[论文解读] LTrack: Stealthy Tracking of Mobile Phones in LTE

Martin Kotuliak, Simon Erni+3 more|arXiv (Cornell University)|Jun 9, 2021

Advanced MIMO Systems Optimization参考文献 31被引用 9

一句话总结

LTrack 提出了一种隐蔽的 LTE 跟踪攻击，结合被动上行链路/下行链路嗅探与一种新型低功耗 IMSI 提取器，实现了对移动电话的持久、高精度跟踪。通过使用精准的消息覆盖技术而非伪造基站，它能够提取 IMSI 并将其与基于 TMSI 的位置轨迹关联，从而在视距条件下实现 90% 案例中低于 6 米的定位精度。

ABSTRACT

We introduce LTrack, a new tracking attack on LTE that allows an attacker to stealthily extract user devices' locations and permanent identifiers (IMSI). To remain stealthy, the localization of devices in LTrack is fully passive, relying on our new uplink/downlink sniffer. Our sniffer records both the times of arrival of LTE messages and the contents of the Timing Advance Commands, based on which LTrack calculates locations. LTrack is the first to show the feasibility of a passive localization in LTE through implementation on software-defined radio. Passive localization attacks reveal a user's location traces but can at best link these traces to a device's pseudonymous temporary identifier (TMSI), making tracking in dense areas or over a long time-period challenging. LTrack overcomes this challenge by introducing and implementing a new type of IMSI Catcher named IMSI Extractor. It extracts a device's IMSI and binds it to its current TMSI. Instead of relying on fake base stations like existing IMSI Catchers, which are detectable due to their continuous transmission, IMSI Extractor relies on our uplink/downlink sniffer enhanced with surgical message overshadowing. This makes our IMSI Extractor the stealthiest IMSI Catcher to date. We evaluate LTrack through a series of experiments and show that in line-of-sight conditions, the attacker can estimate the location of a phone with less than 6m error in 90% of the cases. We successfully tested our IMSI Extractor against a set of 17 modern smartphones connected to our industry-grade LTE testbed. We further validated our uplink/downlink sniffer and IMSI Extractor in a test facility of an operator.

研究动机与目标

• 解决在 LTE 网络中大规模、隐蔽地跟踪移动用户的问题。
• 克服被动定位的局限性，即在缺乏持久标识符的情况下无法将位置轨迹与具体设备关联。
• 开发一种比依赖可检测伪造基站的传统 IMSI 捕获器更隐蔽的替代方案。
• 通过将基于 TMSI 的位置轨迹与永久的 IMSI 标识符绑定，实现长期跟踪。
• 通过在软件定义无线电上实现并开展 17 部现代智能手机的真实世界测试，证明其可行性。

提出的方法

• 实现 LTEprobe，首个使用软件定义无线电的白盒上行链路/下行链路 LTE 嗅探器，可被动捕获 LTE 消息的时序与内容。
• 利用上行链路和下行链路控制消息（特别是定时提前命令）的到达时间测量，估算终端与 eNodeB 的距离。
• 应用精准的消息覆盖技术——注入经过精确计时、符合协议规范的消息——以触发 IMSI 泄露，而无需主动模拟基站。
• 将上行链路/下行链路嗅探器与 IMSI 提取器结合，关联基于 TMSI 的位置数据与提取出的 IMSI。
• 利用 DCI 格式 0 和格式 1 消息解码资源分配与定时信息以实现定位。
• 利用 RRC 连接请求与服务请求流程捕获连接建立期间包含 TMSI 或 IMSI 的初始上行链路消息。

实验结果

研究问题

• RQ1 是否可以利用 LTE 中的被动上行链路和下行链路嗅探实现无需主动基站模拟的精确、实时设备定位？
• RQ2 是否可能在不使用可检测的伪造基站的情况下提取设备的永久 IMSI？
• RQ3 能否使用精准的消息覆盖技术触发 IMSI 泄露，同时不被现有检测机制发现？
• RQ4 被动定位与 IMSI 提取在多大程度上可结合以实现对移动用户的持久、隐蔽跟踪？
• RQ5 此类系统在真实世界视距条件下的可实现定位精度如何？

主要发现

• 在视距条件下，LTrack 通过被动上行链路/下行链路时序测量，实现了 90% 案例中低于 6 米的定位误差。
• IMSI 提取器成功从连接至工业级 LTE 测试平台的 17 部现代智能手机中提取了 IMSI，且未被传统 IMSI 捕获器检测方法触发警报。
• 上行链路/下行链路嗅探器 LTEprobe 在真实运营商测试设施中成功验证，证明其能可靠捕获控制面消息。
• 精准的消息覆盖技术可在符合 LTE 协议规范的前提下实现 IMSI 提取，相比传统伪造基站攻击显著降低可检测性。
• 被动定位与隐蔽 IMSI 提取的结合，可通过将基于 TMSI 的位置轨迹与永久 IMSI 标识符关联，实现持久跟踪。
• 该攻击因避免了持续的高功率传输并采用协议合规的消息注入，因此未被现有 IMSI 捕获器检测技术发现。