Malicious Pseudo-Ranging and Localization of Static LOS Wireless Users via Downlink Modulation Classification and Uplink Refinement

Technische Zusammenfassung: Maliziöse Pseudo-Entfernungsmessung und Lokalisierung statischer LOS-Wireless-Nutzer

Problemstellung
Die Offenheit von Funkstandards (z. B. 3GPP Releases 16–20 und IEEE 802.11xx) und die Broadcast-Natur des Funkmediums schaffen Schwachstellen, die Angreifer ausnutzen können. Während bestehende Gegenmaßnahmen oft auf aktive Angriffe (z. B. Jamming, Rogue Base Stations) abzielen, identifiziert dieses Paper eine „offene Stelle“ in den öffentlichen Modulations- und Codierungsschemata-Tabellen (MCS-Tabellen). Diese Tabellen, die für die adaptive Modulation und Codierung (AMC) essenziell sind, bilden die Kanalqualität auf spezifische Modulationsverfahren ab. Das Paper postuliert, dass ein Lauscher (Eve) diese öffentlichen Tabellen durch Reverse Engineering nutzen kann, um das Signal-Rausch-Verhältnis (SNR) einer Verbindung zu inferieren und folglich den geografischen Abstand zwischen einer Basisstation (Alice) und einem stationären Line-of-Sight (LOS) Nutzer (Bob) zu bestimmen, ohne dabei Ankerknoten einzusetzen oder aktives Probing zu betreiben.

Methodik
Der vorgeschlagene Angriff ist ein passiver, zweiphasiger Prozess zur Lokalisierung eines statischen Nutzers:

1. Downlink-Phase (Pseudo-Entfernungsmessung):

   • Eve unterbricht den Downlink-Broadcast von Alice zu Bob.
   • Ein auf Deep Learning basierender Modulationsklassifizier (speziell ein 2D-Convolutional Neural Network mit vier Convolutional Layers) wird eingesetzt, um das Modulationsverfahren (z. B. BPSK, QPSK, 16-QAM, 64-QAM) des abgefangenen Signals zu identifizieren.
   • Unter Verwendung der öffentlich verfügbaren MCS-Tabellen bildet Eve das detektierte Modulationsverfahren auf einen spezifischen SNR-Bereich ab.
   • Durch Anwendung der Friis-Übertragungsgleichung und unter Annahme bekannter Sendeleistung und Frequenz konvertiert Eve diesen SNR-Bereich in Distanzgrenzen. Dies verengt den möglichen Standort des Nutzers vom gesamten Zellabdeckungsbereich auf einen spezifischen konzentrischen Ring um die Basisstation.

2. Uplink-Phase (Verfeinerung):

   • Eve bewegt sich zu dem identifizierten Ring und durchläuft diesen auf einer kreisförmigen Bahn.
   • Eve belauscht die Uplink-Übertragung von Bob. Da die Uplink-Leistung typischerweise geringer ist, muss sich Eve in unmittelbarer Nähe befinden, um ein qualitativ hochwertiges Signal zu erfassen.
   • An jedem Gitterpunkt entlang des Kreises misst Eve das empfangene SNR. Der Ort, der das maximale SNR liefert, wird als erste Schätzung der Position von Bob deklariert.
   • Um diese Schätzung zu verfeinern, führt Eve eine sekundäre, kleinere kreisförmige Bewegung um die initiale Schätzung durch (unter Verwendung der aus dem SNR abgeleiteten Distanz), um den Ort mit dem höchsten SNR präzise zu bestimmen. Dieser Prozess kann iterativ wiederholt werden.
   • Erweiterungen: Die Methodik wird auch mit mehreren Antennen (unter Verwendung eines Uniform Linear Array und des root-MUSIC-Algorithmus zur Schätzung der Einfallsrichtung/DoA) sowie in Multi-User-Szenarien evaluiert, in denen Eve mehrere orthogonale Subcarrier überwacht.

