Experimental Validation and Mitigation of RRC Storm Attacks in 5G Cellular Networks

Toda vez que um telefone celular se conecta a uma rede 5G, ele deve primeiro passar por uma porta de entrada breve e desprotegida. Antes que a rede possa verificar quem é o usuário ou checar sua senha, o telefone deve pedir permissão para falar. Esse aperto de mão inicial é essencial para o funcionamento do sistema, mas também é uma vulnerabilidade. Como a rede deve alocar recursos para lidar com a solicitação antes de saber se a solicitação é legítima, um ator malicioso pode explorar essa lacuna. Ao enviar uma enxurrada de solicitações falsas que parecem tentativas de conexão reais, mas que nunca terminam, um atacante pode obstruir o sistema. Isso cria um congestionamento onde o poder de processamento da rede é consumido por tarefas incompletas, não deixando espaço para pessoas reais fazerem chamadas ou enviarem mensagens. Esse tipo específico de interrupção, conhecido como tempestade de sinalização, tem sido há muito tempo uma ameaça teórica no mundo da segurança sem fio, mas provar que funciona no mundo real e encontrar uma maneira de detê-la permaneceu um desafio.

Uma equipe de pesquisadores da Universidade de Ciência e Tecnologia King Abdullah conseguiu agora mover este problema do campo das simulações de computador para o mundo físico. Eles construíram uma rede 5G real usando rádios definidos por software e telefones celulares comerciais para demonstrar exatamente como um atacante poderia sobrecarregar uma torre de celular. Mais importante ainda, eles projetaram e testaram uma defesa leve que roda diretamente na própria torre. O trabalho deles mostra que, embora um atacante possa de fato desligar uma célula inundando-a com solicitações de conexão inacabadas, um sistema de monitoramento inteligente pode detectar o padrão deste abuso e bloqueá-lo sem interromper usuários legítimos. Os pesquisadores liberaram todo o seu código como código aberto, permitindo que outros verifiquem suas descobertas e construam defesas melhores.

Para entender o ataque, deve-se primeiro observar como um telefone se junta a uma rede 5G. Quando um dispositivo é ligado, ele envia um sinal para a torre mais próxima, conhecida como estação base, pedindo para se conectar. A torre responde com um ID temporário e uma concessão para enviar mais dados. O telefone então envia uma solicitação formal para estabelecer uma conexão. Nesta fase, a torre criou um pequeno espaço de memória, ou contexto, para rastrear este telefone específico. Somente após esta troca é que a rede inicia o processo de autenticação do usuário. Em um cenário normal, o telefone completa o aperto de mão, e a conexão torna-se ativa. No entanto, um atacante pode explorar o fato de que a torre cria este espaço de memória antes de saber se o usuário é real. Um dispositivo malicioso pode iniciar repetidamente este processo, enviando a solicitação inicial e a mensagem de acompanhamento, mas depois parando deliberadamente antes da etapa final. A torre fica segurando um espaço de memória para um telefone que nunca chega, um estado que os pesquisadores chamam de conexão "semiaberta".

Os pesquisadores configuraram um ambiente de teste para ver quão rápido isso poderia dar errado. Eles usaram um computador desktop rodando software especializado para atuar como a estação base, conectado a dois dispositivos de rádio que transmitiam sinais pelo ar. Um rádio atuou como o atacante, enquanto um telefone comercial padrão serviu como vítima. Quando o atacante começou a enviar essas solicitações incompletas, os resultados foram imediatos. A memória da estação base encheu-se com essas conexões fantasmas. Em seu primeiro teste, o sistema atingiu seu limite de dezesseis usuários em menos de um segundo. Quando aumentaram a capacidade para noventa usuários, o sistema ainda assim colapsou em menos de quatro segundos. Uma vez que a memória estava cheia, a torre não conseguia mais aceitar novas solicitações. Quando os pesquisadores tentaram conectar o telefone comercial, ele falhou repetidamente, incapaz de obter um sinal. O ataque criou com sucesso uma negação de serviço, bloqueando usuários reais da rede.

Tendo provado que o ataque funciona, a equipe voltou-se para a solução. Eles precisavam de uma maneira de distinguir entre uma rede ocupada com muitos usuários reais e uma rede sob ataque. Em uma situação normal de alta carga, a maioria dos telefones que iniciam o processo de conexão o finaliza. Em um ataque, a proporção de conexões finalizadas em relação às iniciadas cai drasticamente porque o atacante nunca completa o aperto de mão. Os pesquisadores programaram a estação base para observar esta proporção. Se o número de conexões concluídas caísse abaixo de um certo nível em comparação ao número de conexões iniciadas, o sistema saberia que um ataque estava ocorrendo.

Uma vez detectado o ataque, o sistema precisava agir sem desligar a célula inteira. Os pesquisadores desenvolveram um método que agrupa solicitações suspeitas com base de onde elas estão vindo. Eles usaram um valor chamado avanço de tempo (timing advance), que a torre calcula para determinar a que distância um telefone está. Embora este valor não seja preciso o suficiente para identificar um dispositivo específico, é preciso o suficiente para agrupar dispositivos que estão a uma distância semelhante. O sistema conta quantas conexões semiabertas estão vindo de cada grupo de distância. Se um grupo apresenta um pico repentino de conexões incompletas, o sistema marca esse grupo como suspeito.

Quando um grupo é sinalizado, a estação base muda seu comportamento para quaisquer novas solicitações vindas daquela distância específica. Em vez de dar a estas novas solicitações o tempo total para completar, o sistema dá a elas uma janela muito curta para finalizar o aperto de mão. Para um usuário legítimo, esta janela é tempo suficiente para se conectar. Para o atacante, que está tentando ciclar através de milhares de solicitações falsas o mais rápido possível, a janela é curta demais para acumular o número necessário de conexões semiabertas. As solicitações do atacante expiram e são limpas, liberando recursos.

Os pesquisadores testaram esta defesa no mesmo setup do mundo real. Quando o ataque começou, o sistema detectou a queda nas conexões concluídas e ativou a defesa. O atacante foi imediatamente bloqueado de encher a memória. Crucialmente, o telefone comercial também foi capaz de se conectar, embora tenha tido que tentar algumas vezes porque estava no mesmo grupo de distância que o atacante. O telefone eventualmente conectou e alcançou velocidade total. Este resultado destacou o compromisso da defesa: usuários legítimos na mesma área que o atacante podem experimentar um leve atraso ou precisar tentar novamente, mas a rede como um todo permanece aberta. Sem a defesa, toda a rede teria sido desligada.

O estudo conclui que, embora a tempestade de sinalização RRC seja uma ameaça real e perigosa, ela não é imparável. Ao monitorar o fluxo de solicitações de conexão e aplicar um filtro simples e direcionado baseado na distância, uma rede pode proteger-se de ser sobrecarregada. Os pesquisadores enfatizaram que sua defesa é leve e roda diretamente no equipamento de rede, tornando-a prática para implantação no mundo real. Eles também observaram que, se um atacante se deslocasse ou usasse múltiplos dispositivos em diferentes locais, o método atual poderia ser menos eficaz, sugerindo que defesas futuras poderiam combinar a distância com outras características para capturar ataques mais complexos. Ao liberar seu trabalho como código aberto, a equipe forneceu à comunidade um modelo funcional para testar, melhorar e adaptar, transformando uma vulnerabilidade teórica em um problema resolvido com uma defesa prática.