Malicious Pseudo-Ranging and Localization of Static LOS Wireless Users via Downlink Modulation Classification and Uplink Refinement

Résumé Technique : Pseudo-mesure de distance et localisation malveillantes d'utilisateurs sans fil statiques en visibilité directe (LOS)

Énoncé du Problème
L'ouverture des standards sans fil (par exemple, les versions 16 à 20 de la 3GPP et l'IEEE 802.11xx) et la nature diffusive du milieu sans fil créent des vulnérabilités que des adversaires peuvent exploiter. Alors que les contre-mesures existantes se concentrent souvent sur les attaques actives (par exemple, le brouillage, les stations de base frauduleuses), cet article identifie une « faille » dans les tables publiques de Schéma de Modulation et de Codage (MCS). Ces tables, essentielles pour l'Adaptation de la Modulation et du Codage (AMC), associent la qualité du canal à des schémas de modulation spécifiques. L'article postule qu'un espion (Eve) peut rétro-concevoir ces tables publiques pour déduire le rapport signal sur bruit (SNR) d'une liaison et, par conséquent, la distance géographique entre une station de base (Alice) et un utilisateur statique en visibilité directe (Bob), sans déployer de nœuds ancres ni engager de sondage actif.

Méthodologie
L'attaque proposée est un processus passif en deux phases conçu pour localiser un utilisateur statique :

1. Phase Descendante (Pseudo-mesure de distance) :

   • Eve intercepte la diffusion descendante d'Alice vers Bob.
   • Un classificateur de modulation basé sur l'apprentissage profond (spécifiquement un réseau de neurones convolutifs 2D avec quatre couches convolutives) est employé pour identifier le schéma de modulation (par exemple, BPSK, QPSK, 16-QAM, 64-QAM) du signal intercepté.
   • En utilisant les tables MCS publiques, Eve associe le schéma de modulation détecté à une plage de SNR spécifique.
   • En appliquant l'équation de transmission de Friis et en supposant une puissance de transmission et une fréquence connues, Eve convertit cette plage de SNR en limites de distance. Cela réduit la zone de localisation possible de l'utilisateur de l'ensemble de la zone de couverture de la cellule à un anneau concentrique spécifique autour de la station de base.

2. Phase Montante (Affinement) :

   • Eve se déplace vers l'anneau identifié et parcourt celui-ci selon un chemin circulaire.
   • Eve capte la transmission montante de Bob. Puisque la puissance montante est généralement plus faible, Eve doit être à proximité immédiate pour capturer un signal de haute qualité.
   • À chaque point de grille le long du cercle, Eve mesure le SNR reçu. L'emplacement produisant le SNR maximal est déclaré comme l'estimation initiale de la position de Bob.
   • Pour affiner cette estimation, Eve effectue un second mouvement circulaire plus petit autour de l'estimation initiale (en utilisant la distance dérivée du SNR) pour localiser précisément l'endroit présentant le SNR le plus élevé. Ce processus peut être répété de manière itérative.
   • Extensions : La méthodologie est également évaluée avec plusieurs antennes (en utilisant un réseau linéaire uniforme et l'algorithme root-MUSIC pour l'estimation de l'angle d'arrivée) et dans des scénarios multi-utilisateurs où Eve surveille plusieurs sous-porteuses orthogonales.

Contributions Clés

• Attaque Passive Novatrice : Ce travail introduit la première attaque passive connue qui utilise les tables MCS pour la localisation d'utilisateurs sans nécessiter de nœuds ancres ou d'interférence active.
• Réduction de l'Espace de Recherche : L'attaque réduit efficacement l'espace de recherche de localisation d'une cellule entière à un anneau spécifique (pseudo-mesure de distance) via la classification de la modulation descendante.
• Sans Infrastructure : Contrairement à la localisation de source non coopérative traditionnelle, cette méthode ne nécessite aucune infrastructure pré-déployée aux emplacements connus.
• Validation : L'approche est validée par des simulations à travers des scénarios à utilisateur unique, multi-utilisateurs et à antennes multiples, utilisant des fréquences de 5 GHz, 28 GHz et 100 GHz.

Résultats

• Classification de la Modulation : Le classificateur basé sur le CNN a atteint des précisions de validation supérieures à 80 % dans tous les scénarios simulés. La précision lors des tests variait en fonction de la proximité d'Eve par rapport à la station de base et de la puissance de transmission ; une plus grande proximité avec la station de base permettait une meilleure précision, ce qui est crucial pour l'identification correcte de l'anneau.
• Précision de la Localisation :
  • L'erreur de localisation augmente avec des puissances de transmission plus élevées (en raison de l'élargissement des anneaux de couverture) mais diminue à des fréquences plus hautes (ondes millimétriques) en raison de l'atténuation de propagation plus élevée et de zones de couverture plus réduites.
  • La connaissance de la puissance de transmission exacte de l'utilisateur améliore considérablement la précision par rapport à la connaissance d'une simple plage de puissance.
  • Dans un scénario à utilisateur unique à 28 GHz, l'erreur de localisation moyenne était d'environ 0,66 mètre.
  • Multi-Utilisateur : L'attaque a localisé avec succès deux utilisateurs simultanés avec une précision comparable à celle du cas à utilisateur unique (0,66 m et 0,67 m), bien que cela nécessite une bande passante de réception et des ressources de traitement accrues.
  • Multiples Antennes : Équiper Eve d'un réseau linéaire uniforme de 10 éléments a réduit l'erreur de localisation moyenne de manière significative à 0,27 mètre en exploitant l'estimation de l'angle d'arrivée (DoA).
• Complexité : La complexité de calcul est modeste (environ 59 MFLOPs pour le CNN), ce qui suggère que l'attaque est réalisable sur des appareils de bord (edge devices) dotés de capacités GPU standards.

Signification et Revendications
L'article présente ce travail comme une divulgation de « hacking éthique » destinée à sensibiliser aux implications de sécurité des standards sans fil publics. Les auteurs affirment que l'ouverture des standards 3GPP et IEEE permet à des adversaires de cartographier les indices MCS observés vers des régions géographiques, menaçant la confidentialité spatiale et permettant le traçage à long terme, la désanonymisation et la construction de cartes de mobilité des utilisateurs de type « jumeau numérique » malveillant.

Les auteurs soulignent que, bien que l'étude actuelle soit limitée aux utilisateurs statiques et en visibilité directe (LOS), l'attaque sert d'« échafaudage » pour des scénarios plus complexes. Ils discutent des extensions potentielles vers des environnements sans visibilité directe (NLOS) (en utilisant l'empreinte radio) et des utilisateurs mobiles (en utilisant les chaînes de Markov et le filtre de Kalman). L'article conclut que si les réseaux privés 5G pourraient être immunisés, les réseaux 5G publics et WiFi restent vulnérables à cette attaque de détection passive sans infrastructure, nécessitant un réexamen des profils de sécurité dans l'ère des réseaux 6G et natifs de l'IA.