[論文レビュー] Formal and Fuzzing Amplification: Targeting Vulnerability Detection in 5G and Beyond

Jingda Yang, Ying Wang|arXiv (Cornell University)|Jul 11, 2023

Software Testing and Debugging Techniques被引用数 5

ひとこと要約

本論文は、攻撃トレースを用いた形式検証によるファズテストの誘導と、ファズテストのフィードバックに基づく形式的仮定の精錬を通じて、5G Non-Standalone (NSA) ネットワークにおける脆弱性を検出する、統合的でフィードバック強化型のフレームワークを提案する。形式検証によってファズテストを誘導し、ファズテストのフィードバックに基づいて形式的仮定を精錬することで、計算量の複雑性を指数関数的増加から線形増加に削減し、RRC接続プロセスにおいてわずか9つのターゲットテストケースで53件の脆弱性を検出する。

ABSTRACT

Softwarization and virtualization in 5G and beyond require rigorous testing against vulnerabilities and unintended emergent behaviors for critical infrastructure and network security assurance. Formal methods operates efficiently in protocol-level abstract specification models, and fuzz testing offers comprehensive experimental evaluation of system implementations. In this paper, we propose a novel framework that leverages the respective advantages and coverage of both formal and fuzzing methods to efficiently detect vulnerabilities from protocol logic to implementation stacks hierarchically. The detected attack traces from the formal verification results in critical protocols guide the case generation of fuzz testing, and the feedbacks from fuzz testing further broaden the scope of the formal verification. We examine the proposed framework with the 5G Non Standard-Alone (NSA) security processes, focusing on the Radio Resource Control (RRC) connection process. We first identify protocol-level vulnerabilities of user credentials via formal methods. Following this, we implement bit-level fuzzing to evaluate potential impacts and risks of integrity-vulnerable identifier variation. Concurrently, we conduct command-level mutation-based fuzzing by fixing the assumption identifier to assess the potential impacts and risks of confidentiality-vulnerable identifiers. During this approach, we established 1 attack model and detected 53 vulnerabilities. The vulnerabilities identified used to fortify protocol-level assumptions could further refine search space for the following detection cycles. Consequently, it addresses the prevalent scalability challenges in detecting vulnerabilities and unintended emergent behaviors in large-scale systems in 5G and beyond.

研究の動機と目的

• 複雑な5Gシステムにおける単独の形式的検証とファズテストのスケーラビリティおよびカバレッジの制限を解消すること。
• ブルートフォースやルールベースのファズテストの非効率性を解消し、形式的検証の結果を用いてテスト生成を誘導すること。
• 5Gおよびそれ以降のシステムにおいて、プロトコル論理から実装スタックに至る階層的脆弱性検出を可能にすること。
• 形式的手法とファズテストの間で相互にフィードバックするループを確立することで、脆弱性検出における計算量の複雑性を低減すること。
• MITM保護の欠如といった高リスクのプロトコル仮定を同定・強化することで、5Gのセキュリティ保証を向上させること。

提案手法

• 5G NSA RRC接続プロセスに対して形式的検証を適用し、ユーザー資格情報の漏洩やMITM保護の欠如を含むプロトコルレベルの脆弱性を特定する。
• ファズテスト用の入力3種類を生成する：形式的ベースの合法的入力、形式的ベースの非合法的入力、ルール外のランダム生成入力。
• 形式的仮定を用いてテスト空間を制限することで、RRC接続要求コマンド（40ビットのUE-Identity、4ビットのEstablishmentCause、1ビットのspare）に対してビットレベルのファズテストを実装する。
• UE-Identityを固定してコマンドレベルの変異ベースファズテストを実施し、識別子処理における機密性の脆弱性を評価する。
• ファズテストのフィードバックによって形式的検証の範囲を精錬し、プロトコル仮定を強化する、相互に強化するループを確立する。
• ファズテストからのフィードバックを活用して、反復的に検索空間を精錬し、形式モデルにおける誤検出や見過ごされたエッジケースを低減する。

Figure 1: System Design

実験結果

リサーチクエスチョン

• RQ1 形式的検証とファズテストをどのように体系的に統合することで、5Gプロトコルスタックにおける脆弱性検出カバレッジを向上させられるか？
• RQ2 形式的検証は、5Gシステムにおけるファズテストの計算負荷をどの程度低減できるか？
• RQ3 MITM保護の欠如といったプロトコルレベルの仮定が、ファズテストによって露呈された場合、実装レベルのセキュリティにどのような影響を及えるか？
• RQ4 形式的検証とファズテストの間でフィードバック駆動型のループを確立することで、テストケースの爆発的増加を顕著に低減し、脆弱性検出の正確性を向上させられるか？
• RQ5 本フレームワークは、5Gセキュリティテストにおける従来のブルートフォースまたはルールベースのファズティング戦略と比較して、どの程度効率的かつ効果的か？

主な発見

• 形式的検証の制約を活用することで、ファズテストに必要なテストケース数をブルートフォースの2^45以上、およびルールベースの2^40 + 2^4 + 1からわずか9にまで削減した。
• RRC接続プロセス全体で合計53件の脆弱性が検出され、TLSが10年以上も利用可能であるにもかかわらずMITM保護が欠如している深刻な問題も含まれた。
• 形式的検証とファズテストの間のフィードバックループにより、特に識別子処理とアクセス制御に関するプロトコルレベルの仮定が精錬された。
• 脆弱性検出の計算量の複雑性が指数関数的増加から線形増加に削減され、大規模な5Gシステムにおけるスケーラビリティが顕著に向上した。
• 標的的で形式的検証に従ったテストにより、整合性に脆弱な識別子の変種や機密性に脆弱な識別子といった高リスクの仮定が効果的に同定された。
• 本フレームワークは、実世界の5G NSA環境において、論理的プロトコル欠陥と実装レベルの脆弱性の両方を検出する上で実用的で高い効率性を示した。

Figure 2: 5G NSA Security Process.