Experimental Validation and Mitigation of RRC Storm Attacks in 5G Cellular Networks

모바일 전화가 5G 네트워크에 연결될 때마다, 그것은 반드시 먼저 짧고 보호받지 못하는 문을 통과해야 합니다. 네트워크가 사용자가 누구인지 확인하거나 비밀번호를 점검하기 전에, 전화는 먼저 대화할 수 있는 허가를 요청해야 합니다. 이 초기 핸드셰이크(handshake)는 시스템이 작동하는 데 필수적이지만, 동시에 취약점이기도 합니다. 네트워크는 요청이 정당한지 알기 전에 해당 요청을 처리하기 위해 자원을 할당해야 하기 때문입니다. 악의적인 행위자는 이 간극을 이용할 수 있습니다. 실제 연결 시도처럼 보이지만 결코 완료되지 않는 가짜 요청을 대량으로 보냄으로써 공격자는 시스템을 막히게 할 수 있습니다. 이는 네트워크의 처리 능력이 미완성된 작업들에 의해 소비되어, 실제 사람들이 전화를 걸거나 메시지를 보낼 공간이 남지 않게 되는 교통 체증을 만들어냅니다. '시그널링 스톰(signaling storm)'이라고 알려진 이 특정 유형의 혼란은 무선 보안 세계에서 오랫동안 이론적인 위협이었으나, 이것이 실제로 작동함을 증명하고 이를 막을 방법을 찾는 것은 계속된 과제로 남아 있었습니다.

킹 압둘라 과학 기술 대학교(KAUST)의 연구팀은 이제 이 문제를 컴퓨터 시뮬레이션의 영역에서 물리적 세계로 옮겨 놓았습니다. 그들은 소프트웨어 정의 라디오와 상용 모바일 전화를 사용하여 실제 5G 네트워크를 구축함으로써, 공격자가 어떻게 셀 타워(기지국)를 압도할 수 있는지 정확히 입증했습니다. 더 중요한 것은, 그들이 기지국 자체에서 직접 실행되는 경량화된 방어책을 설계하고 테스트했다는 점입니다. 그들의 연구는 공격자가 미완료 연결 요청을 쏟아부어 셀을 차단할 수는 있지만, 스마트한 모니터링 시스템이 이러한 남용의 패턴을 포착하여 정당한 사용자를 차단하지 않고도 이를 막을 수 있음을 보여줍니다. 연구진은 자신들의 모든 코드를 오픈 소스로 공개하여, 다른 이들이 그들의 발견을 검증하고 더 나은 방어책을 구축할 수 있도록 했습니다.

공격을 이해하려면 먼저 전화가 5G 네트워크에 어떻게 가입하는지를 살펴보아야 합니다. 장치가 켜지면, 장치는 가장 가까운 타워(기지국이라고 불림)에 신호를 보내 연결을 요청합니다. 타워는 임시 ID와 더 많은 데이터를 보낼 수 있는 권한을 부여하며 응답합니다. 그런 다음 전화는 연결을 설정하기 위한 공식적인 요청을 보냅니다. 이 단계에서 타워는 이 특정 전화를 추적하기 위해 작은 메모리 공간, 즉 '컨텍스트(context)'를 생성합니다. 이 교환이 이루어진 후에야 네트워크는 사용자 인증 프로세스를 시작합니다. 정상적인 시나리오에서 전화는 핸드셰이크를 완료하고 연결이 활성화됩니다. 그러나 공격자는 타워가 사용자가 실제인지 알기 전에 이 메모리 공간을 생성한다는 점을 악용할 수 있습니다. 악의적인 장치는 이 과정을 반복적으로 시작하여 초기 요청과 후속 메시지를 보내되, 마지막 단계 직전에 의도적으로 멈출 수 있습니다. 타워는 도착하지 않는 전화를 위해 메모리 공간을 붙잡고 있는 상태가 되는데, 연구진은 이를 "하프 오픈(half-open)" 연결이라고 부릅니다.

연구진은 이 문제가 얼마나 빨리 잘못될 수 있는지 확인하기 위해 테스트 환경을 구축했습니다. 그들은 기지국 역할을 하는 특수 소프트웨어가 실행되는 데스크톱 컴퓨터를 사용하였고, 이를 공중으로 신호를 송신하는 두 개의 라디오 장치에 연결했습니다. 한 라디오는 공격자 역할을 했고, 표준 상용 전화는 피해자 역할을 했습니다. 공격자가 이러한 미완료 요청을 보내기 시작하자 결과는 즉각적이었습니다. 기지국의 메모리는 이러한 유령 연결들로 가득 찼습니다. 첫 번째 테스트에서 시스템은 1초도 채 되지 않아 16명의 사용자 제한치에 도로 도달했습니다. 용량을 90명으로 늘렸을 때도 시스템은 4초 미만에 붕괴되었습니다. 메모리가 가득 차자 타워는 더 이상 새로운 요청을 수락할 수 없었습니다. 연구진이 상용 전화를 연결하려고 시도했을 때, 전화는 신호를 잡지 못해 반복적으로 실패했습니다. 공격은 성공적으로 서비스 거부(denial of service)를 일으켜 실제 사용자의 네트워크 접속을 차단했습니다.