Wesentliche Beiträge

• Neuartiger passiver Angriff: Diese Arbeit führt den ersten bekannten passiven Angriff ein, der MCS-Tabellen zur Nutzerlokalisierung nutzt, ohne Ankerknoten oder aktive Interferenzen zu benötigen.
• Reduktion des Suchraums: Der Angriff reduziert den Lokalisierungs-Suchraum effektiv von einer vollen Zelle auf einen spezifischen Ring (Pseudo-Entfernungsmessung) mittels Downlink-Modulationsklassifizierung.
• Infrastrukturfrei: Im Gegensatz zu traditioneller nicht-kooperativer Quellenlokalisierung erfordert diese Methode keine vorinstallierte Infrastruktur mit bekannten Standorten.
• Validierung: Der Ansatz wird durch Simulationen in Single-User-, Multi-User- und Multiple-Antenna-Szenarien bei Frequenzen von 5 GHz, 28 GHz und 100 GHz validiert.

Ergebnisse

• Modulationsklassifizierung: Der CNN-basierte Klassifizier erreichte Validierungsgenauigkeiten von über 80 % in allen simulierten Szenarien. Die Testgenauigkeit variierte je nach Nähe von Eve zur Basisstation und der Sendeleistung; eine größere Nähe zur Basisstation führte zu einer höheren Genauigkeit, was entscheidend für die korrekte Identifizierung des Rings ist.
• Lokalisierungsgenauigkeit:
  • Der Lokalisierungsfehler steigt mit höheren Sendeleistungen (aufgrund größerer Abdeckungsringe) an, nimmt jedoch bei höheren Frequenzen (mmWave) aufgrund des höheren Pfadverlusts und kleinerer Abdeckungsbereiche ab.
  • Die Kenntnis der exakten Sendeleistung des Nutzers verbessert die Genauigkeit signifikant im Vergleich zum Wissen über nur einen Leistungsbereich.
  • In einem Single-User-Szenario bei 28 GHz betrug der durchschnittliche Lokalisierungsfehler etwa 0,66 Meter.
  • Multi-User: Der Angriff lokalisierte zwei simultane Nutzer erfolgreich mit vergleichbarer Genauigkeit (0,66 m und 0,67 m) zum Single-User-Fall, erfordert jedoch eine erhöhte Empfängerbandbreite und Rechenressourcen.
  • Mehrere Antennen: Die Ausstattung von Eve mit einem 10-Element-Uniform-Linear-Array reduzierte den durchschnittlichen Lokalisierungsfehler signifikant auf 0,27 Meter durch die Nutzung der Direction of Arrival (DoA)-Schätzung.
• Komplexität: Die Rechenkomplexität ist moderat (ca. 59 MFLOPs für das CNN), was darauf hindeutet, dass der Angriff auf Edge-Geräten mit Standard-GPU-Kapazitäten realisierbar ist.

Bedeutung und Ansprüche
Das Paper rahmt diese Arbeit als „Ethical Hacking“-Offenlegung ein, die darauf abzielt, das Bewusstsein für die Sicherheitsimplikationen öffentlicher Funkstandards zu schärfen. Die Autoren behaupten, dass die Offenheit von 3GPP- und IEEE-Standards es Angreifern ermöglicht, beobachtete MCS-Indizes geografischen Regionen zuzuordnen, was die räumliche Privatsphäre bedroht und ein langfristiges Tracking, De-Anonymisierung sowie die Erstellung maliziöser „Digital Twin“-Karten der Nutzerbeweglichkeit ermöglicht.

Die Autoren betonen, dass sich die aktuelle Studie auf Line-of-Sight (LOS) und statische Nutzer beschränkt, der Angriff jedoch als „Gerüst“ für komplexere Szenarien dient. Sie diskutieren potenzielle Erweiterungen auf Non-Line-of-Sight (NLOS) Umgebungen (mittels Radio Fingerprinting) und mobile Nutzer (mittels Markov-Ketten und Kalman-Filtern). Das Paper schließt mit der Feststellung, dass private 5G-Netzwerke immun sein könnten, öffentliche 5G- und WiFi-Netzwerke jedoch weiterhin anfällig für diesen infrastrukturlosen, passiven Sensorangriff sind, was eine Neubewertung der Sicherheitsprofile in der Ära von 6G und KI-nativen Netzwerken erforderlich macht.