Malicious Pseudo-Ranging and Localization of Static LOS Wireless Users via Downlink Modulation Classification and Uplink Refinement

Resumen Técnico: Pseudo-distanciamiento Malicioso y Localización de Usuarios Inalámbricos Estáticos con Línea de Visión (LOS)

Planteamiento del Problema
La apertura de los estándares inalámbricos (por ejemplo, 3GPP Releases 16–20 e IEEE 802.11xx) y la naturaleza de difusión del medio inalámbrico crean vulnerabilidades que los adversarios pueden explotar. Mientras que las contramedidas existentes suelen centrarse en ataques activos (por ejemplo, interferencia/jamming, estaciones base falsas), este artículo identifica un "cabos sueltos" en las tablas públicas de Esquema de Modulación y Codificación (MCS). Estas tablas, esenciales para la Modulación y Codificación Adaptativa (AMC), mapean la calidad del canal con esquemas de modulación específicos. El artículo postula que un espía (Eve) puede realizar ingeniería inversa de estas tablas públicas para inferir la Relación Señal-Ruido (SNR) de un enlace y, consecuentmente, la distancia geográfica entre una Estación Base (Alice) y un usuario estático con Línea de Visión (Bob), sin desplegar ningún nodo ancla ni realizar sondeos activos.

Metodología
El ataque propuesto es un proceso pasivo de dos fases diseñado para localizar a un usuario estático:

1. Fase de Downlink (Pseudo-distanciamiento):

   • Eve intercepta la difusión de bajada (downlink) de Alice hacia Bob.
   • Se emplea un clasificador de modulación basado en Aprendizaje Profundo (específicamente una Red Neuronal Convolucional 2D con cuatro capas convolucionales) para identificar el esquema de modulación (por ejemplo, BPSK, QPSK, 16-QAM, 64-QAM) de la señal interceptada.
   • Utilizando las tablas MCS disponibles públicamente, Eve mapea el esquema de modulación detectado a un rango específico de SNR.
   • Al aplicar la ecuación de transmisión de Friis y asumir una potencia de transmisión y frecuencia conocidas, Eve convierte este rango de SNR en límites de distancia. Esto reduce la posible ubicación del usuario de toda el área de cobertura de la celda a un anillo concéntrico específico alrededor de la estación base.

2. Fase de Uplink (Refinamiento):

   • Eve se desplaza al anillo identificado y lo recorre siguiendo una trayectoria circular.
   • Eve rastrea la transmisión de subida (uplink) de Bob. Dado que la potencia de subida es típicamente menor, Eve debe estar en proximidad cercana para capturar una señal de alta calidad.
   • En cada punto de la cuadrícula a lo largo del círculo, Eve mide la SNR recibida. La ubicación que arroja la SNR máxima se declara como la estimación inicial de la posición de Bob.
   • Para refinar esta estimación, Eve realiza un movimiento circular secundario más pequeño alrededor de la estimación inicial (usando la distancia derivada de la SNR) para localizar con precisión el punto con la SNR más alta. Este proceso puede repetirse iterativamente.
   • Extensiones: La metodología también se evalúa con múltiples antenas (utilizando un Arreglo Lineal Uniforme y el algoritmo root-MUSIC para la estimación de la Dirección de Llegada - DoA) y en escenarios de múltiples usuarios donde Eve monitorea múltiples subportadoras ortogonales.

Contribuciones Clave

• Ataque Pasivo Novedoso: Este trabajo introduce el primer ataque pasivo conocido que utiliza tablas MCS para la localización de usuarios sin requerir nodos ancla o interferencia activa.
• Reducción del Espacio de Búsqueda: El ataque reduce eficazmente el espacio de búsqueda de localización de una celda completa a un anillo específico (pseudo-distanciamiento) mediante la clasificación de modulación de bajada.
• Sin Infraestructura: A diferencia de la localización de fuentes no cooperativas tradicional, este método no requiere infraestructura pre-desplegada con ubicaciones conocidas.
• Validación: El enfoque se valida mediante simulaciones en escenarios de un solo usuario, múltiples usuarios y múltiples antenas utilizando frecuencias de 5 GHz, 28 GHz y 100 GHz.

Resultados

• Clasificación de Modulación: El clasificador basado en CNN logró precisiones de validación superiores al 80% en todos los escenarios simulados. La precisión de prueba varió según la proximidad de Eve a la estación base y la potencia de transmisión; una mayor proximidad a la estación base resultó en una mayor precisión, lo cual es crítico para la identificación correcta del anillo.
• Precisión de Localización:
  • El error de localización aumenta con potencias de transmisión más altas (debido a anillos de cobertura más grandes) pero disminuye en frecuencias más altas (mmWave) debido a la mayor pérdida de trayectoria y áreas de cobertura más pequeñas.
  • El conocimiento de la potencia de transmisión exacta del usuario mejora significativamente la precisión en comparación con conocer solo un rango de potencia.
  • En un escenario de un solo usuario a 28 GHz, el error promedio de localización fue de aproximadamente 0.66 metros.
  • Multi-usuario: El ataque localizó con éxito a dos usuarios simultáneos con una precisión comparable (0.66 m y 0.67 m) al caso de un solo usuario, aunque requiere un mayor ancho de banda de receptor y recursos de procesamiento.
  • Múltiples Antenas: Equipar a Eve con un Arreglo Lineal Uniformo de 10 elementos redujo significativamente el error promedio de localización a 0.27 metros al aprovechar la estimación de la Dirección de Llegada (DoA).
• Complejidad: La complejidad computacional es modesta (aprox. 59 MFLOPs para la CNN), lo que sugiere que el ataque es factible para su despliegue en dispositivos de borde con capacidades de GPU estándar.

Significado y Reivindicaciones
El artículo enmarca este trabajo como una divulgación de "hacking ético" destinada a concienciar sobre las implicaciones de seguridad de los estándares inalámbricos públicos. Los autores afirman que la apertura de los estándares 3GPP e IEEE permite a los adversarios mapear los índices MCS observados a regiones geográficas, amenazando la privacidad espacial y permitiendo el seguimiento a largo plazo, la desanonimización y la construcción de mapas de "gemelos digitales" maliciosos de la movilidad de los usuarios.

Los autores enfatizan que, si bien el estudio actual se limita a entornos de Línea de Visión (LOS) y usuarios estáticos, el ataque sirve como un "andamiaje" para escenarios más complejos. Discuten posibles extensiones a entornos de No Línea de Visión (NLOS) (usando huellas digitales de radio) y usuarios móviles (usando cadenas de Markov y filtros de Kalman). El artículo concluye que, mientras que las redes privadas 5G podrían ser inmunes, las redes públicas 5G y WiFi siguen siendo vulnerables a este ataque de detección pasiva sin infraestructura, lo que requiere un reexamen de los perfiles de seguridad estándar en la era de las redes nativas de IA y 6G.