[论文解读] Formal and Fuzzing Amplification: Targeting Vulnerability Detection in 5G and Beyond

Jingda Yang, Ying Wang|arXiv (Cornell University)|Jul 11, 2023

Software Testing and Debugging Techniques被引用 5

一句话总结

本文提出了一种统一框架，通过强化反馈回路将形式化验证与模糊测试相结合，以检测5G非独立组网（NSA）网络中的漏洞。通过使用形式化验证提供攻击痕迹来指导模糊测试，并基于模糊测试反馈改进形式化假设，该方法将计算复杂度从指数级增长降低至线性增长，在仅9个目标测试用例下检测出53个RRC连接过程中的漏洞。

ABSTRACT

Softwarization and virtualization in 5G and beyond require rigorous testing against vulnerabilities and unintended emergent behaviors for critical infrastructure and network security assurance. Formal methods operates efficiently in protocol-level abstract specification models, and fuzz testing offers comprehensive experimental evaluation of system implementations. In this paper, we propose a novel framework that leverages the respective advantages and coverage of both formal and fuzzing methods to efficiently detect vulnerabilities from protocol logic to implementation stacks hierarchically. The detected attack traces from the formal verification results in critical protocols guide the case generation of fuzz testing, and the feedbacks from fuzz testing further broaden the scope of the formal verification. We examine the proposed framework with the 5G Non Standard-Alone (NSA) security processes, focusing on the Radio Resource Control (RRC) connection process. We first identify protocol-level vulnerabilities of user credentials via formal methods. Following this, we implement bit-level fuzzing to evaluate potential impacts and risks of integrity-vulnerable identifier variation. Concurrently, we conduct command-level mutation-based fuzzing by fixing the assumption identifier to assess the potential impacts and risks of confidentiality-vulnerable identifiers. During this approach, we established 1 attack model and detected 53 vulnerabilities. The vulnerabilities identified used to fortify protocol-level assumptions could further refine search space for the following detection cycles. Consequently, it addresses the prevalent scalability challenges in detecting vulnerabilities and unintended emergent behaviors in large-scale systems in 5G and beyond.

研究动机与目标

• 解决独立形式化验证和模糊测试在复杂5G系统中面临的可扩展性和覆盖范围限制。
• 通过利用形式化验证结果指导测试生成，克服蛮力法和基于规则的模糊测试的低效性。
• 实现在5G及未来系统中从协议逻辑到实现栈的分层漏洞检测。
• 通过建立形式化方法与模糊测试之间的共生反馈回路，降低漏洞检测的计算复杂度。
• 通过识别并加固高风险协议假设（如缺少中间人攻击防护）来提升5G的安全保障。

提出的方法

• 对5G NSA RRC连接过程应用形式化验证，以识别协议层漏洞，包括用户凭证泄露和缺少中间人攻击防护。
• 为模糊测试生成三类输入：基于形式化验证的合法输入、基于形式化验证的非法输入以及随机生成的违规输入。
• 使用形式化假设约束测试空间，对RRC连接请求命令（40位UE-Identity、4位EstablishmentCause、1位spare）实施位级模糊测试。
• 通过将UE-Identity固定，执行基于命令级别的变异模糊测试，以评估标识符处理中的机密性漏洞。
• 建立强化反馈回路，使模糊测试反馈能够细化形式化验证的范围并强化协议假设。
• 利用模糊测试的反馈迭代精炼搜索空间，减少形式化模型中的误报或被忽略的边界情况。

Figure 1: System Design

实验结果

研究问题

• RQ1 如何系统性地整合形式化验证与模糊测试，以提升5G协议栈中的漏洞检测覆盖率？
• RQ2 形式化验证在多大程度上能够减轻5G系统中模糊测试的计算负担？
• RQ3 当通过模糊测试暴露时，协议层假设（如缺少中间人攻击防护）对实现层安全的影响是什么？
• RQ4 形式化与模糊测试方法之间的反馈驱动回路是否能显著减少测试用例爆炸，同时提高漏洞检测的准确性？
• RQ5 与传统的蛮力法或基于规则的模糊测试策略相比，该框架在5G安全测试中的效率和有效性如何？

主要发现

• 通过利用形式化验证约束，该框架将所需模糊测试用例数从超过2^45（蛮力法）和2^40 + 2^4 + 1（基于规则）减少至仅9个。
• 在RRC连接过程中共检测到53个漏洞，包括关键问题，如尽管TLS已存在十余年，仍缺少中间人攻击防护。
• 形式化验证与模糊测试之间的反馈回路实现了对协议层假设的细化，特别是在标识符处理和访问控制方面。
• 漏洞检测的计算复杂度从指数增长降低至线性增长，显著提升了大规模5G系统中的可扩展性。
• 该方法通过有针对性的、基于形式化指导的测试，成功识别出高风险假设，如完整性脆弱的标识符变体和机密性脆弱的标识符。
• 该框架在真实5G NSA场景中展示了实际可行性与高效率，能够有效检测逻辑协议缺陷和实现层漏洞。

Figure 2: 5G NSA Security Process.