Experimental Validation and Mitigation of RRC Storm Attacks in 5G Cellular Networks

Ogni volta che un telefono cellulare si connette a una rete 5G, deve prima passare attraverso una breve porta senza guardiani. Prima che la rete possa verificare chi sia l'utente o controllare la sua password, il telefono deve chiedere il permesso di parlare. Questa stretta di mano iniziale è essenziale per il funzionamento del sistema, ma è anche una vulnerabilità. Poiché la rete deve allocare risorse per gestire la richiesta prima di sapere se la richiesta sia legittima, un malintenzionato può sfruttare questo vuoto. Inviando un flusso di richieste false che sembrano tentativi di connessione reali ma che non vengono mai portati a termine, un attaccante può intasare il sistema. Ciò crea un ingorgo in cui la potenza di elaborazione della rete viene consumata da attività incomplete, lasciando nessuno spazio per le persone reali per effettuare chiamate o inviare messaggi. Questo specifico tipo di interruzione, noto come tempesta di segnalazione (signaling storm), è stato a lungo una minaccia teorica nel mondo della sicurezza wireless, ma dimostrare che funzioni nel mondo reale e trovare un modo per fermarlo è rimasto una sfida.

Un team di ricercatori della King Abdullah University of Science and Technology ha ora spostato questo problema dal regno delle simulazioni informatiche al mondo fisico. Hanno costruito una rete 5G reale utilizzando radio definite via software e telefoni cellulari commerciali per dimostrare esattamente come un attaccante potrebbe sovraccaricare una cella telefonica. Cosa più importante, hanno progettato e testato una difesa leggera che gira direttamente sulla torre stessa. Il loro lavoro mostra che, sebbene un attaccante possa effettivamente spegnere una cella inondandola di richieste di connessione incompiute, un sistema di monitoraggio intelligente può individuare il modello di questo abuso e bloccarlo senza fermare gli utenti legittimi. I ricercatori hanno rilasciato tutto il loro codice come open source, permettendo ad altri di verificare le loro scoperte e costruire difese migliori.

Per capire l'attacco, bisogna innanzitutto osservare come un telefono si unisca a una rete 5G. Quando un dispositivo si accende, invia un segnale alla torre più vicina, nota come stazione base, chiedendo di connettersi. La torre risponde con un ID temporaneo e un permesso per inviare ulteriori dati. Il telefono invia quindi una richiesta formale per stabilire una connessione. A questo stadio, la torre ha creato un piccolo spazio di memoria, o contesto, per tracciare questo specifico telefono. Solo dopo questo scambio la rete inizia il processo di autenticazione dell'utente. In uno scenario normale, il telefono completa la stretta di mano e la connessione diventa attiva. Tuttavia, un attaccante può sfruttare il fatto che la torre crea questo spazio di memoria prima di sapere se l'utente è reale. Un dispositivo malevolo può ripetutamente avviare questo processo, inviando la richiesta iniziale e il messaggio successivo, ma poi fermandosi deliberatamente prima del passaggio finale. La torre rimane con uno spazio di memoria per un telefono che non arriva mai, uno stato che i ricercatori chiamano connessione "half-open" (semi-aperta).

I ricercatori hanno allestito un ambiente di test per vedere quanto velocemente la situazione potesse degenerare. Hanno utilizzato un computer desktop eseguendo un software specializzato per agire come stazione base, collegato a due dispositivi radio che trasmettevano segnali via etere. Un radio agiva da attaccante, mentre un normale telefono commerciale fungeva da vittima. Quando l'attaccante ha iniziato a inviare queste richieste incomplete, i risultati sono stati immediati. La memoria della stazione base si è riempita di queste connessioni fantasma. Nel loro primo test, il sistema ha raggiunto il limite di sedici utenti in meno di un secondo. Quando hanno aumentato la capacità a novanta utenti, il sistema è comunque collassato in meno di quattro secondi. Una volta che la memoria era piena, la torre non poteva più accettare nuove richieste. Quando i ricercatori hanno provato a connettere il telefono commerciale, questo falliva ripetutamente, incapace di ottenere un segnale. L'attacco aveva creato con successo un denial of service, bloccando gli utenti reali dalla rete.

