[論文レビュー] Hermes: Unlocking Security Analysis of Cellular Network Protocols by Synthesizing Finite State Machines from Natural Language Specifications

Abdullah Al Ishtiaq, Sarkar Snigdha Sarathi Das+9 more|arXiv (Cornell University)|Oct 6, 2023

Hate Speech and Cyberbullying Detection被引用数 4

ひとこと要約

Hermesは、神経構文解析器（NEUTREX）と分野特化型言語翻訳を用いて、自然言語によるセルラー協定規格から形式的有限状態マシン（FSM）を自動合成するフレームワークである。HermesはFSM抽出において81–87％の正確性を達成し、4Gおよび5G協定で3件の新たな脆弱性と19件の既知の攻撃を特定した。これは、ゴールスタンダードモデルを必要とせず、スケーラブルなセキュリティ分析を可能にする。

ABSTRACT

In this paper, we present Hermes, an end-to-end framework to automatically generate formal representations from natural language cellular specifications. We first develop a neural constituency parser, NEUTREX, to process transition-relevant texts and extract transition components (i.e., states, conditions, and actions). We also design a domain-specific language to translate these transition components to logical formulas by leveraging dependency parse trees. Finally, we compile these logical formulas to generate transitions and create the formal model as finite state machines. To demonstrate the effectiveness of Hermes, we evaluate it on 4G NAS, 5G NAS, and 5G RRC specifications and obtain an overall accuracy of 81-87%, which is a substantial improvement over the state-of-the-art. Our security analysis of the extracted models uncovers 3 new vulnerabilities and identifies 19 previous attacks in 4G and 5G specifications, and 7 deviations in commercial 4G basebands.

研究の動機と目的

• セルラーネットワーク協定の形式的モデルの不足が、スケーラブルなセキュリティ分析を妨げているという問題に対処すること。
• 3GPPが提供する自然言語規格から形式的有限状態マシン（FSM）を自動抽出することで、人的作業と誤りを低減すること。
• 進化する規格から正確なFSMを生成することで、4Gおよび5G協定における設計段階の脆弱性を特定することを可能にすること。
• 頻繁な規格変更に対応しづらい手作業によるモデルの限界を克服すること。
• ゴールスタンダード形式モデルを必要とせず、進化するセルラー規格をサポートするスケーラブルで再利用可能なフレームワークを提供すること。

提案手法

• Hermesは、CellulaRoBERTaに基づく分野に適合した神経構文解析器であるNEUTREXを用い、遷移関連のテキストを抽出し、状態、条件、アクションなどのコンponentsを特定する。
• 分野特化型言語（DSL）と従属構文解析を用いて、抽出されたコンponentsを条件とアクションを表す論理式に変換する。
• IRSynthesizerコンponentは、これらの論理式を、モデル検証用の形式言語にトランスpile可能な中間表現（IR）に変換する。
• FSMSynthesizerはIRをコンパイルして完全なFSM遷移を生成し、セキュリティ分析用の完全な有限状態マシンを構築する。
• フレームワークは複数文書処理をサポートしているが、先行研究との一貫性を保つために、実験は単一文書に限定している。
• 特に誤検出の反例に対して、モデルチェッカーの出力の手動による検証と修正が、生成されたFSMの検証と精練に用いられている。

実験結果

リサーチクエスチョン

• RQ1 セルラー協定の自然言語規格を、正確な形式的有限状態マシンに自動的に変換できるか？
• RQ2 提案された神経解析器NEUTREXは、3GPP規格における複雑で曖昧な自然言語から遷移コンponentsを抽出する上でどの程度有効か？
• RQ3 合成されたFSMは、4Gおよび5G協定における既知および未知の脆弱性をどの程度検出できるか？
• RQ4 Hermesは、精度および脆弱性発見の観点で、既存の手法と比較してどの程度優れているか？
• RQ5 不十分な記述、曖昧さ、複数文書にわたる協定記述の処理における主な制限要因は何か？

主な発見

• Hermesは、3GPPの自然言語規格から有限状態マシンを合成する際、81–87％の正確性を達成し、最先端手法を著しく上回っている。
• フレームワークは、5Gで新たに導入されたメッセージ拒否メカニズムに起因する1件を含め、4Gおよび5G協定で3件の新たな脆弱性を特定した。
• 4Gおよび5GのNASおよびRRC協定に起因する19件の既知の攻撃を検出しており、実際の欠陥を特定できる能力を裏付けている。
• 商用4Gベースバンドチップで7件の実装のずれを同定し、実世界のシステムにおける実用的価値を示している。
• 生成されたFSMに対するセキュリティ分析から、たとえ不完全なモデルであっても、手動による検査によって効果的に検証・是正可能であり、完全な手作業モデリングに比べて作業負荷を低減できることが分かった。
• 3GPPからゴールスタンダード形式モデルが提供されていないにもかかわらず、Hermesは継続的な協定セキュリティ分析のための実用的代替手段を提供している。