Experimental Validation and Mitigation of RRC Storm Attacks in 5G Cellular Networks

Jedes Mal, wenn sich ein Mobiltelefon in ein 5G-Netzwerk einwählt, muss es zuerst eine kurze, ungeschützte Türschwelle passieren. Bevor das Netzwerk verifizieren kann, wer der Nutzer ist oder sein Passwort prüfen kann, muss das Telefon um Erlaubnis bitten, sprechen zu dürfen. Dieses anfängliche Handshake ist essenziell für die Funktion des Systems, stellt aber auch eine Schwachstelle dar. Da das Netzwerk Ressourcen zuweisen muss, um die Anfrage zu bearbeiten, noch bevor es weiß, ob die Anfrage legitim ist, kann ein böswilliger Akteur diese Lücke ausnutzen. Durch das Senden einer Flut von gefälschten Anfragen, die wie echte Verbindungsversuche aussehen, aber nie abgeschlossen werden, kann ein Angreifer das System verstopfen. Dies erzeugt einen Verkehrsstau, bei dem die Rechenleistung des Netzwerks durch unvollständige Aufgaben beansprucht wird, sodass kein Platz mehr für echte Menschen bleibt, um Anrufe zu tätigen oder Nachrichten zu senden. Diese spezifische Art der Störung, bekannt als Signaling Storm, war lange Zeit eine theoretische Bedrohung in der Welt der drahtlosen Sicherheit, doch den Beweis zu führen, dass sie in der realen Welt funktioniert, und einen Weg zu finden, sie zu stoppen, blieb eine Herausforderung.

Ein Team von Forschern der King Abdullah University of Science and Technology hat dieses Problem nun aus der Sphäre der Computersimulationen in die physische Welt gehoben. Sie bauten ein echtes 5G-Netzwerk unter Verwendung von Software-Defined Radios und kommerziellen Mobiltelefonen, um exakt zu demonstrieren, wie ein Angreifer einen Funkmast überlasten könnte. Viel wichtiger noch: Sie entwarfen und testeten eine leichtgewichtige Verteidigung, die direkt auf dem Mast selbst läuft. Ihre Arbeit zeigt, dass ein Angreifer zwar tatsächlich eine Funkzelle durch das Überfluten mit unvollständigen Verbindungsanfragen lahmlegen kann, ein intelligentes Überwachungssystem jedoch das Muster dieses Missbrauchs erkennen und blockieren kann, ohne legitime Nutzer zu stoppen. Die Forscher veröffentlichten ihren gesamten Code als Open Source, damit andere ihre Ergebnisse verifizieren und bessere Abwehrmechanismen entwickeln können.

Um den Angriff zu verstehen, muss man zunächst betrachten, wie sich ein Telefon in ein 5G-Netzwerk einwählt. Wenn ein Gerät eingeschaltet wird, sendet es ein Signal an den nächstgelegenen Turm, bekannt als Basisstation, und bittet um eine Verbindung. Der Turm antwortet mit einer temporären ID und einer Berechtigung, weitere Daten zu senden. Das Telefon sendet daraufhin eine formale Anfrage, um eine Verbindung aufzubauen. In diesem Stadium hat der Turm einen kleinen Speicherplatz, oder Kontext, erstellt, um dieses spezifische Telefon zu verfolgen. Erst nach diesem Austausch beginnt das Netzwerk mit dem Prozess der Authentifizierung des Nutzers. In einem normalen Szenario schließt das Telefon den Handshake ab und die Verbindung wird aktiv. Ein Angreifer kann jedoch die Tatsache ausnutzen, dass der Turm diesen Speicherplatz erstellt, bevor er weiß, ob der Nutzer echt ist. Ein bösartiges Gerät kann diesen Prozess wiederholt starten, indem es die initiale Anfrage und die Folgemeldung sendt, dann aber absichtlich stoppt, bevor der letzte Schritt erfolgt. Der Turm bleibt mit einem Speicherplatz für ein Telefon zurück, das nie ankommt – ein Zustand, den die Forscher als „half-open connection“ (halb offene Verbindung) bezeichnen.

Die Forscher richteten eine Testumgebung ein, um zu sehen, wie schnell dies schiefgehen kann. Sie verwendeten einen Desktop-Computer, der mit spezialisierter Software als Basisstation fungierte, verbunden mit zwei Funkgeräten, die Signale über die Luft übertrugen. Ein Funkgerät agierte als Angreifer, während ein Standard-Mobiltelefon als Opfer diente. Als der Angreifer mit diesen unvollständigen Anfragen begann, waren die Ergebnisse unmittelbar. Der Speicher der Basisstation füllte sich mit diesen Geisterverbindungen. In ihrem ersten Test erreichte das System das Limit von sechzehn Nutzern in weniger als einer Sekunde. Als sie die Kapazität auf neunzig Nutzer erhöhten, kollabierte das System dennoch in weniger als vier Sekunden. Sobald der Speicher voll war, konnte der Turm keine neuen Anfragen mehr annehmen. Als die Forscher versuchten, das kommerzielle Telefon zu verbinden, schlug dies wiederholt fehl, da es kein Signal empfangen konnte. Der Angriff hatte erfolgreich einen Denial-of-Service verursacht und echte Nutzer vom Netzwerk blockiert.

