Experimental Validation and Mitigation of RRC Storm Attacks in 5G Cellular Networks

Cada vez que un teléfono móvil se conecta a una red 5G, primero debe pasar por una breve puerta sin vigilancia. Antes de que la red pueda verificar quién es el usuario o comprobar su contraseña, el teléfono debe pedir permiso para hablar. Este saludo inicial es esencial para que el sistema funcione, pero también es una vulnerabilidad. Debido a que la red debe asignar recursos para gestionar la solicitud antes de saber si la solicitud es legítima, un actor malintencionado puede explotar este vacío. Al enviar una avalancha de solicitudes falsas que parecen intentos de conexión reales pero que nunca terminan, un atacante puede congestionar el sistema. Esto crea un atasco donde la capacidad de procesamiento de la red se consume por tareas incompletas, sin dejar espacio para que las personas reales hagan llamadas o envíen mensajes. Este tipo específico de interrupción, conocido como tormenta de señalización, ha sido durante mucho tiempo una amenaza teórica en el mundo de la seguridad inalámbrica, pero demostrar que funciona en el mundo real y encontrar una manera de detenerlo ha seguido siendo un desafío.

Un equipo de investigadores de la Universidad de Ciencia y Tecnología Rey Abdalá ha trasladado este problema del ámbito de las simulaciones por computadora al mundo físico. Construyeron una red 5G real utilizando radios definidas por software y teléfonos móviles comerciales para demostrar exactamente cómo un atacante podría abrumar una torre de telefonía. Más importante aún, diseñaron y probaron una defensa ligera que se ejecuta directamente en la propia torre. Su trabajo demuestra que, si bien un atacante puede, de hecho, apagar una celda inundándola con solicitudes de conexión incompletas, un sistema de monitoreo inteligente puede detectar el patrón de este abuso y bloquearlo sin detener a los usuarios legítimos. Los investigadores publicaron todo su código como código abierto, permitiendo que otros verifiquen sus hallazgos y construyan mejores defensas.

Para entender el ataque, uno debe primero observar cómo un teléfono se une a una red 5G. Cuando un dispositivo se enciende, envía una señal a la torre más cercana, conocida como estación base, pidiendo conectarse. La torre responde con una ID temporal y una concesión para enviar más datos. El teléfono envía entonces una solicitud formal para establecer una conexión. En esta etapa, la torre ha creado un pequeño espacio de memoria, o contexto, para rastrear este teléfono específico. Solo después de este intercambio, la red comienza el proceso de autenticación del usuario. En un escenario normal, el teléfono completa el saludo y la conexión se vuelve activa. Sin embargo, un atacante puede explotar el hecho de que la torre crea este espacio de memoria antes de saber si el usuario es real. Un dispositivo malintencionado puede iniciar este proceso repetidamente, enviando la solicitud inicial y el mensaje de seguimiento, pero deteniéndose deliberadamente antes del paso final. La torre se queda con un espacio de memoria para un teléfono que nunca llega, un estado que los investigadores llaman una conexión "semiabierta".

Los investigadores configuraron un entorno de prueba para ver qué tan rápido podía salir mal esto. Utilizaron una computadora de escritorio ejecutando software especializado para actuar como la estación base, conectada a dos dispositivos de radio que transmitían señales por el aire. Un radio actuaba como el atacante, mientras que un teléfono comercial estándar servía como víctima. Cuando el atacante comenzó a enviar estas solicitudes incompletas, los resultados fueron inmediatos. La memoria de la estación base se llenó con estas conexiones fantasma. En su primera prueba, el sistema alcanzó su límite de dieciséis usuarios en menos de un segundo. Cuando aumentaron la capacidad a noventa usuarios, el sistema colapsó de todos modos en menos de cuatro segundos. Una vez que la memoria se llenó, la torre ya no pudo aceptar nuevas solicitudes. Cuando los investigadores intentaron conectar el teléfono comercial, este falló repetidamente, incapaz de obtener una señal. El ataque había creado con éxito una denegación de servicio, bloqueando a los usuarios reales de la red.

Habiendo demostrado que el ataque funciona, el equipo se centró en la solución. Necesitaban una forma de distinguir entre una red ocupada con muchos usuarios reales y una red bajo ataque. En una situación normal de alta carga, la mayoría de los teléfonos que inician el proceso de conexión lo terminan. En un ataque, la proporción de conexiones terminadas respecto a las iniciadas cae drásticamente porque el atacante nunca completa el saludo. Los investigadores programaron la estación base para vigilar esta proporción. Si el número de conexiones completadas caía por debajo de un cierto nivel en comparación con el número de conexiones iniciadas, el sistema sabría que estaba ocurriendo un ataque.

Una vez detectado el ataque, el sistema necesitaba actuar sin apagar toda la celda. Los investigadores desarrollaron un método que agrupa las solicitudes sospechosas basándose en de dónde vienen. Utilizaron un valor llamado avance de tiempo (timing advance), que la torre calcula para determinar a qué distancia se encuentra un teléfono. Si bien este valor no es lo suficientemente preciso para identificar un dispositivo específico, es lo suficientemente exacto para agrupar dispositivos que están a una distancia similar. El sistema cuenta cuántas conexiones semiabiertas provienen de cada grupo de distancia. Si un grupo tiene un aumento repentino de conexiones incompletas, el sistema marca ese grupo como sospechoso.

Cuando un grupo es marcado, la estación base cambia su comportamiento para cualquier nueva solicitud que provenga de esa distancia específica. En lugar de dar a estas nuevas solicitudes el tiempo completo para completar el proceso, el sistema les otorga una ventana muy corta para terminar el saludo. Para un usuario legítimo, esta ventana es tiempo suficiente para conectarse. Para el atacante, que intenta ciclar a través de miles de solicitudes falsas lo más rápido posible, la ventana es demasiado corta para acumular el número necesario de conexiones semiabiertas. Las solicitudes del atacante expiran y se eliminan, liberando recursos.

Los investigadores probaron esta defensa en el mismo entorno del mundo real. Cuando el ataque comenzó, el sistema detectó la caída en las conexiones completadas y activó la defensa. El atacante fue bloqueado inmediatamente de llenar la memoria. Crucialmente, el teléfono comercial también pudo conectarse, aunque tuvo que intentarlo algunas veces porque resultó estar en el mismo grupo de distancia que el atacante. El teléfono finalmente se conectó y alcanzó la velocidad completa. Este resultado resaltó el compromiso de la defensa: los usuarios legítimos en la misma área que el atacante podrían experimentar un ligero retraso o necesitar reintentar, pero la red en su conjunto permanece abierta. Sin la defensa, toda la red habría sido apagada.

El estudio concluye que, si bien la tormenta de señalización RRC es una amenaza real y peligrosa, no es imparable. Al monitorear el flujo de solicitudes de conexión y aplicar un filtro simple y dirigido basado en la distancia, una red puede protegerse de ser abrumada. Los investigadores enfatizaron que su defensa es ligera y se ejecuta directamente en el equipo de red, lo que la hace práctica para el despliegue en el mundo real. También señalaron que si un atacante se mueve o utiliza múltiples dispositivos en diferentes ubicaciones, el método actual podría ser menos efectivo, sugiriendo que las defensas futuras podrían combinar la distancia con otras características para capturar ataques más complejos. Al liberar su trabajo como código abierto, el equipo ha proporcionado a la comunidad un modelo funcional para probar, mejorar y adaptar, convirtiendo una vulnerabilidad teórica en un problema resuelto con una defensa práctica.