Malicious Pseudo-Ranging and Localization of Static LOS Wireless Users via Downlink Modulation Classification and Uplink Refinement

Technische Samenvatting: Kwaadwillige Pseudo-ranging en Lokalisatie van Statische LOS Draadloze Gebruikers

Probleemstelling
De openheid van draadloze standaarden (bijv. 3GPP Releases 16–20 en IEEE 802.11xx) en de broadcast-aard van het draadloze medium creëren kwetsbaarheden die aanvallers kunnen exploiteren. Terwijl bestaande tegenmaatregelen vaak gericht zijn op actieve aanvallen (bijv. jamming, rogue base stations), identificeert dit artikel een "los eind" in publieke Modulation and Coding Scheme (MCS) tabellen. Deze tabellen, die essentieel zijn voor Adaptive Modulation and Coding (AMC), mappen de kanaalkwaliteit naar specifieke modulatieschema's. Het artikel stelt dat een afluisteraar (Eve) deze publieke tabellen kan reverse-engineeren om de Signal-to-Noise Ratio (SNR) van een link af te leiden, en daarmee de geografische afstand tussen een Basisstation (Alice) en een stationaire Line-of-Sight (LOS) gebruiker (Bob), zonder het inzetten van enige anchor nodes of het aangaan van actieve probing.

Methodologie
De voorgestelde aanval is een passief, tweefasig proces ontworpen om een gebruiker te lokaliseren:

1. Downlink Fase (Pseudo-ranging):

   • Eve onderschept de downlink broadcast van Alice naar Bob.
   • Een op Deep Learning gebaseerde modulatieclassifier (specifiek een 2D Convolutional Neural Network met vier convolutionele lagen) wordt ingezet om het modulatieschema (bijv. BPSK, QPSK, 16-QAM, 64-QAM) van het onderschepte signaal te identificeren.
   • Met behulp van de publiekelijk beschikbare MCS-tabellen mapt Eve het gedetecteerde modulatieschema naar een specifieke SNR-range.
   • Door de Friis-transmissievergelijking toe te passen en uitgaande van een bekende transmissiekracht en frequentie, zet Eve deze SNR-range om in afstandsgrenzen. Dit verkleint de mogelijke locatie van de gebruiker van het volledige celdekkinggebied naar een specifieke concentrische ring rond het basisstation.

2. Uplink Fase (Verfijning):

   • Eve beweegt zich naar de geïdentificeerde ring en doorloopt deze in een cirkelvormig pad.
   • Eve snuift de uplink transmissie van Bob op. Omdat de uplink-kracht doorgaans lager is, moet Eve in directe nabijheid zijn om een hoogwaardig signaal op te vangen.
   • Op elk gridpunt langs de cirkel meet Eve de ontvangen SNR. De locatie die de maximale SNR oplevert, wordt verklaard als de initiële schatting van de positie van Bob.
   • Om deze schatting te verfijnen, voert Eve een secundaire, kleinere cirkelvormige beweging uit rond de initiële schatting (met behulp van de uit de afstand afgeleide SNR) om de locatie met de hoogste SNR te pinpointen. Dit proces kan iteratief worden herhaald.
   • Extensies: De methodologie wordt ook geëvalueerd met meerdere antennes (gebruikmakend van een Uniform Linear Array en het root-MUSIC algoritme voor Direction of Arrival schatting) en in multi-user scenario's waarbij Eve meerdere orthogonale sub-carriers monitort.

Belangrijkste Bijdragen

• Nieuwe Passieve Aanval: Dit werk introduceert de eerste bekende passieve aanval die MCS-tabellen gebruikt voor gebruikerslokalisatie zonder de noodzaak van anchor nodes of actieve interferentie.
• Reductie van de Zoekruimte: De aanval reduceert effectief de lokalisatiezoekruimte van een volledige cel naar een specifieke ring (pseudo-ranging) via downlink modulatieclassificatie.
• Zonder Infrastructuur: In tegen tegenstelling tot traditionele niet-coöperatieve bronlokalisatie, vereist deze methode geen vooraf geplaatste infrastructuur met bekende locaties.
• Validatie: De aanpak wordt gevalideerd via simulaties in single-user, multi-user en multiple-antenna scenario's bij frequenties van 5 GHz, 28 GHz en 100 GHz.

Resultaten

• Modulatieclassificatie: De CNN-gebaseerde classifier behaalde validatienauwkeurigheden van meer dan 80% in alle gesimuleerde scenario's. De testnauwkeurigheid varieerde op basis van de nabijheid van Eve bij het basisstation en de transmissiekracht; een grotere nabijheid tot het basisstation leverde een hogere nauwkeurigheid op, wat cruciaal is voor de correcte ringidentificatie.
• Lokalisatienauwkeurigheid:
  • De lokalisatiefout neemt toe bij hogere transmissiekrachten (door grotere dekkingsringen) maar neemt af bij hogere frequenties (mmWave) vanwege hogere path loss en kleinere dekkingsgebieden.
  • Kennis van de exacte transmissiekracht van de gebruiker verbetert de nauwkeurigheid aanzienlijk vergeleken met het kennen van slechts een vermogensbereik.
  • In een single-user scenario bij 28 GHz was de gemiddelde lokalisatiefout ongeveer 0,66 meter.
  • Multi-User: De aanval lokaliseerde twee gelijktijdige gebruikers succesvol met een vergelijkbare nauwkeurigheid (0,66m en 0,67m) als de single-user case, hoewel dit een grotere ontvangerbandbreedte en meer rekenkracht vereist.
  • Multiple Antennas: Het uitrusten van Eve met een 10-element Uniform Linear Array reduceerde de gemiddelde lokalisatiefout aanzienlijk naar 0,27 meter door gebruik te maken van Direction of Arrival (DoA) schatting.
• Complexiteit: De computationele complexiteit is bescheiden (ongeveer 59 MFLOPs voor de CNN), wat suggereert dat de aanval uitvoerbaar is op edge-apparaten met standaard GPU-capaciteiten.

Betekenis en Claims
Het artikel presenteert dit werk als een "ethical hacking" disclosure bedoeld om bewustzijn te creëren over de beveiligingsimplicaties van publieke draadloze standaarden. De auteurs stellen dat de openheid van 3GPP en IEEE standaarden aanvallers in staat stelt om geobserveerde MCS-indices te mappen aan geografische regio's, wat de ruimtelijke privacy bedreigt en langdurige tracking, de-anonimisering en de constructie van kwaadwillige "digital twin" kaarten van gebruikersmobiliteit mogelijk maakt.

De auteurs benadrukken dat hoewel de huidige studie beperkt is tot Line-of-Sight (LOS) en statische gebruikers, de aanval dient als een "steiger" voor complexere scenario's. Ze bespreken potentiële extensies naar Non-Line-of-Sight (NLOS) omgevingen (met behulp van radio fingerprinting) en mobiele gebruikers (met behulp van Markov chains en Kalman filtering). Het artikel concludeert dat terwijl private 5G-netwerken mogelijk immuun zijn, publieke 5G en WiFi-netwerken kwetsbaar blijven voor deze infrastructuurloze, passieve sensing aanval, wat een herziening van standaard beveiligingsprofielen noodzakelijk maakt in het tijdperk van 6G en AI-native netwerken.