CellSecInspector: 명세 기반 자동화된 보안 분석을 통한 이동통신 네트워크 보호

이 논문은 3GPP(3rd Generation Partnership Project) 명세의 복잡성, 상호 의존성, 그리고 빠른 진화로 인해 현대 이동통신 네트워크의 보안을 보장하는 데 발생하는 근본적인 문제를 해결하기 위해 제안된 CellSecInspector라는 자동화 프레임워크를 소개합니다.

1. 문제 정의 (Problem)

현대 4G 및 5G 이동통신 네트워크는 수천 개의 3GPP 명세에 의해 표준화되어 있습니다. 그러나 이러한 명세는 다음과 같은 이유로 보안 취약점 발견에 심각한 도전을 제기합니다.

• 복잡성과 의존성: 명세는 수천 페이지에 달하며, 문장 간/조항 간의 복잡한 상호 의존성을 가지고 있어 수동 검토가 비효율적이고 오류가 발생하기 쉽습니다.
• 기존 자동화 기법의 한계: 기존 연구들은 주로 규칙 기반 파싱 (규칙 기반 의존성 분석) 이나 수동으로 정의된 소수의 키워드/위험 지표에 의존합니다. 이는 명세의 깊은 의미론적 (semantic) 의존성, 문장 간 관계, 그리고 진화하는 명세 행동을 포착하지 못합니다.
• 확장성 부족: 수동으로 정의된 보안 요구사항은 특정 절차에 국한되어 있어 수천 개의 3GPP 명세 전체에 적용하기 어렵고, 명세 버전이 업데이트될 때마다 유지보수 비용이 큽니다.

2. 방법론 (Methodology)

CellSecInspector 는 대규모 언어 모델 (LLM) 을 기반으로 하여 3GPP 명세를 자동으로 이해하고, 체계적인 보안 속성을 기반으로 분석하는 엔드 - 투 - 엔드 프레임워크입니다. 주요 구성 요소는 다음과 같습니다.

2.1 핵심 아키텍처

1. SpecAdaptation (명세 적응): 오픈소스 LLM 을 기반으로 한 CellSecInspector-Core 를 개발하여 3GPP 도메인 지식을 학습시킵니다. RAG(검색 증강 생성) 기술을 사용하여 최신 명세 버전을 참조하고 할루시네이션을 방지합니다.
2. SCA Representation Extractor (구조화 추출): 복잡한 명세 텍스트에서 상태 - 조건 - 동작 (State-Condition-Action, SCA) 형태의 구조화된 노드를 추출합니다. 기존 유한 상태 기계 (FSM) 와 달리, SCA 는 전이 (transition) 의 시작 상태, 조건, 동작, 종료 상태를 하나의 노드로 통합하여 명시적인 전이 의미론을 제공합니다.
3. Function Chain Builder (기능 체인 구축): 추출된 산발적인 SCA 노드를 연결하여 완전한 이동통신 기능 체인을 구축합니다. 이를 위해 세 가지 연결 전략을 사용합니다.
   • Temporal Connection: 종료 상태와 시작 상태가 일치하는 경우.
   • Semantic Connection: 텍스트는 다르지만 의미적으로 동등한 상태 간 연결 (LLM 기반 의미 분석).
   • Causal Connection: 한 노드의 상태/조건/동작이 다른 노드를 유발하는 인과 관계.
   • Reference-Guided Connection: 명세 내의 교차 참조 (cross-reference) 를 활용하여 검색 공간을 축소하고 효율성을 높입니다.
4. SecOracle (보안 오라클): 구축된 기능 체인을 9 가지 기본 보안 속성 (인증, 권한 부여, 무결성, 기밀성 등) 과 4 가지 적대적 시나리오 (삭제, 수정, 거부, 재생성) 에 대해 검증합니다.
5. VulnTestGenerator (테스트 생성기): 발견된 취약점에 대해 실제 검증이 가능한 테스트 케이스를 자동으로 생성합니다.

2.2 주요 기술적 통찰

• 수동 레이블링 불필요: 소량의 예시 (Few-shot) 만으로도 LLM 이 SCA 노드를 추출할 수 있도록 하여 대규모 데이터셋 구축 비용을 절감했습니다.
• 기본 보안 속성 활용: 특정 절차에 맞춘 수동 규칙 대신, 전체 이동통신 스택에 적용 가능한 9 가지 기본 보안 속성을 사용하여 확장성을 확보했습니다.

