Experimental Validation and Mitigation of RRC Storm Attacks in 5G Cellular Networks

Elke keer dat een mobiele telefoon verbinding maakt met een 5G-netwerk, moet deze eerst door een korte, onbewaakte deur. Voordat het netwerk kan verifiëren wie de gebruiker is of hun wachtwoord kan controleren, moet de telefoon toestemming vragen om te mogen spreken. Deze initiële handdruk is essentieel voor de werking van het systeem, maar is ook een kwetsbaarheid. Omdat het netwerk middelen moet toewijzen om de aanvraag af te handelen voordat het weet of de aanvraag legitiem is, kan een kwaadwillende actor deze kloof uitbuiten. Door een vloedgolf van valse verzoeken te sturen die lijken op echte pogingen tot verbinding maken, maar nooit worden afgerond, kan een aanvaller het systeem verstoppen. Dit creëert een verkeersopstopping waarbij de rekenkracht van het netwerk wordt geconsumeerd door onvoltooide taken, waardoor er geen ruimte meer is voor echte mensen om gesprekken te voeren of berichten te verzenden. Dit specifieke type verstoring, bekend als een signaling storm, is lang een theoretische dreiging geweest in de wereld van draadloze beveiliging, maar het bewijzen dat het in de echte wereld werkt en het vinden van een manier om het te stoppen, bleef een uitdaging.

Een team van onderzoekers aan de King Abdullah University of Science and Technology heeft dit probleem nu vanuit de wereld van computersimulaties naar de fysieke wereld gebracht. Ze bouwden een echt 5G-netwerk met behulp van software-defined radio's en commerciële mobiele telefoons om precies te demonstreren hoe een aanvaller een zendmast kan overbelasten. Nog belangrijker is dat ze een lichtgewicht verdediging hebben ontworpen en getest die direct op de mast zelf draait. Hun werk laat zien dat hoewel een aanvaller een celcel inderdaad kan uitschakelen door deze te overspoelen met onvoltooide verbindingsverzoeken, een slim monitoringsysteem het patroon van dit misbruik kan herkennen en kan blokkeren zonder legitieme gebruikers te stoppen. De onderzoekers hebben al hun code als open source vrijgegeven, zodat anderen hun bevindingen kunnen verifiëren en betere verdedigingen kunnen bouwen.

Om de aanval te begrijpen, moet men eerst kijken naar hoe een telefoon deel uitmaakt van een 5G-netwerk. Wanneer een apparaat wordt ingeschakeld, stuurt het een signaal naar de dichtstbijzijnde mast, ook wel basisstation genoemd, om verbinding te maken. De mast reageert met een tijdelijke ID en een toestemming om meer gegevens te verzenden. De telefoon stuurt vervolgens een formeel verzoek om een verbinding tot stand te brengen. Op dit stadium heeft de mast een kleine geheugenruimte, of context, gecreëerd om deze specifieke telefoon te volgen. Pas na deze uitwisseling begint het netwerk het proces van authenticatie van de gebruiker. In een normaal scenario voltooit de telefoon de handdruk en wordt de verbinding actief. Een aanvaller kan echter het feit uitbuiten dat de mast deze geheugenruimte creëert voordat het weet of de gebruiker echt is. Een kwaadwillend apparaat kan dit proces herhaaldelijk starten door het initiële verzoek en het vervolgbericht te sturen, maar dan opzettelijk te stoppen vóór de laatste stap. De mast blijft achter met een geheugenruimte voor een telefoon die nooit arriveert, een staat die de onderzoekers een "half-open" verbinding noemen.

De onderzoekers richtten een testomgeving in om te zien hoe snel dit fout kon gaan. Ze gebruikten een desktopcomputer die draaide op gespecialiseerde software om als het basisstation te fungeren, verbonden met twee radiodevices die signalen over de lucht verzonden. Eén radio fungeerde als de aanvaller, terwijl een standaard commerciële telefoon diende als slachtoffer. Toen de aanvaller begon met het sturen van deze onvoltooide verzoeken, waren de resultaten onmiddellijk. Het geheugen van het basisstation raakte vol met deze spookverbindingen. In hun eerste test bereikte het systeem zijn limiet van zestien gebruikers in minder dan een seconde. Wanneer ze de capaciteit verhoogden naar negentig gebruikers, stortte het systeem nog steeds in minder dan vier seconden in. Zodende de het geheugen vol was, kon de mast geen nieuwe verzoeken meer accepteren. Wanneer de onderzoekers probeerden de commerciële telefoon te verbinden, mislukte dit herhaaldelijk, omdat het niet in staat was een signaal te ontvangen. De aanval had succesvol een denial of service gecreëerd, waardoor echte gebruikers werden geblokkeerd van het netwerk.

