Experimental Validation and Mitigation of RRC Storm Attacks in 5G Cellular Networks

في كل مرة يتصل فيها هاتف محمول بشبكة الجيل الخامس (5G)، يجب عليه أولاً المرور عبر بوابة وجيزة غير محمية. فقبل أن تتمكن الشبكة من التحقق من هوية المستخدم أو فحص كلمة المرور الخاصة به، يجب على الهاتف أن يطلب الإذن للتحدث. هذه المصافحة الأولية ضرورية لعمل النظام، لكنها تمثل أيضاً ثغرة أمنية. ولأن الشبكة يجب أن تخصص موارد للتعامل مع الطلب قبل معرفة ما إذا كان الطلب شرعياً أم لا، يمكن لمهاجم خبيث استغلال هذه الفجوة. فمن خلال إرسال فيض من الطلبات المزيفة التي تبدو وكأنها محاولات اتصال حقيقية ولكنها لا تكتمل أبداً، يمكن للمهاجم سد النظام. هذا يخلق ازدحاماً مرورياً حيث تُستهلك قدرة المعالجة في الشبكة من خلال مهام غير مكتملة، مما لا يترك مجالاً للأشخاص الحقيقيين لإجراء المكالمات أو إرسال الرسائل. هذا النوع المحدد من الاضطراب، المعروف باسم "عاصفة الإشارات" (signaling storm)، ظل لفترة طويلة تهديداً نظرياً في عالم أمن اللاسلكي، لكن إثبات نجاحه في العالم الحقيقي وإيجاد طريقة لإيقافه ظل تحدياً قائماً.

لقد نقل فريق من الباحثين في جامعة الملك عبد الله للعلوم والتقنية هذه المشكلة الآن من مجال المحاكاة الحاسوبية إلى العالم المادي. فقد بنوا شبكة جيل خامس حقيقية باستخدام راديو معرف برمجياً (software-defined radios) وهواتف محمولة تجارية لإثبات كيف يمكن لمهاجم أن يغمر برج اتصالات بالفعل. والأهم من ذلك، أنهم صمموا واختبروا دفاعاً خفيف الوزن يعمل مباشرة على البرج نفسه. ويظهر عملهم أنه بينما يمكن لمهاجم بالفعل إغلاق خلية عن طريق إغراقها بطلبات اتصال غير مكتملة، فإن نظام مراقبة ذكياً يمكنه رصد نمط هذا الإساءة وحظره دون إيقاف المستخدمين الشرعيين. وقد أطلق الباحثون جميع أكوادهم كمصدر مفتوح، مما يسمح للآخرين بالتحقق من نتائجهم وبناء دفاعات أفضل.

لفهم الهجوم، يجب على المرء أولاً النظر في كيفية انضمام الهاتف إلى شبكة الجيل الخامس. فعندما يعمل جهاز ما، فإنه يرسل إشارة إلى أقرب برج له، والمعروف باسم المحطة الأساسية، لطلب الاتصال. تستجيب المحطة بهوية مؤقتة ومنح إذن لإرسال المزيد من البيانات. ثم يرسل الهاتف طلباً رسمياً لإنشاء اتصال. في هذه المرحلة، تكون المحطة قد أنشأت مساحة ذاكرة صغيرة، أو "سياقاً" (context)، لتتبع هذا الهاتف تحديداً. وفقط بعد هذا التبادل، تبدأ الشبكة عملية المصادقة على المستخدم. في السيناريو الطبيعي، يكمل الهاتف المصافحة، ويصبح الاتصال نشطاً. ومع ذلك، يمكن للمهاجم استغلال حقيقة أن المحطة تنشئ مساحة الذاكرة هذه قبل معرفة ما إذا كان المستخدم حقيقياً أم لا. يمكن لجهاز خبيث أن يبدأ هذه العملية بشكل متكرر، بإرسال الطلب الأولي والرسالة التالية، ثم التوقف عمداً قبل الخطوة النهائية. وتجد المحطة نفسها ممسكة بمساحة ذاكرة لهاتف لم يصل أبداً، وهي حالة سماها الباحثون "اتصالاً نصف مفتوح" (half-open connection).

أقام الباحثون بيئة اختبار لمعرفة مدى سرعة حدوث هذا الأمر. استخدموا جهاز كمبيوتر مكتبي يعمل ببرامج متخصصة ليعمل كمحطة أساسية، متصلاً بجهازي راديو يبثان الإشارات عبر الهواء. عمل أحد أجهزة الراديو كمهاجم، بينما عمل هاتف تجاري قياسي كضحية. وعندما بدأ المهاجم في إرسال هذه الطلبات غير المكتملة، كانت النتائج فورية. امتلأت ذاكرة المحطة الأساسية بهذه الاتصالات الشبحية. في اختبارهم الأول، وصل النظام إلى حده الأقصى وهو ستة عشر مستخدماً في أقل من ثانية واحدة. وعندما رفعوا السعة إلى تسعين مستخدماً، انهار النظام في أقل من أربع ثوانٍ. وبمجرد امتلاء الذاكرة، لم تعد المحطة قادرة على قبول طلبات جديدة. وعندما حاول الباحثون توصيل الهاتف التجاري، فشل مراراً وتكراراً، غير قادر على الحصول على إشارة. لقد نجح الهجوم في خلق حالة "حرمان من الخدمة" (denial of service)، مما منع المستخدمين الحقيقيين من الوصول إلى الشبكة.

