Experimental Validation and Mitigation of RRC Storm Attacks in 5G Cellular Networks

モバイル通信が5Gネットワークに接続されるたびに、それはまず、守られていない短い「入り口」を通過しなければなりません。ネットワークがユーザーが誰であるかを検証したり、パスワードを確認したりする前に、携帯電話は「話すための許可」を求める必要があります。この初期ハンドシェイク（握手）はシステムを機能させるために不可欠ですが、同時に脆弱性でもあります。ネットワークは、リクエストが正当なものであるかを確認する前に、そのリクエストを処理するためのリソースを割り当てなければならないためです。悪意のある攻撃者は、この隙を突くことができます。本物の接続試行のように見えながら、決して完了することのない偽のリクエストを大量に送りつけることで、攻撃者はシステムを渋滞させることができます。これにより、ネットワークの処理能力が未完了のタスクによって消費され、実在する人々が通話やメッセージの送受信ができなくなるという「交通渋滞」が発生します。この特定の種類の混乱は「シグナリング・ストーム」として知られており、無線セキュリティの世界では長らく理論的な脅威とされてきましたが、それが現実の世界で機能することを証明し、阻止する方法を見つけ出すことは困難な課題であり続けてきました。

キング・アブドラ科学技術大学の研究チームは、この問題をコンピュータ・シミュレーションの領域から物理的な世界へと移行させました。彼らは、ソフトウェア定義無線と市販の携帯電話を使用して実際の5Gネットワークを構築し、攻撃者がどのようにセル・タワー（基地局）を圧倒できるかを正確に実証しました。さらに重要なことに、彼らは基地局自体で直接動作する軽量な防御策を設計し、テストしました。彼らの研究は、攻撃者が未完了の接続リクエストを送りつけることで確かにセルをシャットダウンできる一方で、スマートな監視システムがあれば、この濫用のパターンを検知し、正当なユーザーを止めることなくブロックできることを示しています。研究チームはすべてのコードをオープンソースとして公開しており、他の人々が彼らの発見を検証し、より優れた防御策を構築できるようにしています。

この攻撃を理解するには、まず携帯電話がどのように5Gネットワークに参加するかを見る必要があります。デバイスの電源を入れると、デバイスは最寄りのタワー（基地局として知られる）に信号を送り、接続を要求します。タワーは一時的なIDと、さらなるデータを送信するための許可を返します。その後、携帯電話は接続を確立するための正式なリクエストを送信します。この段階で、タワーはこの特定の電話を追跡するために、小さなメモリ空間、すなわち「コンテキスト」を作成します。このやり取りの後に初めて、ネットワークはユーザーの認証プロセスを開始します。通常のシナリオでは、携帯電話はハンドシェイクを完了し、接続がアクティブになります。しかし、攻撃者は、タワーがユーザーが本物であると判断する前にこのメモリ空間を作成するという事実を悪用できます。悪意のあるデバイスは、このプロセスを繰り返し開始し、初期リクエストとフォローアップのメッセージを送信しますが、最終ステップの前に意図的に停止します。タワーは、決して現れない電話のためのメモリ空間を保持したままの状態になります。研究者たちは、この状態を「ハーフオープン（半開き）」接続と呼んでいます。

研究者たちは、これがどれほど早く悪化するかを確認するために、テスト環境を構築しました。彼らは、基地局として機能する特殊なソフトウェアを実行するデスクトップコンピュータを使用し、2つの無線デバイスを接続して空中から信号を送信しました。一方の無線は攻撃者として機能し、標準的な市販の携帯電話が犠なる被害者として機能しました。攻撃者がこれらの不完全なリクエストを送り始めると、結果は即座に現れました。基地局のメモリは、これらの「ゴースト接続」で満たされました。最初のテストでは、システムは1秒足らずで16ユーザーの制限に達しました。容量を90ユーザーに増やしても、システムは4秒足らずで崩壊しました。メモリがいっぱいになると、タワーは新しいリクエストを受け入れることができなくなりました。研究者が市販の携帯電話を接続しようとすると、信号を得られず、繰り返し失敗しました。攻撃は、実在のユーザーをブロックする「サービス拒否（DoS）」に成功したのです。

攻撃が機能することを証明した後、チームは解決策へと取り組みました。彼らは、多くの実ユーザーがいる忙しいネットワークと、攻撃を受けているネットワークを区別する方法を必要としていました。通常の高負荷状況では、接続プロセスを開始したほとんどの電話がそれを完了します。攻撃の場合、攻撃者がハンドシェイクを完了しないため、完了した接続と開始された接続の比率が急激に低下します。研究者たちは、基地局にこの比率を監視するようにプログラムしました。開始された接続数に対して完了した接続数が一定レベルを下回った場合、システムは攻撃が発生していることを察知します。

攻撃が検知されると、システムはセル全体をシャットダウンすることなく行動する必要があります。研究者たちは、リクエストがどこから来ているかに基づいて、疑わしいリクエストをグループ化する方法を開発しました。彼らは、タワーが電話までの距離を判断するために計算する「タイミング・アドバンス（時間進展量）」と呼ばれる値を使用しました。この値は特定のデバイスを特定できるほど精密ではありませんが、似たような距離にいるデバイスをグループ化するには十分な精度を持っています。システムは、各距離グループからいくつのハーフオープン接続が来ているかをカウントします。もし一つのグループで不完全な接続が急増した場合、システムはそのグループを「疑わしい」とマークします。

グループがフラグを立てられると、基地局は、その特定の距離から来る新しいリクエストに対する挙動を変更します。これらの新しいリクエストに対して、ハンドシェイクを完了するためのフルタイムを与える代わりに、システムは非常に短いウィンドウ（猶予）を与えます。正当なユーザーにとって、このウィンドウは接続するための十分な時間です。しかし、何千もの偽のリクエストをできるだけ速く循環させようとしている攻撃者にとって、このウィンドウは短すぎます。攻撃者のリクエストはタイムアウトしてクリアされ、リソースが解放されます。

研究者たちは、同じ現実世界のセットアップでこの防御策をテストしました。攻撃が始まると、システムは完了した接続の減少を検知し、防御策を起動しました。攻撃者は、メモリを埋め尽くすことから即座にブロックされました。決定的なことに、市販の携帯電話も接続することができました。ただし、その電話が攻撃者と同じ距離グループにいたため、数回試行する必要がありました。電話は最終的に接続し、フルスピードを実現しました。この結果は、防御策のトレードオフを浮き彫りにしました。つまり、攻撃者と同じエリアにいる正当なユーザーは、わずかな遅延を経験したり再試行が必要になったりする可能性がありますが、ネットワーク全体は開いたままとなります。防御策がなければ、ネットワーク全体がシャットダウンされていたでしょう。

この研究は、RRCシグナリング・ストームは現実的で危険な脅威であるが、阻止できないものではないと結論付けています。接続リクエストの流れを監視し、距離に基づいたシンプルなターゲット・フィルターを適用することで、ネットワークは圧倒されることから自らを守ることができます。研究者たちは、彼らの防御策が軽量であり、ネットワーク機器上で直接動作するため、実世界への導入が実用的であることを強調しました。また、攻撃者が移動したり、異なる場所で複数のデバイスを使用したりする場合、現在の方法では効果が低くなる可能性があるとも指摘しており、将来の防御策は、より複雑な攻撃を捉えるために距離と他の特徴を組み合わせる必要があることを示唆しています。研究チームは、彼らの成果をオープンソースとして公開することで、コミュニックニティに対し、この理論的な脆弱性をテストし、改善し、適応させるための動作モデルを提供しました。