[논문 리뷰] Hermes: Unlocking Security Analysis of Cellular Network Protocols by Synthesizing Finite State Machines from Natural Language Specifications

Abdullah Al Ishtiaq, Sarkar Snigdha Sarathi Das외 9명|arXiv (Cornell University)|2023. 10. 06.

Hate Speech and Cyberbullying Detection인용 수 4

한 줄 요약

Hermes는 신경 문장 구조 분석기(NEUTREX)와 도메인 특화 언어 번역을 사용하여 자연어 세포망 프로토콜 명세에서 형식적 유한 상태 기계(FSM)를 자동으로 합성하는 자동화된 프레임워크이다. FSM 추출 정확도가 81–87%에 이르며, 4G 및 5G 프로토콜에서 3개의 새로운 취약점과 19개의 기존 공격을 발견하여 골드 표준 모델이 없는 상황에서도 확장 가능한 보안 분석을 가능하게 한다.

ABSTRACT

In this paper, we present Hermes, an end-to-end framework to automatically generate formal representations from natural language cellular specifications. We first develop a neural constituency parser, NEUTREX, to process transition-relevant texts and extract transition components (i.e., states, conditions, and actions). We also design a domain-specific language to translate these transition components to logical formulas by leveraging dependency parse trees. Finally, we compile these logical formulas to generate transitions and create the formal model as finite state machines. To demonstrate the effectiveness of Hermes, we evaluate it on 4G NAS, 5G NAS, and 5G RRC specifications and obtain an overall accuracy of 81-87%, which is a substantial improvement over the state-of-the-art. Our security analysis of the extracted models uncovers 3 new vulnerabilities and identifies 19 previous attacks in 4G and 5G specifications, and 7 deviations in commercial 4G basebands.

연구 동기 및 목표

• 셀룰러 네트워크 프로토콜에 대한 형식적 모델의 부족이 확장 가능한 보안 분석을 어렵게 하므로 이를 해결하기 위해.
• 3GPP에서 제공하는 자연어 명세에서 형식적 유한 상태 기계(FSM)를 자동으로 추출하여 수작업의 노력과 실수를 줄이기 위해.
• 변경되는 명세에서 정확한 FSM을 생성함으로써 4G 및 5G 프로토콜의 설계 수준의 취약점을 탐지할 수 있도록 하기 위해.
• 수작업으로 만든 모델의 한계를 극복하기 위해, 특히 빈번한 명세 변경 상황에서 시간이 많이 소요되는 모델 구축 및 갱신을 방지하기 위해.
• 골드 표준 형식 모델이 필요하지 않은, 확장 가능하고 재사용 가능한 보안 분석 프레임워크를 제공하기 위해.

제안 방법

• Hermes는 CellulaRoBERTa 기반의 도메인 인식 신경 문장 구조 분석기인 NEUTREX를 사용하여 전이 관련 텍스트를 추출하고 상태, 조건, 동작와 같은 구성 요소를 식별한다.
• 도메인 특화 언어(DSL)와 의존성 구문 분석을 활용하여 추출된 구성 요소를 조건과 동작를 나타내는 논리 공식으로 변환한다.
• IRSynthesizer 컴ponent은 이러한 논리 공식을 모델 검증을 위한 형식 언어로 변환 가능한 중간 표현(IR)으로 변환한다.
• FSMSynthesizer는 IR을 컴iles하여 완전한 FSM 전이를 생성하고 보안 분석을 위한 전체 유한 상태 기계를 구축한다.
• 프레임워크는 다중 문서 처리를 지원하지만, 이전 연구와의 일관성을 유지하기 위해 실험은 단일 문서에 국한되어 있다.
• 특히 잘못된 반례가 발생할 수 있는 경우를 대비해 모델 체커 출력의 수동 검증 및 보정을 통해 생성된 FSM을 검증하고 개선한다.

실험 결과

연구 질문

• RQ1 셀룰러 프로토콜의 자연어 명세를 정확한 형식적 유한 상태 기계(FSM)로 자동으로 변환할 수 있는가?
• RQ2 제안된 신경 분석기 NEUTREX는 3GPP 명세에서 복잡하고 모호한 자연어에서 전이 구성 요소를 얼마나 효과적으로 추출하는가?
• RQ3 합성된 FSM은 4G 및 5G 프로토콜에서 알려진 및 이전에 알려지지 않은 취약점을 어느 정도 탐지할 수 있는가?
• RQ4 정확도 및 취약점 탐지 측면에서 기존 접근법과 비교해 Hermes는 어떤 성능을 보이는가?
• RQ5 부분적 명세, 모호성 및 다중 문서 기반 프로토콜 명세 처리에서의 주요 제약 조건은 무엇인가?

주요 결과

• Hermes는 자연어 3GPP 명세에서 유한 상태 기계를 합성하는 데 81–87%의 정확도를 달성하여 최신 기술보다 뚜렷이 뛰어난 성능을 보였다.
• 프레임워크는 4G 및 5G 프로토콜에서 3개의 새로운 취약점을 성공적으로 식별하였으며, 이 중 하나는 5G에서 새로 도입된 메시지 거부 메커니즘에서 기인한 것이다.
• 4G 및 5G NAS 및 RRC 프로토콜의 설계 결함을 악용하는 19개의 기존 공격을 탐지하여 실제 세계의 결함을 드러내는 능력을 입증하였다.
• 상용 4G 베이스밴드 칩에서 7개의 구현 이탈 사항을 발견하여 실제 시스템에서의 실용적 유용성을 입증하였다.
• 생성된 FSM에 대한 보안 분석을 통해 조차도 불완전한 모델이라도 수동 검토를 통해 효과적으로 검증하고 보완할 수 있으며, 전체 수동 모델링에 비해 노력이 줄어들었다.
• 3GPP에서 골드 표준 형식 모델을 제공하지 않는 상황에서도 Hermes는 지속적인 프로토콜 보안 분석을 위한 실용적인 대안을 제공한다.