added.
  1107. That is: the word is broken up into a bunch of sub-bytes of a certain length,
  1108. these are added together, the original word is again broken into sub-bytes of
  1109. the next length and those are summed ... until all listed lengths have been
  1110. summed. THEN all of those sums are summed and 1 is added. The low order
  1111. 12 bits of the results of this procedure are used as the parity bits.
  1112. THIS IS ALMOST PURE SPECULATION. Confirmation is currently being sought at
  1113. university engineering libraries, or by examining the parity bits in
  1114. published examples or intercepted cellular messages.
  1115.  
  1116. The Parity bits are irrelevant to hacking Cellular ID codes however, because
  1117. message words are repeated many times in each message block, and the ID
  1118. fields (MIN1, MIN2, and SID) can simply be lifted from the most
  1119. frequent (and most likely error-free) message words in the block.
  1120.  
  1121. HOWEVER: If BCH coding transforms the message bits as well as the Parity
  1122. bits then the proper BCH coding algorithm becomes critical. If all else fails,
  1123. diassembling the ROM firmware from a Cellular Phone should be conclusive.
  1124.  
  1125. ┌─────────────────────────────────────────────────────────────────────────┐
  1126. │ The DNA BOX - Striking at the Nucleus of Corporate Communications.      │
  1127. │ A current project of...                                                 │
  1128.  
  1129.         Outlaw
  1130.      Telecommandos
  1131.    ║│▌││▐║│▌▌││▐│▌│║
  1132.    ║│▌││▐║│▌▌││▐│▌│║
  1133.    ║01-213-376-0111║
  1134.