Impact of 5G SA Logical Vulnerabilities on UAV Communications: Threat Models and Testbed Evaluation

Questo studio valuta l'impatto delle vulnerabilità logiche nelle reti 5G Standalone sulle comunicazioni UAV, dimostrando tramite un testbed come attacchi da diverse posizioni architetturali possano compromettere le operazioni dei droni e sottolineando la necessità di misure di isolamento e protezione dell'integrità.

L'essenziale

Ecco una spiegazione semplice e creativa del paper, pensata per chiunque, anche senza conoscenze tecniche di telecomunicazioni.

Immagina i droni (UAV) come piccoli robot volanti che devono parlare costantemente con il loro "padrone" a terra (la stazione di controllo) per sapere dove andare e cosa fare. Per farlo, usano la rete 5G, che è come un'autostrada digitale super veloce e senza traffico.

Il paper di Wagner Comin Sonaglio e colleghi si chiede: "Cosa succede se qualcuno prende il controllo di questa autostrada o dei segnali che viaggiano su di essa?"

Per scoprirlo, gli autori hanno costruito un laboratorio virtuale (un "testbed") dove simulano un'autostrada 5G e lanciano tre tipi di "attacchi" diversi, come se fossero tre ladri con abilità diverse.

Ecco i tre scenari spiegati con delle metafore:

1. Il Ladro nel Vicinato (Il "Rogue UE")

La situazione: Immagina che il drone, il suo pilota e un malintenzionato siano tutti nello stesso quartiere, collegati alla stessa rete Wi-Fi (o in questo caso, alla stessa "fetta" della rete 5G chiamata Slice).
L'attacco: Il malintenzionato non ha bisogno di hackerare la rete complessa. Si limita a entrare nella stessa stanza virtuale. Poiché il drone non controlla bene chi gli parla (come se non avesse un badge d'ingresso), il ladro può fingere di essere il pilota legittimo.
Cosa succede: Il ladro invia un messaggio falso al drone: "Attenzione, atterra subito!". Il drone, credendo che sia il suo vero pilota, esegue l'ordine e si schianta a terra, anche se il pilota vero sta cercando di dirgli di volare via.
La lezione: Se non c'è un "codice segreto" (firma digitale) per verificare chi parla, chiunque nella stessa rete può dare ordini al drone.

2. L'Impiegato Corrotto (L'Insider Threat)

La situazione: Questa volta, il cattivo non è un ladro esterno, ma qualcuno che lavora dentro l'ufficio centrale della rete (il Core Network). Ha le chiavi di accesso ai server che gestiscono le connessioni.
L'attacco: Questo "impiegato corrotto" non deve nemmeno rubare i messaggi. Può semplicemente andare al bancone dei servizi e dire: "Taglia la linea a quel drone!".
Cosa succede: Il sistema centrale riceve l'ordine e chiude il tunnel di comunicazione. Il drone perde il contatto con il pilota. Quando un drone perde il segnale, di solito entra in modalità di emergenza e torna indietro da solo o atterra, bloccando la missione.
La lezione: Anche se la rete sembra sicura, se qualcuno dall'interno ha accesso alle chiavi di gestione e non ci sono controlli incrociati, può spegnere il drone con un semplice clic.

3. Il Controllore del Traffico Compromesso (Il gNodeB)

La situazione: Immagina che il drone e il pilota siano collegati a due torri di comunicazione diverse. Una è sicura, l'altra è stata presa d'assalto da un hacker (il gNodeB compromesso).
L'attacco: Il drone invia i suoi dati attraverso la torre sicura, ma la risposta del pilota passa attraverso la torre presa d'assalto. L'hacker, che controlla quella torre, può vedere il messaggio in chiaro mentre passa. Non deve decifrare nulla, è come se il messaggio fosse scritto su un foglio di carta trasparente.
Cosa succede: Il pilota scrive: "Vola verso il parco". L'hacker, mentre il messaggio passa, prende un pennarello e modifica il foglio: "Vola verso il fiume". Il drone riceve il messaggio modificato e cambia rotta, mentre il pilota pensa che il drone stia andando dove ha ordinato lui.
La lezione: Se la "tubo" che porta i dati non è sigillato e protetto, chi lo controlla può cambiare il contenuto senza che nessuno se ne accorga.

La Conclusione: Come Proteggere i Droni?