بعد إثبات نجاح الهجوم، انتقل الفريق إلى الحل. كانوا بحاجة إلى طريقة للتمييز بين شبكة مزدحمة بمستخدمين حقيقيين كثر، وشبكة تتعرض لهجوم. في حالات الحمل العالي الطبيعية، يكمل معظم الهواتف التي تبدأ عملية الاتصال هذه العملية. أما في حالة الهجوم، فإن نسبة الاتصالات المكتملة إلى الاتصالات التي بدأت تنخفض بشكل حاد لأن المهاجم لا يكمل المصافحة أبداً. قام الباحثون ببرمجة المحطة الأساسية لمراقبة هذه النسبة؛ فإذا انخفض عدد الاتصالات المكتملة عن مستوى معين مقارنة بعدد الاتصالات التي بدأت، سيعرف النظام أن هجوماً ما يحدث.

بمجرد اكتشاف الهجوم، احتاج النظام إلى التصرف دون إغلاق الخلية بأكملها. طور الباحثون طريقة تقوم بتجميع الطلبات المشبوهة بناءً على مصدرها. استخدموا قيمة تسمى "التقدم الزمني" (timing advance)، وهي القيمة التي تحسبها المحطة لتحديد مدى بعد الهاتف. وبينما هذه القيمة ليست دقيقة بما يكفي لتحديد جهاز معين، إلا أنها دقيقة بما يكفي لتجميع الأجهزة التي تقع على مسافة مماثلة. يقوم النظام بعدّ الاتصالات "نصف المفتوحة" القادمة من كل مجموعة مسافة. وإذا شهدت إحدى المجموعات طفرة مفاجئة في الاتصالات غير المكتملة، يصنفها النظام كمجموعة مشبوهة.

عندما يتم وضع علامة على مجموعة ما، تغير المحطة الأساسية سلوكها تجاه أي طلبات جديدة قادمة من تلك المسافة المحددة. فبدلاً من منح هذه الطلبات الجديدة الوقت الكامل للاكتمال، يمنحها النظام نافذة زمنية قصيرة جداً لإنهاء المصافحة. بالنسبة للمستخدم الشرعي، تعتبر هذه النافذة وقتاً كافياً للاتصال. أما بالنسبة للمهاجم، الذي يحاول تدوير آلاف الطلبات المزيفة بأسرع ما يمكن، فإن النافذة تكون قصيرة جداً بحيث لا تسمكنه من تراكم العدد اللازم من الاتصالات نصف المفتوحة. وبالتالي تنتهي صلاحية طلبات المهاجم وتتم إزالتها، مما يحرر الموارد.

اختبر الباحثون هذا الدفاع في نفس الإعداد الواقعي. عندما بدأ الهجوم، رصد النظام انخفاضاً في الاتصالات المكتملة وفعّل الدفاع. تم حظر المهاجم فوراً من ملء الذاكرة. ومن الأهمية بمكان أن الهاتف التجاري تمكن أيضاً من الاتصال، رغم أنه اضطر للمحاولة بضع مرات لأنه كان في نفس مجموعة المسافة الخاصة بالمهاجم. اتصل الهاتف في النهاية وحقق السرعة الكاملة. سلطت هذه النتيجة الضوء على المقايضة في هذا الدفاع: قد يواجه المستخدمون الشرعيون في نفس منطقة المهاجم تأخراً طفيفاً أو حاجة لإعادة المحاولة، لكن الشبكة ككل تظل مفتوحة. وبدون هذا الدفاع، لكانت الشبكة بأكملها قد توقفت عن العمل.

تخلص الدراسة إلى أنه بينما تعد عاصفة إشارات (RRC) تهديداً حقيقياً وخطيراً، إلا أنها ليست مستحيلة الصد. فمن خلال مراقبة تدفق طلبات الاتصال وتطبيق مرشح بسيط ومستهدف بناءً على المسافة، يمكن للشبكة حماية نفسها من الغمر. وأكد الباحثون أن دفاعهم خفيف الوزن ويعمل مباشرة على معدات الشبكة، مما يجعله عملياً للنشر في العالم الحقيقي. كما أشاروا إلى أنه إذا تحرك المهاجم أو استخدم أجهزة متعددة في مواقع مختلفة، فقد يكون الأسلوب الحالي أقل فعالية، مما يشير إلى أن الدفاعات المستقبلية يمكن أن تجمع بين المسافة وميزات أخرى للإمساك بالهجمات الأكثر تعقيداً. ومن خلال إطلاق عملهم كمصدر مفتوح، قدم الفريق للمجتمع نموذجاً يعمل للاختبار والتحسين والتكيف، محولين بذلك ثغرة نظرية إلى مشكلة تم حلها بدفاع عملي.