[论文解读] LTE security, protocol exploits and location tracking experimentation with low-cost software radio

Roger Piqueras Jover|arXiv (Cornell University)|Jul 18, 2016

Wireless Body Area Networks参考文献 12被引用 59

一句话总结

本文表明，尽管LTE网络具备强大的加密和双向认证机制，但仍易受伪基站和协议层攻击的影响。通过使用低成本软件定义无线电和开源LTE实现，作者利用未加密的预认证信令，构建了IMSI捕获器，阻断设备连接，降级至GSM，并通过RNTI变化实现用户追踪——揭示了LTE物理层信令中一种新型的位置追踪向量。

ABSTRACT

The Long Term Evolution (LTE) is the latest mobile standard being implemented globally to provide connectivity and access to advanced services for personal mobile devices. Moreover, LTE networks are considered to be one of the main pillars for the deployment of Machine to Machine (M2M) communication systems and the spread of the Internet of Things (IoT). As an enabler for advanced communications services with a subscription count in the billions, security is of capital importance in LTE. Although legacy GSM (Global System for Mobile Communications) networks are known for being insecure and vulnerable to rogue base stations, LTE is assumed to guarantee confidentiality and strong authentication. However, LTE networks are vulnerable to security threats that tamper availability, privacy and authentication. This manuscript, which summarizes and expands the results presented by the author at ShmooCon 2016 \cite{jover2016lte}, investigates the insecurity rationale behind LTE protocol exploits and LTE rogue base stations based on the analysis of real LTE radio link captures from the production network. Implementation results are discussed from the actual deployment of LTE rogue base stations, IMSI catchers and exploits that can potentially block a mobile device. A previously unknown technique to potentially track the location of mobile devices as they move from cell to cell is also discussed, with mitigations being proposed.

研究动机与目标

• 調查並展示LTE網絡中即使在強大加密和雙向認證下仍存在的安全漏洞。
• 探索使用開源工具和市售硬件部署低成本、軟件定義的偽造LTE基站的可行性。
• 識別並分析此前未知的協議層漏洞，特別是在基於RNTI的信令中，這些漏洞可實現跨小區切換的設備追蹤。
• 實現並驗證實用性攻擊，如IMSI捕獲、拒絕服務攻擊及GSM軟降級，基於真實的LTE流量捕獲。
• 針對識別出的漏洞提出緩解措施，包括RNTI重新整理機制和切換觸發訊息的加密。

提出的方法

• 從紐約市和火奴魯魯的實際網絡中捕獲LTE無線鏈路流量，用於協議分析。
• 使用openLTE（LTE堆棧的開源實現）構建並配置功能正常的偽造eNodeB。
• 部署低成本軟件定義無線電硬件（如USRP），用於掃描和模擬LTE廣播信號（eNodeB廣播以明文形式傳輸）。
• 利用認證前交換的未加密控制平面訊息，誘騙UE連接到偽造的基站。
• 透過捕獲並記錄未經認證的附著程序中的IMSI訊息，實現IMSI捕獲器。
• 透過在Attach Reject訊息中發送特定的EMM原因代碼，實施拒絕服務攻擊，阻斷設備連接到合法網絡。
• 透過監控切換事件中的RNTI變化並與無線電層測量結果關聯，展示一種新型位置追蹤技術。
• 使用一種特徵提取算法評估基於RNTI的追蹤效果，該算法在RNTI重新分配後，仍能以98.4%的精確度將設備映射到新的RNTI。

实验结果

研究问题

• RQ1 LTE中未加密的預認證信令在多大程度上可被利用來部署偽造基站並竊取用戶數據？
• RQ2 是否可使用低成本軟件定義無線電平台，以最少的硬體成本實現功能齊全且隱蔽的LTE IMSI捕獲器？
• RQ3 哪些協議層漏洞允許在LTE網絡中實現設備阻斷和靜默降級至GSM？
• RQ4 是否存在一種此前未知的方法，可利用LTE物理層中的RNTI信令跨基站追蹤移動設備？
• RQ5 所提出的緩解措施（如定期RNTI重新整理和切換訊息加密）在對抗這些攻擊時有多麼有效？

主要发现

• 大量LTE控制平面訊息在認證前以明文形式交換，使偽造基站能夠偽裝成合法的eNodeB。
• 成功使用市售軟件定義無線電硬體和openLTE實現了IMSI捕獲器，總成本低於2000美元。
• 透過操控Attach Reject訊息中的EMM原因代碼，成功演示了設備阻斷和靜默GSM降級攻擊。
• 發現了一種新型位置追蹤技術，該技術利用切換過程中的RNTI變化，實現移動用戶在不同小區間的追蹤。
• 基於RNTI的追蹤方法在RNTI重新分配後，仍能以98.4%的精確度透過信號特徵提取將設備映射到新RNTI。
• 本研究指出，儘管擁有強大的加密和雙向認證機制，LTE預認證階段的協議層缺陷仍是關鍵的攻擊向量。