Il paper ci dice che la sicurezza non può dipendere da un solo "lucchetto". È come proteggere una casa:

1. Non basta avere una rete veloce: Serve anche un sistema che verifichi chi parla (autenticazione).
2. Non basta fidarsi dei dipendenti interni: Le porte interne devono essere protette da chiavi digitali (crittografia).
3. Non basta che il messaggio arrivi: Il messaggio deve essere firmato per garantire che non sia stato modificato in viaggio (integrità).

In sintesi: Per far volare i droni in sicurezza con il 5G, non basta che la rete sia veloce. Bisogna assicurarsi che il drone sappia chi gli sta dando gli ordini, che nessuno possa spegnere la linea dall'interno e che nessuno possa cambiare le coordinate mentre viaggiano. Senza questi controlli, un drone è come un'auto a guida autonoma che obbedisce a chiunque gli faccia un cenno sulla strada.

Sommario tecnico

Ecco un riassunto tecnico dettagliato del paper in lingua italiana, strutturato secondo le sezioni richieste.

Titolo: Impatto delle Vulnerabilità Logiche 5G SA sulle Comunicazioni UAV: Modelli di Minaccia e Valutazione su Testbed

1. Problema

Gli Unmanned Aerial Vehicles (UAV) dipendono da comunicazioni continue con le stazioni di controllo a terra (GCS) per l'esecuzione dei comandi e la trasmissione della telemetria. Con l'avvento delle reti cellulari 5G Standalone (SA), che offrono bassa latenza e alta capacità, il controllo degli UAV si sposta sull'infrastruttura di rete mobile. Tuttavia, l'architettura 5G SA, sebbene avanzata, presenta vulnerabilità logiche che possono essere sfruttate per compromettere la sicurezza delle comunicazioni UAV-GCS.

Il problema centrale identificato è che la sicurezza dell'architettura 5G non garantisce automaticamente l'isolamento tra dispositivi connessi allo stesso "slice" (fetta di rete) o dominio dati (DNN), né protegge necessariamente le interfacce interne del core o il piano utente (User Plane) da manomissioni se non configurate correttamente. Questo crea una superficie di attacco dove un avversario può manipolare i comandi di volo, interrompere le sessioni di dati o intercettare la telemetria, compromettendo la riservatezza, l'integrità e la disponibilità delle missioni UAV.

2. Metodologia

Gli autori hanno sviluppato un ambiente di testbed controllato per replicare una rete 5G Standalone e valutare l'impatto di tre diversi modelli di minaccia.

• Ambiente Sperimentale:

  • Infrastruttura: Cluster Kubernetes basato su Kind.
  • Core 5G: Implementazione Open5GS (funzioni AMF, SMF, UPF, UDM, AUSF, PCF).
  • Accesso e Simulazione: UERANSIM per simulare le stazioni base (gNodeB) e gli utenti (UE).
  • Scenario UAV: Tre dispositivi UE simulati:
    1. UAV (con simulatore MAVLink per telemetria e controllo).
    2. GCS (Stazione di Controllo a Terra).
    3. Attaccante (UE Rogue o nodo compromesso).
  • Configurazione di Rete: Un singolo PLMN (MCC 999, MNC 70), un singolo Slice (SST 1, SD 0x111111) e un DNN condiviso ("internet"), permettendo ai dispositivi di condividere lo stesso spazio di indirizzamento logico.

• Modelli di Minaccia Analizzati:

  1. UE Malizioso (Rogue UE): Un dispositivo attaccante connesso alla stessa slice e DNN dell'UAV, che sfrutta la mancanza di isolamento logico.
  2. Minaccia Interna (Insider Threat): Un avversario con accesso al Core di rete (in particolare all'interfaccia N4 tra SMF e UPF), ma senza bisogno di dispositivi radio o credenziali di abbonato.
  3. gNodeB Compromesso: Un nodo di accesso (gNB) legittimo ma controllato dall'attaccante, che può osservare e manipolare il traffico del piano utente (GTP-U) e i segnali di controllo.

3. Contributi Chiave e Attacchi Dimostrati

Il paper presenta tre scenari di attacco specifici, ciascuno con un vettore di exploit diverso:

• A. Attacco di Iniezione C2 e Spoofing (Threat Model 1):

  • Vulnerabilità: La mancanza di isolamento tra UE nella stessa slice/DNN e l'assenza di firma digitale nei protocolli di applicazione (MAVLink).
  • Tecnica: L'attaccante scansiona la rete per trovare l'UAV (porta UDP 14550), impersona la GCS legittima impostando l'ID di sistema MAVLink a 255 (valore predefinito della GCS) e invia un flood di comandi MAV_CMD_NAV_LAND.
  • Risultato: L'UAV accetta i comandi maliziosi, forzando un atterraggio immediato e neutralizzando la missione, ignorando i comandi dell'operatore legittimo. Il meccanismo di fail-safe basato sul timeout del heartbeat non si attiva perché l'attaccante invia anche heartbeat falsi.