Nadat ze hadden bewezen dat de aanval werkt, richtte het team zich op de oplossing. Ze hadden een manier nodig om het verschil te zien tussen een druk netwerk met veel echte gebruikers en een netwerk onder aanval. In een normale situatie met een hoge belasting voltooien de meeste telefoons die het verbindingsproces starten het ook. Tijdens een aanval daalt de ratio van voltooide verbindingen ten opzichte van gestarte verbindingen scherp, omdat de aanvaller de handdruk nooit voltooit. De onderzoekers programmeerden het basisstation om deze ratio te bewaken. Als het aantal voltooide verbindingen onder een bepaald niveau daalt in vergelijking met het aantal gestarte verbindingen, weet het systeem dat er een aanval plaatsvindt.

Zodra de aanval werd gedetecteerd, moest het systeem actie ondernemen zonder de hele cel uit te schakelen. De onderzoekers ontwikkelden een methode die verdachte verzoeken groepeert op basis van waar ze vandaan komen. Ze gebruikten een waarde genaamd de 'timing advance', die de mast berekent om te bepalen hoe ver een telefoon verwijderd is. Hoewel deze waarde niet nauwkeurig genoeg is om een specifiek apparaat te identificeren, is het wel nauwkeurig genoeg om apparaten te groeperen die zich op een vergelijkbare afstand bevinden. Het systeem telt hoeveel half-open verbindingen er vanuit elke afstandsgroep komen. Als één groep een plotselinge piek vertoont in onvoltooide verbindingen, markeert het systeem die groep als verdacht.

Wanneer een groep wordt gemarkeerd, verandert het basisstation zijn gedrag voor alle nieuwe verzoeken die uit die specifieke afstand komen. In plaats van deze nieuwe verzoeken de volledige tijd te geven om te voltooien, geeft het systeem hen een zeer kort venster om de handdruk te voltooien. Voor een legitieme gebruiker is dit venster ruim voldoende om verbinding te maken. Voor de aanvaller, die probeert duizenden valse verzoeken zo snel mogelijk door te voeren, is het venster te kort om het benodigde aantal half-open verbindingen te accumuleren. De verzoeken van de aanvaller lopen in de tijd uit en worden opgeruimd, waardoor middelen vrijkomen.

De onderzoekers testten deze verdediging in dezelfde real-world opstelling. Toen de aanval begon, detecteerde het systeem de daling in voltooide verbindingen en activeerde het de verdediging. De aanvaller werd onmiddellijk geblokkeerd om het geheugen te vullen. Cruciaal was dat de commerciële telefoon ook in staat was om verbinding te maken, hoewel hij een paar keer moest proberen omdat hij toevallig in dezelfde afstandsgroep zat als de aanvaller. De telefoon verbond uiteindelijk en bereikte de volledige snelheid. Dit resultaat benadrukte de trade-off van de verdediging: legitieme gebruikers in hetzelfde gebied als de aanvaller kunnen een lichte vertraging ervaren of een poging opnieuw moeten doen, maar het netwerk als geheel blijft open. Zonder de verdediging zou het hele netwerk uitgeschakeld zijn.

De studie concludeert dat hoewel de RRC signaling storm een reële en gevaarlijke dreiging is, het niet onstuitbaar is. Door de stroom van verbindingsverzoeken te monitoren en een eenvoudige, gerichte filter toe te passen op basis van afstand, kan een netwerk zichzelf beschermen tegen overbelasting. De onderzoekers benadrukten dat hun verdediging lichtgewicht is en direct op de netwerkapparatuur draait, wat het praktisch maakt voor implementatie in de echte wereld. Ze merkten ook op dat als een aanvaller rond beweegt of meerdere apparaten op verschillende locaties gebruikt, de huidige methode mogelijk minder effectief is, wat suggereert dat toekomstige verdedigingen afstand kunnen combineren met andere kenmerken om complexere aanvallen te vangen. Door hun werk als open source vrij te geven, heeft het team de gemeenschap een werkend model geboden om te testen, verbeteren en aanpassen, waardoor een theoretische kwetsbaarheid is veranderd in een opgelost probleem met een praktische verdediging.