Nachdem sie bewiesen hatten, dass der Angriff funktioniert, wandte sich das Team der Lösung zu. Sie brauchten eine Möglichkeit, zwischen einem geschäftigen Netzwerk mit vielen echten Nutzern und einem Netzwerk unter Angriff zu unterscheiden. In einer normalen Hochlastsituation schließen die meisten Telefone, die den Verbindungsprozess starten, diesen auch ab. Bei einem Angriff sinkt das Verhältnis von abgeschlossenen zu gestarteten Verbindungen drastisch, da der Angreifer den Handshake nie vollendet. Die Forscher programmierten die Basisstation so, dass sie dieses Verhältnis überwacht. Wenn die Anzahl der abgeschlossenen Verbindungen im Vergleich zur Anzahl der gestarteten Verbindungen unter ein gewisses Niveau fällt, weiß das System, dass ein Angriff stattfindet.

Sobald der Angriff erkannt wurde, musste das System handeln, ohne die gesamte Zelle abzuschalten. Die Forscher entwickelten eine Methode, die verdächtige Anfragen basierend auf ihrem Ursprung gruppiert. Sie verwendeten einen Wert namens „Timing Advance“, den der Turm berechnet, um zu bestimmen, wie weit ein Telefon entfernt ist. Obwohl dieser Wert nicht präzise genug ist, um ein spezifisches Gerät zu identifizieren, ist er genau genug, um Geräte zu gruppieren, die sich in einer ähnlichen Entfernung befinden. Das System zählt, wie viele halb offene Verbindungen aus jeder Distanzgruppe kommen. Wenn eine Gruppe einen plötzlichen Anstieg an unvollständigen Verbindungen aufweist, markiert das System diese Gruppe als verdächtig.

Wenn eine Gruppe markiert wird, ändert die Basisstation ihr Verhalten für alle neuen Anfragen, die aus dieser spezifischen Distanz kommen. Anstatt diesen neuen Anfragen die volle Zeit zur Fertigstellung zu geben, gewährt das System ihnen ein sehr kurzes Zeitfenster, um den Handshake abzuschließen. Für einen legitimen Nutzer ist dieses Fenster ausreichend Zeit, um sich zu verbinden. Für den Angreifer, der versucht, tausende von gefälschten Anfragen so schnell wie möglich durchzupeitschen, ist das Fenster zu kurz, um die notwendige Anzahl an halb offenen Verbindungen anzuhäufen. Die Anfragen des Angreifers laufen ab und werden gelöscht, wodurch Ressourcen frei werden.

Die Forscher testeten diese Verteidigung in demselben realen Aufbau. Als der Angriff begann, erkannte das System den Abfall der abgeschlossenen Verbindungen und aktivierte die Verteidigung. Der Angrefer wurde sofort daran gehindert, den Speicher zu füllen. Entscheidend war, dass das kommerzielle Telefon ebenfalls eine Verbindung herstellen konnte, obwohl es einige Versuche benötigte, da es sich in derselben Distanzgruppe wie der Angreifer befand. Das Telefon verband sich schließlich und erreichte die volle Geschwindigkeit. Dieses Ergebnis verdeutlichte den Kompromiss der Verteidigung: Legitime Nutzer in derselben Gegend wie der Angreifer könnten eine leichte Verzögerung erleben oder einen erneuten Versuch benötigen, aber das Netzwerk als Ganzes bleibt offen. Ohne die Verteidigung wäre das gesamte Netzwerk abgeschaltet worden.

Die Studie kommt zu dem Schluss, dass der RRC Signaling Storm zwar eine reale und gefährliche Bedrohung ist, aber nicht unaufhaltsam. Indem ein Netzwerk den Fluss der Verbindungsanfragen überwacht und einen einfachen, gezielten Filter basierend auf der Distanz anwendet, kann es sich vor einer Überlastung schützen. Die Forscher betonten, dass ihre Verteidigung leichtgewichtig ist und direkt auf der Netzausrüstung läuft, was sie praktisch für den realen Einsatz macht. Sie merkten auch an, dass die aktuelle Methode weniger effektiv sein könnte, wenn ein Angreifer sich bewegt oder mehrere Geräte an verschiedenen Standorten nutzt, was darauf hindeutet, dass zukünftige Abwehrmechanismen die Distanz mit anderen Merkmalen kombinieren könnten, um komplexere Angriffe abzufangen. Durch die Veröffentlichung ihrer Arbeit als Open Source hat das Team der Gemeinschaft ein funktionierendes Modell zur Verfügung gestellt, um es zu testen, zu verbessern und anzupassen – und so eine theoretische Schwachstelle in ein gelöstes Problem mit einer praktischen Verteidigung verwandelt.