[논문 리뷰] LTrack: Stealthy Tracking of Mobile Phones in LTE

Martin Kotuliak, Simon Erni외 3명|arXiv (Cornell University)|2021. 06. 09.

Advanced MIMO Systems Optimization참고 문헌 31인용 수 9

한 줄 요약

LTrack는 수동적인 업링크/다운링크 스니핑과 새로운 저전력 IMSI 추출기 기술을 조합하여 모바일 폰의 지속적이고 고정밀 추적을 가능하게 하는 도전적인 LTE 추적 공격을 제안한다. 가짜 기지국을 사용하지 않고 수술적 메시지 가림 기법을 적용함으로써 IMSI를 추출하고 TMSI 기반 위치 추적과 연계하여 시선이 확보된 조건에서 90%의 경우에서 6m 이내의 정밀도를 달성한다.

ABSTRACT

We introduce LTrack, a new tracking attack on LTE that allows an attacker to stealthily extract user devices' locations and permanent identifiers (IMSI). To remain stealthy, the localization of devices in LTrack is fully passive, relying on our new uplink/downlink sniffer. Our sniffer records both the times of arrival of LTE messages and the contents of the Timing Advance Commands, based on which LTrack calculates locations. LTrack is the first to show the feasibility of a passive localization in LTE through implementation on software-defined radio. Passive localization attacks reveal a user's location traces but can at best link these traces to a device's pseudonymous temporary identifier (TMSI), making tracking in dense areas or over a long time-period challenging. LTrack overcomes this challenge by introducing and implementing a new type of IMSI Catcher named IMSI Extractor. It extracts a device's IMSI and binds it to its current TMSI. Instead of relying on fake base stations like existing IMSI Catchers, which are detectable due to their continuous transmission, IMSI Extractor relies on our uplink/downlink sniffer enhanced with surgical message overshadowing. This makes our IMSI Extractor the stealthiest IMSI Catcher to date. We evaluate LTrack through a series of experiments and show that in line-of-sight conditions, the attacker can estimate the location of a phone with less than 6m error in 90% of the cases. We successfully tested our IMSI Extractor against a set of 17 modern smartphones connected to our industry-grade LTE testbed. We further validated our uplink/downlink sniffer and IMSI Extractor in a test facility of an operator.

연구 동기 및 목표

• LTE 네트워크에서 대규모로 도전적인 방식으로 이동 통신 사용자를 추적하는 문제를 해결한다.
• 지속적인 식별자 없이 위치 추적를 연결할 수 없는 수동적 국지화의 한계를 극복한다.
• 탐지 가능한 가짜 기지국을 사용하는 전통적인 IMSI 캐처의 더 안전한 대안을 개발한다.
• TMSI 기반 위치 추적 데이터를 영구적인 IMSI 식별자와 연결함으로써 장기적인 추적을 가능하게 한다.
• 소프트웨어 정의 무선 기반 구현과 17대의 현대 스마트폰을 활용한 실생활 테스트를 통해 실현 가능성을 입증한다.

제안 방법

• 소프트웨어 정의 무선를 사용한 최초의 화이트박스 업링크/다운링크 LTE 스니퍼인 LTEprobe를 구현하여 수동적으로 LTE 메시지의 타이밍과 내용을 캡처한다.
• 특히 타이밍 어드밴스 명령어를 포함한 업링크 및 다운링크 제어 메시지의 도착 시간 측정을 통해 기지국(eNodeB)으로부터 기기의 거리를 추정한다.
• 수술적 메시지 가림 기법—정확한 타이밍과 프로토콜 준수 메시지를 삽입함—을 적용하여 가짜 기지국을 에뮬레이션하지 않고도 IMSI 노출를 유도한다.
• 업링크/다운링크 스니퍼와 IMSI 추출기를 결합하여 TMSI 기반 위치 데이터와 추출된 IMSI를 연계한다.
• 국지화를 위해 DCI 포맷 0 및 포맷 1 메시지를 활용하여 자원 할당 및 타이밍 정보를 디코딩한다.
• RRC 연결 요청 및 서비스 요청 절차를 이용해 연결 설정 시기의 초기 업링크 메시지에서 TMSI 또는 IMSI를 캡처한다.

실험 결과

연구 질문

• RQ1 LTE에서 수동적인 업링크 및 다운링크 스니핑을 통해 가짜 기지국 에뮬레이션 없이 정확하고 실시간으로 기기 국지화를 달성할 수 있는가?
• RQ2 탐지 가능한 가짜 기지국을 사용하지 않고도 기기의 영구적인 IMSI를 추출할 수 있는가?
• RQ3 수술적 메시지 가림 기법을 사용해 기존 탐지 기법으로부터 탐지되지 않도록 하면서 IMSI 노출를 유도할 수 있는가?
• RQ4 수동적 국지화와 IMSI 추출을 얼마나 잘 통합하여 지속적이고 도전적인 이동 사용자 추적을 가능하게 할 수 있는가?
• RQ5 실생활의 시선 확보 조건에서 이러한 시스템의 실현 가능한 국지화 정밀도는 어느 정도인가?

주요 결과

• LTrack는 시선이 확보된 조건에서 수동적인 업링크/다운링크 타이밍 측정을 통해 90%의 경우에서 6미터 이내의 국지화 오차를 달성한다.
• 기존의 IMSI 캐처 탐지 방법으로는 탐지되지 않는 산업용 LTE 테스트베드에 연결된 17대의 현대 스마트폰에서 IMSI 추출기가 성공적으로 IMSI를 추출하였다.
• 실제 통신사 테스트 시설에서 업링크/다운링크 스니퍼인 LTEprobe가 성공적으로 검증되었으며, 제어 평면 메시지의 신뢰성 있는 캡처를 입증하였다.
• 수술적 메시지 가림 기법은 LTE 프로토콜 사양을 준수하면서도 기존의 가짜 기지국 공격 대비 탐지 가능성 감소를 가능하게 하였다.
• 수동적 국지화와 도전적인 IMSI 추출의 조합을 통해 TMSI 기반 위치 추적 데이터를 영구적인 IMSI 식별자와 연계함으로써 지속적인 추적을 가능하게 하였다.
• 이 공격은 지속적인 고전력 전송을 피하고 프로토콜 준수 메시지 삽입을 사용함으로써 기존의 IMSI 캐처 탐지 기법으로부터 탐지되지 않는다.