공격이 작동함을 증명한 후, 팀은 해결책으로 눈을 돌렸습니다. 그들은 많은 실제 사용자가 있는 바쁜 네트워크와 공격을 받고 있는 네트워크를 구별할 방법이 필요했습니다. 일반적인 고부하 상황에서는 연결 프로세스를 시작한 대부분의 전화가 이를 완료합니다. 공격 상황에서는 공격자가 핸드셰이크를 완료하지 않기 때문에, 완료된 연결과 시작된 연결의 비율이 급격히 떨어집니다. 연구진은 기지국이 이 비율을 감시하도록 프로그래밍했습니다. 만약 완료된 연결의 수가 시작된 연결의 수에 비해 특정 수준 미만으로 떨어지면, 시스템은 공격이 발생하고 있음을 인지하게 됩니다.

공격이 감지되면, 시스템은 전체 셀을 차단하지 않고도 조치를 취해야 했습니다. 연구진은 요청이 어디에서 오는지에 따라 의심스러운 요청들을 그룹화하는 방법을 개발했습니다. 그들은 타워가 전화가 얼마나 멀리 떨어져 있는지 결정하기 위해 계산하는 '타이밍 어드밴스(timing advance)'라는 값을 사용했습니다. 이 값은 특정 장치를 식별할 만큼 정밀하지는 않지만, 유사한 거리에 있는 장치들을 그룹화할 수 있을 만큼은 충분히 정확합니다. 시스템은 각 거리 그룹에서 발생하는 하프 오픈 연결의 수를 계산합니다. 만약 한 그룹에서 미완료 연결이 갑자기 급증하면, 시스템은 해당 그룹을 의심스러운 것으로 표시합니다.

그룹이 표시되면, 기지국은 해당 특정 거리에서 오는 새로운 요청에 대해 행동을 변경합니다. 이러한 새로운 요청에 대해 전체 시간을 주는 대신, 시스템은 핸드셰이크를 완료하기 위한 매우 짧은 창(window)을 부여합니다. 정당한 사용자에게 이 창은 연결하기에 충분한 시간입니다. 하지만 가능한 한 빨리 수천 개의 가짜 요청을 순환시키려는 공격자에게 이 창은 너무 짧습니다. 공격자의 요청은 시간 초과(time out)되어 제거되며, 자원을 확보하게 됩니다.

연구진은 동일한 실제 환경 설정에서 이 방어책을 테스트했습니다. 공격이 시작되었을 때, 시스템은 완료된 연결의 감소를 감지하고 방어책을 활в성화했습니다. 공격자는 메모리를 가득 채우는 것이 즉시 차단되었습니다. 결정적으로, 상용 전화 또한 연결할 수 있었지만, 공격자와 같은 거리 그룹에 속해 있었기 때문에 몇 번의 재시도가 필요했습니다. 전화는 결국 연결되어 전체 속도를 달성했습니다. 이 결과는 방어책의 트레이드오프(trade-off)를 강조했습니다. 즉, 공격자와 같은 지역에 있는 정당한 사용자는 약간의 지연을 경험하거나 재시도가 필요할 수 있지만, 네트워크 전체는 열려 있는 상태를 유지한다는 것입니다. 방어책이 없었다면 네트워크 전체가 차단되었을 것입니다.

이 연구는 RRC 시그널링 스톰이 실제적이고 위험한 위협이지만, 불가능한 것은 아니라고 결론짓습니다. 연결 요청의 흐름을 모니터링하고 거리에 기반한 간단하고 표적화된 필터를 적용함으로써, 네트워크는 스스로를 압도되는 상황으로부터 보호할 수 있습니다. 연구진은 자신들의 방어책이 경량이며 네트워크 장비에서 직접 실행되므로 실제 배포에 실용적이라는 점을 강조했습니다. 또한 공격자가 이동하거나 여러 위치에서 여러 장치를 사용한다면 현재의 방법이 덜 효과적일 수 있다고 언급하며, 향-후의 방어책은 더 복잡한 공격을 잡아내기 위해 거리와 다른 기능들을 결합할 수 있음을 시사했습니다. 연구진은 자신들의 작업을 오픈 소스로 공개함으로써, 커뮤니티가 이 모델을 테스트하고, 개선하고, 적응시켜서 이론적인 취약점을 실용적인 방어책이 있는 해결된 문제로 바꿀 수 있도록 했습니다.