Dopo aver dimostrato che l'attacco funziona, il team si è concentrato sulla soluzione. Avevano bisogno di un modo per distinguere tra una rete trafficata con molti utenti reali e una rete sotto attacco. In una normale situazione di alto carico, la maggior parte dei telefoni che avviano il processo di connessione lo completa. In un attacco, il rapporto tra connessioni completate e iniziate scende drasticamente perché l'attaccante non completa mai la stretta di mano. I ricercatori hanno programmato la stazione base per monitorare questo rapporto. Se il numero di connessioni completate scende al di sotto di un certo livello rispetto al numero di connessioni iniziate, il sistema saprà che sta avvenendo un attacco.

Una volta rilevato l'attacco, il sistema doveva agire senza spegnere l'intera cella. I ricercatori hanno sviluppato un metodo che raggruppa le richieste sospette in base alla loro provenienza. Hanno utilizzato un valore chiamato "timing advance", che la torre calcola per determinare quanto sia lontano un telefono. Sebbene questo valore non sia abbastanza preciso da identificare un dispositivo specifico, è sufficientemente accurato per raggruppare i dispositivi che si trovano a una distanza simile. Il sistema conta quante connessioni half-open provengono da ogni gruppo di distanza. Se un gruppo presenta un picco improvviso di connessioni incomplete, il sistema lo marca come sospetto.

Quando un gruppo viene segnalato, la stazione base cambia il proprio comportamento per qualsiasi nuova richiesta proveniente da quella specifica distanza. Invece di dare a queste nuove richieste il tempo completo per completarsi, il sistema concede loro una finestra molto breve per terminare la stretta di mano. Per un utente legittimo, questa finestra è tempo a sufficienza per connettersi. Per l'attaccante, che cerca di scorrere migliaia di richieste false il più velocemente possibile, la finestra è troppo breve per accumulare il numero necessario di connessioni half-open. Le richieste dell'attaccante scadono (time out) e vengono eliminate, liberando le risorse.

I ricercatori hanno testato questa difesa nella stessa configurazione del mondo reale. Quando l'attacco è iniziato, il sistema ha rilevato il calo delle connessioni completate e ha attivato la difesa. L'attaccante è stato immediatamente bloccato dal riempire la memoria. Fondamentalmente, anche il telefono commerciale è stato in grado di connettersi, sebbene abbia dovuto riprovare perché si trovava nello stesso gruppo di distanza dell'attaccante. Il telefono si è infine connesso e ha raggiunto la piena velocità. Questo risultato ha evidenziato il compromesso della difesa: gli utenti legittimi nella stessa area dell'attaccante potrebbero sperimentare un leggero ritardo o dover riprovare, ma la rete nel suo complesso rimane aperta. Senza la difesa, l'intera rete sarebbe stata spenta.

Lo studio conclude che, sebbene la tempesta di segnalazione RRC sia una minaccia reale e pericolosa, non è inarrestabile. Monitorando il flusso di richieste di connessione e applicando un filtro semplice e mirato basato sulla distanza, una rete può proteggersi dall'essere sopraffatta. I ricercatori hanno sottolineato che la loro difesa è leggera e gira direttamente sulle apparecchiature di rete, rendendola pratica per l'implementazione nel mondo reale. Hanno inoltre osservato che se un attaccante si muovesse o utilizzasse più dispositivi in diverse posizioni, il metodo attuale potrebbe essere meno efficace, suggerendo che le difese future potrebbero combinare la distanza con altre caratteristiche per intercettare attacchi più complessi. Rilasciando il loro lavoro come open source, il team ha fornito alla comunità un modello funzionante per testare, migliorare e adattare, trasformando una vulnerabilità teorica in un problema risolto con una difesa pratica.