Malicious Pseudo-Ranging and Localization of Static LOS Wireless Users via Downlink Modulation Classification and Uplink Refinement

Sintesi Tecnica: Pseudo-Ranging Malizioso e Localizzazione di Utenti Wireless Statici in Linea di Vista (LOS)

Definizione del Problema
L'apertura degli standard wireless (ad esempio, 3GPP Releases 16–20 e IEEE 802.11xx) e la natura broadcast del mezzo wireless creano vulnerabilità che gli avversari possono sfruttare. Mentre le contromisure esistenti si concentrano spesso su attacchi attivi (ad esempio, jamming o rogue base station), questo articolo identifica un "elo scoperto" nelle tabelle pubbliche dei Modulazione e Codifica (MCS). Queste tabelle, essenziali per l'Adaptive Modulation and Coding (AMC), mappano la qualità del canale su schemi di modulazione specifici. L'articolo postula che un intercettatore (Eve) possa l'ingegnerizzare a ritroso queste tabelle pubbliche per inferire il Rapporto Segnale-Rumore (SNR) di un collegamento e, di conseguenza, la distanza geografica tra una Stazione Base (Alice) e un utente statico in Linea di Vista (Bob), senza implementare nodi anchor o impegnarsi in un probing attivo.

Metodologia
L'attacco proposto è un processo passivo in due fasi progettato per localizzare un utente statico:

1. Fase Downlink (Pseudo-Ranging):

   • Eve intercetta il broadcast downlink da Alice a Bob.
   • Viene impiegato un classificatore di modulazione basato su Deep Learning (specificamente una rete neurale convoluzionale 2D con quattro strati convoluzionali) per identificare lo schema di modulazione (ad esempio, BPSK, QPSK, 16-QAM, 64-QAM) del segnale intercettato.
   • Utilizzando le tabelle MCS pubblicamente disponibili, Eve mappa lo schema di modulazione rilevato su un intervallo di SNR specifico.
   • Applicando l'equazione di trasmissione di Friis e assumendo una potenza di trasmissione e una frequenza note, Eve converte questo intervallo di SNR in limiti di distanza. Ciò restringe la possibile posizione dell'utente dall'intera area di copertura della cella a un anello concentrico specifico attorno alla stazione base.

2. Fase Uplink (Raffinamento):

   • Eve si sposta nell'anello identificato e lo percorre lungo un percorso circolare.
   • Eve intercetta la trasmissione uplink da Bob. Poiché la potenza dell'uplink è tipicamente inferiore, Eve deve trovarsi in stretta prossimità per catturare un segnale di alta qualità.
   • In ogni punto della griglia lungo il cerchio, Eve misura l'SNR ricevuto. La posizione che produce l'SNR massimo è dichiarata come la stima iniziale della posizione di Bob.
   • Per raffinare questa stima, Eve esegue un secondo movimento circolare più piccolo attorno alla stima iniziale (utilizzando la distanza derivata dall'SNR) per individuare il punto con l'SNR più elevato. Questo processo può essere ripetuto iterativamente.
   • Estensioni: La metodologia è valutata anche con più antenne (utilizzando un Uniform Linear Array e l'algoritmo root-MUSIC per la stima della Direzione di Arrivo - DoA) e in scenari multi-utente monitorando più sottoportanti ortogonali.

Contributi Chiave

• Nuovo Attacco Passivo: Questo lavoro introduce il primo attacco passivo noto che utilizza le tabelle MCS per la localizzazione dell'utente senza richiedere nodi anchor o interferenze attive.
• Riduzione dello Spazio di Ricerca: L'attacco riduce efficacementamente lo spazio di ricerca della localizzazione da un'intera cella a un anello specifico (pseudo-ranging) tramite la classificazione della modulazione downlink.
• Privo di Infrastruttura: A differenza della tradizionale localizzazione della sorgente non cooperativa, questo metodo non richiede infrastrutture pre-distribuite con posizioni note.
• Validazione: L'approccio è validato attraverso simulazioni in scenari single-user, multi-user e con più antenne utilizzando frequenze di 5 GHz, 28 GHz e 100 GHz.

Risultati

• Classificazione della Modulazione: Il classificatore basato su CNN ha raggiunto accuratezze di validazione superiori all'80% in tutti gli scenari simulati. L'accuratezza di test variava in base alla prossimità di Eve alla stazione base e alla potenza di trasmissione; la vicinanza alla stazione base favoriva una maggiore accuratezza, fondamentale per la corretta identificazione dell'anello.
• Accuratezza della Localizzazione:
  • L'errore di localizzazione aumenta con potenze di trasmissione più elevate (a causa di anelli di copertura più grandi) ma diminuisce ad frequenze più alte (mmWave) a causa del maggiore path loss e delle aree di copertura più piccole.
  • La conoscenza dell'esatta potenza di trasmissione dell'utente migliora significativamente l'accuratezza rispetto alla conoscenza di un solo intervallo di potenza.
  • In uno scenario single-user a 28 GHz, l'errore medio di localizzazione è stato di circa 0,66 metri.
  • Multi-User: L'attacco ha localizzato con successo due utenti simultanei con un'accuratezza paragonabile al caso single-user (0,66 m e 0,67 m), sebbene richieda una maggiore larghezza di banda del ricevitore e risorse di elaborazione.
  • Molte Antenne: Dotare Eve di un Uniform Linear Array a 10 elementi ha ridotto significativamente l'errore medio di localizzazione a 0,27 metri sfruttando la stima della Direzione di Arrivo (DoA).
• Complessità: La complessità computazionale è modesta (circa 59 MFLOPs per la CNN), suggerendo che l'attacco sia fattibile per il deployment su dispositivi edge con capacità GPU standard.

Significato e Rivendicazioni
L'articolo inquadra questo lavoro come una divulgazione di "ethical hacking" intesa a sensibilizzare sulla sicurezza degli standard wireless pubblici. Gli autori affermano che l'apertura degli standard 3GPP e IEEE permette agli avversari di mappare gli indici MCS osservati su regioni geografiche, minacciando la privacy spaziale e consentendo il tracciamento a lungo termine, la de-anonimizzazione e la costruzione di mappe "digital twin" malevole della mobilità degli utenti.

Gli autori sottolineano che, sebbene l'attuale studio sia limitato a utenti statici e in Linea di Vista (LOS), l'attacco funge da "impalcatura" per scenari più complessi. Discutono potenziali estensioni verso ambienti Non-Line-of-Sight (NLOS) (utilizzando il radio fingerprinting) e utenti mobili (utilizzando catene di Markov e filtri di Kalman). L'articolo conclude che, mentre le reti 5G private potrebbero essere immuni, le reti 5G pubbliche e WiFi rimangono vulnerabili a questo attacco di sensing passivo privo di infrastruttura, rendendo necessaria una ri-esame dei profili di sicurezza standard nell'era delle reti 6G e AI-native.