Malicious Pseudo-Ranging and Localization of Static LOS Wireless Users via Downlink Modulation Classification and Uplink Refinement

Resumo Técnico: Pseudo-Ranging Malicioso e Localização de Usuários Sem Fio Estáticos com Linha de Visão (LOS)

Definição do Problema
A abertura dos padrões sem fio (ex: 3GPP Releases 16–20 e IEEE 802.11xx) e a natureza de transmissão em broadcast do meio sem fio criam vulnerabilidades que adversários podem explorar. Enquanto as contramedidas existentes focam frequentemente em ataques ativos (ex: jamming, estações base falsas/rogue), este artigo identifica uma "ponta solta" nas tabelas públicas de Esquema de Modulação e Codificação (MCS). Estas tabelas, essenciais para a Modulação e Codificação Adaptativa (AMC), mapeiam a qualidade do canal para esquemas de modulação específicos. O artigo postula que um espião (Eve) pode realizar engenharia reversa dessas tabelas públicas para inferir a Relação Sinal-Ruído (SNR) de um link e, consequentemente, a distância geográfica entre uma Estação Base (Alice) e um usuário estático com Linha de Visão (Bob), sem implantar quaisquer nós de ancoragem ou envolver-se em sondagem ativa.

Metodologia
O ataque proposto é um processo passivo de duas fases projetado para localizar um usuário estático:

1. Fase de Downlink (Pseudo-Ranging):

   • Eve intercepta o broadcast de downlink de Alice para Bob.
   • Um classificador de modulação baseado em Deep Learning (especificamente uma Rede Neural Convolucional 2D com quatro camadas convolucionais) é empregado para identificar o esquema de modulação (ex: BPSK, QPSK, 16-QAM, 64-QAM) do sinal interceptado.
   • Utilizando as tabelas MCS publicamente disponíveis, Eve mapeia o esquema de modulação detectado para uma faixa específica de SNR.
   • Ao aplicar a equação de transmissão de Friis e assumindo potência de transmissão e frequência conhecidas, Eve converte essa faixa de SNR em limites de distância. Isso reduz a localização possível do usuário de toda a área de cobertura da célula para um anel concêntrico específico ao redor da estação base.

2. Fase de Uplink (Refinamento):

   • Eve move-se para o anel identificado e percorre-o em um caminho circular.
   • Eve monitora a transmissão de uplink de Bob. Como a potência de uplink é tipicamente menor, Eve deve estar em proximidade próxima para capturar um sinal de alta qualidade.
   • Em cada ponto de grade ao longo do círculo, Eve mede a SNR recebida. A localização que apresenta a SNR máxima é declarada como a estimativa inicial da posição de Bob.
   • Para refinar esta estimativa, Eve realiza um movimento circular secundário, menor, ao redor da estimativa inicial (usando a distância derivada da SNR) para localizar o ponto com a maior SNR. Este processo pode ser repetido iterativamente.
   • Extensões: A metodologia também é avaliada com múltiplas antenas (usando um Array Linear Uniforme e o algoritmo root-MUSIC para estimativa de Direção de Chegada - DoA) e em cenários de múltiplos usuários, onde Eve monitora múltiplos subportadores ortogonais.

Principas Contribuições

• Ataque Passivo Inovador: Este trabalho introduz o primeiro ataque passivo conhecido que utiliza tabelas MCS para localização de usuário sem a necessidade de nós de ancoragem ou interferência ativa.
• Redução do Espaço de Busca: O ataque reduz efetivamente o espaço de busca de localização de uma célula completa para um anel específico (pseudo-ranging) via classificação de modulação de downlink.
• Sem Infraestrutura: Diferente da localização de fonte não cooperativa tradicional, este método não requer infraestrutura pré-implantada com localizações conhecidas.
• Validação: A abordagem é validada através de simulações em cenários de usuário único, múltiplos usuários e múltiplas antenas utilizando frequências de 5 GHz, 28 GHz e 100 GHz.

Resultos

• Classificação de Modulação: O classificador baseado em CNN alcançou acurácias de validação superiores a 80% em todos os cenários simulados. A acurácia de teste variou com base na proximidade de Eve em relação à estação base e na potência de transmissão; a proximidade mais próxima da estação base resultou em maior acurácia, o que é crítico para a identificação correta do anel.
• Acurácia de Localização:
  • O erro de localização aumenta com potências de transmissão mais altas (devido a anéis de cobertura maiores), mas diminui em frequências mais altas (mmWave) devido à maior perda de percurso e áreas de cobertura menores.
  • O conhecimento da potência de transmissão exata do usuário melhora significativamente a acurácia em comparação ao conhecimento de apenas uma faixa de potência.
  • Em um cenário de usuário único a 28 GHz, o erro médio de localização foi de aproximadamente 0,66 metros.
  • Multi-Usuário: O ataque localizou com sucesso dois usuários simultâneos com acurácia comparável (0,66m e 0,67m) ao caso de usuário único, embora exija maior largura de banda de receptor e recursos de processamento.
  • Múltiplas Antenas: Equipar Eve com um Array Linear Uniforme de 10 elementos reduziu significativamente o erro médio de localização para 0,27 metros ao utilizar a estimativa de Direção de Chegada (DoA).
• Complexidade: A complexidade computacional é modesta (aprox. 59 MFLOPs para a CNN), sugerindo que o ataque é viável para implementação em dispositivos de borda (edge devices) com capacidades de GPU padrão.

Significância e Alegações
O artigo enquadra este trabalho como uma divulgação de "hacking ético" destinada a aumentar a conscientização sobre as implicações de segurança dos padrões sem fio públicos. Os autores alegam que a abertura dos padrões 3GPP e IEEE permite que adversários mapeiem índices MCS observados para regiões geográficas, ameaçando a privacidade espacial e permitindo o rastreamento de longo prazo, desanonimização e a construção de mapas de "gêmeos digitais" maliciosos da mobilidade do usuário.

Os autores enfatizam que, embora o estudo atual seja limitado a ambientes de Linha de Visão (LOS) e usuários estáticos, o ataque serve como um "andaime" para cenários mais complexos. Eles discutem potenciais extensões para ambientes de Não-Linha de Visão (NLOS) (usando fingerprinting de rádio) e usuários móveis (usando cadeias de Markov e filtros de Kalman). O artigo conclui que, enquanto redes 5G privadas podem ser imunes, as redes 5G públicas e WiFi permanecem vulneráveis a este ataque de sensoriamento passivo sem infraestrutura, necessitando de um reexame dos perfis de segurança padrão na era das redes 6G e nativas de IA.