• B. Attacco di Interruzione di Sessione (Threat Model 2):

  • Vulnerabilità: L'interfaccia N4 (PFCP) tra SMF e UPF spesso non è protetta crittograficamente (IPsec/TLS) in molte implementazioni, essendo considerata "fidata" per impostazione predefinita.
  • Tecnica: L'attaccante, avendo accesso al core, stabilisce un'associazione PFCP con l'UPF e invia un flood di richieste di cancellazione sessione (Session Deletion Request) con SEID (Session ID) enumerati a forza bruta.
  • Risultato: L'UPF accetta le richieste e termina le sessioni PDU e i tunnel GTP-U. L'UAV perde la connessione, entra in modalità di sicurezza (failsafe) e torna al punto di origine, interrompendo l'operazione.

• C. Manomissione dei Dati di Navigazione (Threat Model 3):

  • Vulnerabilità: Il gNodeB termina la cifratura radio (PDCP), rendendo i dati del piano utente in chiaro all'interno del nodo. L'interfaccia N3 (tra gNB e UPF) spesso manca di integrità o cifratura.
  • Tecnica: L'attaccante controlla un gNB a cui è connessa la GCS. Il traffico C2 (GCS -> UAV) passa attraverso questo gNB compromesso. L'attaccante intercetta i pacchetti GTP-U, decapsula il payload, modifica i comandi di navigazione (es. SET POSITION TARGET LOCAL NED) sostituendo le coordinate target con quelle desiderate dall'attaccante, e re-inietta il pacchetto.
  • Risultato: L'UAV esegue comandi di navigazione alterati, deviando verso una posizione non desiderata. L'operatore vede il comando come "accettato" ma non nota la modifica, poiché non c'è integrità end-to-end a livello di applicazione o di tunnel.

4. Risultati Sperimentali

Gli esperimenti condotti sul testbed hanno confermato che:

1. Attacchi Laterali: Dispositivi nella stessa slice possono comunicare direttamente e attaccarsi se non ci sono politiche di isolamento rigorose.
2. Fragilità del Core: L'accesso all'interfaccia N4 non protetta permette di distruggere le connessioni degli utenti senza rompere alcuna crittografia esterna.
3. Vulnerabilità del Piano Utente: Un gNodeB compromesso può manipolare il traffico di controllo (C2) in tempo reale, sfruttando la mancanza di integrità su N3 e l'assenza di firme applicative.
4. Impatto Operativo: In tutti e tre i casi, la missione UAV è stata compromessa (atterraggio forzato, ritorno automatico, o deviazione di rotta), dimostrando che la sicurezza della rete 5G da sola non è sufficiente a garantire la sicurezza operativa degli UAV.

5. Significato e Raccomandazioni

Il lavoro sottolinea che la sicurezza delle comunicazioni UAV su 5G richiede un approccio a più livelli (defense-in-depth):

• Isolamento di Rete: È fondamentale configurare politiche di isolamento rigorose tra i dispositivi all'interno della stessa slice o DNN, evitando che dispositivi non fidati possano comunicare direttamente.
• Protezione delle Interfacce Core: Le interfacce interne come N4 devono essere protette con autenticazione reciproca e integrità (es. IPsec o TLS), non dando per scontato che il core sia un ambiente "fidato".
• Integrità del Piano Utente: Si raccomanda l'attivazione dell'integrità (e opzionalmente della riservatezza) sull'interfaccia N3 (GTP-U) tra gNB e UPF.
• Sicurezza Applicativa: I protocolli di controllo degli UAV (come MAVLink) devono implementare meccanismi di firma digitale (signing) e autenticazione. Questo è l'unico strato che può garantire l'integrità dei comandi anche se il trasporto di rete (5G) è compromesso o manipolato.

In conclusione, il paper dimostra che le vulnerabilità logiche dell'architettura 5G SA, se non mitigate da configurazioni specifiche e protezioni applicative, rappresentano una minaccia critica per le operazioni UAV, rendendo necessarie misure di sicurezza trasversali che vadano oltre la semplice connettività di rete.