3. 주요 기여 (Key Contributions)

1. 새로운 프레임워크: 3GPP 명세에 대한 자동화되고 확장 가능한 보안 평가 프레임워크인 CellSecInspector 를 최초로 제안했습니다. 이는 운영 중인 5G/4G 네트워크뿐만 아니라 차세대 (Next-G) 네트워크에도 적용 가능합니다.
2. 새로운 취약점 발견: 5G 및 4G NAS(Non-Access Stratum) 및 RRC(Radio Resource Control) 명세, 그리고 TS 23.501 및 TS 24.229 의 일부 섹션을 분석하여 총 43 개의 취약점을 발견했습니다. 이 중 7 개는 이전에 보고되지 않은 새로운 취약점입니다.
3. 성능 비교 및 검증: 기존 최첨단 도구 (Hermes 등) 와 비교하여 더 넓은 범위의 취약점을 발견하고, SCA 표현 방식이 기존 FSM 방식보다 상태 전이의 완전성과 정확성에서 우월함을 입증했습니다.

4. 실험 결과 (Results)

• 발견된 새로운 취약점 (7 건):
  • V1 (Multi-USIM 도달성 문제): 멀티 USIM 기기에서 한 SIM 의 트래픽이 다른 SIM 의 페이지 수신에 영향을 주어 DoS 공격이 가능함.
  • V2 (조작된 신호를 통한 비상 세션 종료): 비상 호출 시 인증되지 않은 신호를 조작하여 비상 세션을 강제로 종료하는 MiTM 공격.
  • V3 (비 3GPP 액세스를 통한 취약한 DNS 기반 PLMN 발견): DNS 응답 조작을 통해 UE 를 악성 인프라로 유도.
  • V4 (VoIMS 시그널링 헤더 과다 공개): SIP/SDP 헤더를 통해 기기 모델, 사용자 ID, 인프라 정보가 유출됨.
  • V5 (CS-Fallback 시작 취약점): 암호화되지 않은 SERVICE REJECT 메시지를 주입하여 CSFB 프로세스를 차단하고 UE 를 장시간 대기 상태로 만듦.
  • V6 (접근 금지 인자 트랩): 악성 기지국이 과도한 접근 금지 인자를 브로드캐스트하여 UE 의 접근을 차단.
  • V7 (Rogue Base Station RRC RESUME Blackhole): RRC RESUME 실패 시 UE 가 악성 기지국에 갇혀 재시도 루프에 빠지는 문제.
• 기존 취약점 재발견: 36 개의 기존에 알려진 취약점 (Hermes 가 발견한 22 개 포함) 을 모두 성공적으로 재발견하여 정확성을 입증했습니다.
• 정확도 및 완전성: SCA 노드 추출 시 FSM 기반 방법 (Hermes, ARCANE) 에 비해 상태 전이의 완전성 (Start/Condition/Action/End 필드 모두 채워진 비율) 이 훨씬 높았으며, 전문가 검증에서 높은 정확도를 보였습니다.

5. 의의 및 결론 (Significance)

CellSecInspector 는 이동통신 네트워크 보안 평가의 패러다임을 변화시킵니다.

• 확장성과 적응성: 수동 규칙에 의존하지 않고 LLM 과 기본 보안 속성을 활용하여 진화하는 3GPP 명세에 빠르게 적응할 수 있습니다.
• 선제적 보안: 실제 장비 배포 전 명세 단계에서 설계 결함을 자동으로 발견하여 전 세계적 규모의 보안 위협을 사전에 차단할 수 있습니다.
• 실용성: 발견된 취약점에 대한 구체적인 테스트 케이스를 생성하여 운영자 및 벤더가 실제 환경에서 검증하고 패치할 수 있도록 지원합니다.

이 연구는 3GPP 명세 분석을 위한 자동화 도구의 중요성을 강조하며, CellSecInspector 가 차세대 이동통신 네트워크의 보안을 강화하는 핵심 솔루션이 될 수 있음을 보여줍니다.