[논문 리뷰] LTE security, protocol exploits and location tracking experimentation with low-cost software radio

Roger Piqueras Jover|arXiv (Cornell University)|2016. 07. 18.

Wireless Body Area Networks참고 문헌 12인용 수 59

한 줄 요약

이 논문은 강력한 암호화와 상호 인증에도 불구하고 LTE 네트워크가 여전히 위조된 기지국과 프로토콜 수준의 공격에 취약하다는 것을 입증한다. 저렴한 소프트웨어 정의 신호기와 오픈소스 LTE 구현을 사용하여, 인증 이전 신호 전송이 암호화되지 않은 점을 악용해 사용자를 추적하는 IMSI 캐처를 구축하고, 기기의 연결을 차단하며, 2G로 다운그레이드하는 등 공격을 수행한다. 이 과정에서 RNTI 변경을 통해 물리 계층 신호 전송을 통해 새로운 위치 추적 벡터를 발견하였다.

ABSTRACT

The Long Term Evolution (LTE) is the latest mobile standard being implemented globally to provide connectivity and access to advanced services for personal mobile devices. Moreover, LTE networks are considered to be one of the main pillars for the deployment of Machine to Machine (M2M) communication systems and the spread of the Internet of Things (IoT). As an enabler for advanced communications services with a subscription count in the billions, security is of capital importance in LTE. Although legacy GSM (Global System for Mobile Communications) networks are known for being insecure and vulnerable to rogue base stations, LTE is assumed to guarantee confidentiality and strong authentication. However, LTE networks are vulnerable to security threats that tamper availability, privacy and authentication. This manuscript, which summarizes and expands the results presented by the author at ShmooCon 2016 \cite{jover2016lte}, investigates the insecurity rationale behind LTE protocol exploits and LTE rogue base stations based on the analysis of real LTE radio link captures from the production network. Implementation results are discussed from the actual deployment of LTE rogue base stations, IMSI catchers and exploits that can potentially block a mobile device. A previously unknown technique to potentially track the location of mobile devices as they move from cell to cell is also discussed, with mitigations being proposed.

연구 동기 및 목표

• 강력한 암호화와 상호 인증에도 불구하고 지속되는 LTE 네트워크의 보안 취약점을 조사하고 이를 입증하는 것.
• 오픈소스 도구와 일반 소매 하드웨어를 사용해 저비용, 소프트웨어 정의 위조 LTE 기지국을 구현할 수 있는지 탐색하는 것.
• 특히 RNTI 기반 신호 전송에서 발생하는, 이전에 알려지지 않은 프로토콜 수준의 유출 사항을 식별하고 분석하여 셀 핸드오버 동안 기기 추적을 가능하게 하는 요소를 규명하는 것.
• 실제 LTE 트래픽 캡처를 바탕으로 IMSI 캐처, 서비스 거부 공격, 2G 소프트 다운그레이드와 같은 실용적 공격을 구현하고 검증하는 것.
• 발견된 취약점에 대비한 대응 조치를 제안하는 것 — RNTI 새로 고침 메커니즘과 핸드오버 트리거 메시지의 암호화 포함.

제안 방법

• 뉴욕 시티와 호놀룰루의 실존하는 네트워크에서 실시간 LTE 무선 링크 트래픽을 캡처하여 프로토콜 분석을 수행하였다.
• 오픈소스 LTE 스택인 openLTE를 활용하여 기능적인 위조 eNodeB를 구축하고 설정하였다.
• USRP 등의 저비용 소프트웨어 정의 신호기 하드웨어를 사용하여 LTE 브로드캐스트 신호(클리어 텍스트로 전송되는 eNB 브로드캐스트)를 스캔하고 모의하였다.
• 인증 이전에 교환되는 암호화되지 않은 제어 평면 메시지를 악용하여 사용자 단말기(UE)가 위조 기지국에 연결하도록 속이는 공격을 수행하였다.
• 비인증 연결 절차 중 IMSI 메시지를 캡처하고 로깅하여 IMSI 캐처를 구현하였다.
• 특정 EMM 원인 코드를 가진 액세스 거부 메시지를 보내 기기의 정상 네트워크 연결을 차단함으로써 DoS 공격을 구현하였다.
• 핸드오버 이벤트 동안 RNTI 변화를 모니터링하고 물리 계층 측정값과 연관지켜 새로운 위치 추적 기법을 시연하였다.
• 신호 지문 알고리즘을 사용하여 RNTI 기반 추적의 효과성을 평가하였으며, RNTI 재할당 이후에도 기기와 신규 RNTI 간의 매핑 정확도가 98.4%에 도달하였다.

실험 결과

연구 질문

• RQ1 LTE의 암호화되지 않은 사전 인증 신호 전송은 얼마나 심각한 위협이 되어 위조 기지국을 배치하고 사용자 데이터를 가로채는 데 악용될 수 있는가?
• RQ2 저비용 소프트웨어 정의 신호기 플랫폼을 사용하여 최소한의 하드웨어로 기능적이고 은밀한 LTE IMSI 캐처를 실제로 작동시킬 수 있는가?
• RQ3 LTE 네트워크에서 기기 차단과 은밀한 2G로의 다운그레이드를 가능하게 하는 프로토콜 수준의 취약점은 무엇인가?
• RQ4 LTE 물리 계층의 RNTI 신호 전송을 활용해 기존에 알려지지 않은 방식으로 셀 타워 간 이동 중 이동 기기의 위치를 추적할 수 있는 방법이 존재하는가?
• RQ5 주기적인 RNTI 새로 고침과 핸드오버 메시지 암호화와 같은 제안된 대응 조치가 이러한 공격을 효과적으로 방지하는 데 얼마나 유용한가?

주요 결과

• 인증 이전에 많은 LTE 제어 평면 메시지가 클리어 텍스트로 교환되며, 이는 위조된 eNodeB가 정상 eNodeB를 모의하는 데 악용될 수 있다.
• 일반 소매 하드웨어와 openLTE를 사용하여 2,000달러 이내의 예산으로 성공적으로 IMSI 캐처를 구현하였다.
• Attach Reject 메시지의 EMM 원인 코드를 조작하여 기기 차단 및 은밀한 2G로의 다운그레이드 공격을 시연하였다.
• 핸드오버 중 RNTI 변화를 활용하는 새로운 위치 추적 기법을 발견하였으며, 이는 사용자가 셀 간 이동할 때도 사용자를 추적할 수 있도록 한다.
• 신호 지문 알고리즘을 사용한 RNTI 기반 추적 방법은 RNTI 재할당 이후에도 기기와 신규 RNTI 간 매핑 정확도가 98.4%에 도달하여 매우 높은 정밀도를 보였다.
• 강력한 암호화와 상호 인증에도 불구하고, 사전 인증 단계의 프로토콜 수준 결함이 여전히 LTE 보안에서 핵심 공격 벡터로 남아 있음을 이 연구는 드러냈다.