[논문 리뷰] Formal and Fuzzing Amplification: Targeting Vulnerability Detection in 5G and Beyond

Jingda Yang, Ying Wang|arXiv (Cornell University)|2023. 07. 11.

Software Testing and Debugging Techniques인용 수 5

한 줄 요약

이 논문은 5G 비스탠드얼론(NSA) 네트워크에서 취약점을 탐지하기 위해 형식적 검증과 패치 테스팅을 강화 피드백 루프를 통해 통합하는 통합 프레임워크를 제안한다. 형식적 검증을 통해 공격 트레이스를 기반으로 패치 테스팅을 안내하고, 패치 테스팅 피드백을 바탕으로 형식적 가정을 보완함으로써 계산 복잡도를 지수적 증가에서 선형 증가로 감소시킨다. 이 방법으로 RRC 연결 프로세스에서 총 53개의 취약점을 탐지하였으며, 단지 9개의 타겟 테스트 케이스만으로도 가능했다.

ABSTRACT

Softwarization and virtualization in 5G and beyond require rigorous testing against vulnerabilities and unintended emergent behaviors for critical infrastructure and network security assurance. Formal methods operates efficiently in protocol-level abstract specification models, and fuzz testing offers comprehensive experimental evaluation of system implementations. In this paper, we propose a novel framework that leverages the respective advantages and coverage of both formal and fuzzing methods to efficiently detect vulnerabilities from protocol logic to implementation stacks hierarchically. The detected attack traces from the formal verification results in critical protocols guide the case generation of fuzz testing, and the feedbacks from fuzz testing further broaden the scope of the formal verification. We examine the proposed framework with the 5G Non Standard-Alone (NSA) security processes, focusing on the Radio Resource Control (RRC) connection process. We first identify protocol-level vulnerabilities of user credentials via formal methods. Following this, we implement bit-level fuzzing to evaluate potential impacts and risks of integrity-vulnerable identifier variation. Concurrently, we conduct command-level mutation-based fuzzing by fixing the assumption identifier to assess the potential impacts and risks of confidentiality-vulnerable identifiers. During this approach, we established 1 attack model and detected 53 vulnerabilities. The vulnerabilities identified used to fortify protocol-level assumptions could further refine search space for the following detection cycles. Consequently, it addresses the prevalent scalability challenges in detecting vulnerabilities and unintended emergent behaviors in large-scale systems in 5G and beyond.

연구 동기 및 목표

• 복잡한 5G 시스템에서 단독 형식적 검증과 패치 테스팅의 확장성 및 커버리지 한계를 해결한다.
• 브루트 포스나 규칙 기반 패치 테스팅의 비효율성을 줄이기 위해 형식적 검증 결과를 기반으로 테스트 생성을 안내한다.
• 5G 및 그 이상의 환경에서 프로토콜 논리에서 구현 스택에 이르기까지 계층적 취약점 탐지를 가능하게 한다.
• 형식적 방법과 패치 테스팅 간의 상호보완적 피드백 루프를 구축하여 취약점 탐지의 계산 복잡도를 감소시킨다.
• MITM 보호 기능 누락과 같은 높은 위험도를 가진 프로토콜 가정을 식별하고 강화함으로써 5G의 보안 보증을 향상시킨다.

제안 방법

• 5G NSA RRC 연결 프로세스에 형식적 검증을 적용하여 사용자 자격 증명 유출 및 MITM 보호 기능 부재와 같은 프로토콜 수준의 취약점을 식별한다.
• 패치 테스팅을 위한 세 가지 입력 유형을 생성한다: 형식 기반의 합법적 입력, 형식 기반의 불법적 입력, 규칙을 어긴 무작위 생성 입력.
• 형식적 가정을 활용해 테스트 공간을 제약함으로써 RRC 연결 요청 명령어(40비트 UE-Identity, 4비트 EstablishmentCause, 1비트 spare)에 대해 비트 수준의 패치 테스팅을 구현한다.
• UE-Identity를 고정하여 명령어 수준의 변형 기반 패치 테스팅을 수행함으로써 식별자 처리의 기밀성 취약점을 평가한다.
• 패치 테스팅 피드백을 통해 형식적 검증 범위를 정교화하고 프로토콜 가정을 강화하는 상호 강화 피드백 루프를 수립한다.
• 패치 테스팅의 피드백을 활용해 반복적으로 검색 공간을 정교화하고 형식 모델에서의 오진 또는 간과된 극단 케이스를 줄인다.

Figure 1: System Design

실험 결과

연구 질문

• RQ1 형식적 검증과 패치 테스팅을 체계적으로 통합하여 5G 프로토콜 스택에서의 취약점 탐지 커버리지를 어떻게 향상시킬 수 있는가?
• RQ2 형식적 검증은 5G 시스템에서 패치 테스팅의 계산 부담을 얼마나 줄일 수 있는가?
• RQ3 MITM 보호 기능 누락과 같은 프로토콜 수준의 가정이 패치 테스팅을 통해 드러날 경우, 구현 수준의 보안에 어떤 영향을 미치는가?
• RQ4 형식적 방법과 패치 테스팅 간의 피드백 기반 루프는 테스트 케이스 폭발을 현저히 줄이고 취약점 탐지 정확도를 높일 수 있는가?
• RQ5 기존의 브루트 포스나 규칙 기반 패치 테스팅 전략에 비해 이 프레임워크는 5G 보안 테스팅에서 효율성과 효과성 면에서 어떻게 비교되는가?

주요 결과

• 형식적 검증 제약 조건을 활용함으로써 패치 테스팅에 필요한 테스트 케이스 수를 브루트 포스의 2^45개 초과에서 단 9개로 감소시켰다.
• 총 53개의 취약점이 RRC 연결 프로세스 전반에서 탐지되었으며, TLS가 10년 이상 제공됨에도 불구하고 MITM 보호 기능이 누락된 심각한 문제도 포함되어 있었다.
• 형식적 검증과 패치 테스팅 간의 피드백 루프를 통해 특히 식별자 처리 및 액세스 제어와 관련된 프로토콜 수준의 가정을 정교화할 수 있었다.
• 취약점 탐지의 계산 복잡도는 지수적 증가에서 선형 증가로 감소하여 대규모 5G 시스템에 대한 확장성 향상에 기여했다.
• 대상 지정된 형식 기반 테스팅을 통해 고위험도 가정—예를 들어 무결성 취약한 식별자 변형 및 기밀성 취약한 식별자—를 성공적으로 식별하였다.
• 실제 5G NSA 환경에서 논문의 프레임워크는 논리적 프로토콜 결함과 구현 수준의 취약점을 탐지하는 데 실용성과 높은 효율성을 입증했다.

Figure 2: 5G NSA Security Process.