[论文解读] Practical Attacks Against Privacy and Availability in 4G/LTE Mobile Communication Systems

Altaf Shaik, Ravishankar Borgaonkar+3 more|arXiv (Cornell University)|Oct 26, 2015

Advanced Authentication Protocols Security被引用 5

一句话总结

本文提出实用型攻击，利用4G/LTE网络中的隐私与可用性缺陷，展示攻击者如何通过在寻呼过程中暴露的GUTI和IMSI追踪用户。通过利用智能寻呼和临时标识符泄露，攻击者可实现用户去匿名化，并通过针对性的寻呼洪水攻击，高可靠度地揭示用户位置与可用性，影响真实世界部署。

ABSTRACT

Mobile communication systems now constitute an essential part of life throughout the world. Fourth generation "Long Term Evolution" (LTE) mobile communication networks are being deployed. The LTE suite of specifications is considered to be significantly better than its predecessors not only in terms of functionality but also with respect to security and privacy for subscribers. We carefully analyzed LTE access network protocol specifications and uncovered several vulnerabilities. Using commercial LTE mobile devices in real LTE networks, we demonstrate inexpensive, and practical attacks exploiting these vulnerabilities. Our first class of attacks consists of three different ways of making an LTE device leak its location: A semi-passive attacker can locate an LTE device within a 2 sq.km area within a city whereas an active attacker can precisely locate an LTE device using GPS co-ordinates or trilateration via cell-tower signal strength information. Our second class of attacks can persistently deny some or all services to a target LTE device. To the best of our knowledge, our work constitutes the first publicly reported practical attacks against LTE access network protocols. We present several countermeasures to resist our specific attacks. We also discuss possible trade-offs that may explain why these vulnerabilities exist and recommend that safety margins introduced into future specifications to address such trade-offs should incorporate greater agility to accommodate subsequent changes in the trade-off equilibrium.

研究动机与目标

• 分析并利用4G/LTE系统中的隐私与可用性漏洞，尤其关注寻呼与临时标识符使用情境。
• 评估通过在网络寻呼过程中暴露GUTI和IMSI追踪用户的技术可行性。
• 展示智能寻呼实现如何被滥用，以实现针对特定用户的追踪与拒绝服务攻击。
• 测量智能寻呼在主要移动运营商中的真实世界部署情况，并评估其跨运营商的安全影响。
• 评估现有LTE安全机制在防止身份泄露与未经授权追踪方面的有效性。

提出的方法

• 通过在大城市中从多个运营商获取的真实信号捕获，逆向分析LTE寻呼流程。
• 利用RRC寻呼消息中使用的GUTI和S-TMSI，关联并追踪跨小区的UE。
• 通过向特定eNodeB发送定制的RRC寻呼消息，实施针对性寻呼攻击，触发UE响应并推断其位置。
• 测量UE在寻呼期间的时序与响应模式，以确定其存在状态与移动行为。
• 通过分析运营商特定的实现方式与响应行为，评估智能寻呼对攻击面的影响。
• 使用SDR工具模拟eNodeB行为，在受控环境与真实世界环境中测试攻击可行性。

实验结果

研究问题

• RQ1 攻击者仅通过在LTE寻呼过程中暴露的GUTI和IMSI，能在多大程度上追踪UE的位置？
• RQ2 智能寻呼机制在提升用户追踪攻击的精度与可靠性方面有多有效？
• RQ3 能否通过针对性寻呼导致重复RRC连接尝试，从而破坏服务可用性？
• RQ4 智能寻呼在主要移动网络运营商中的真实世界普及率如何？
• RQ5 现有LTE安全机制（如临时标识符与加密）为何在实践中无法有效防止身份关联？

主要发现

• 本文表明，GUTI和IMSI经常在RRC寻呼消息中暴露，使得跨小区与位置区的用户追踪变得可靠。
• 智能寻呼虽提升了网络效率，但通过基于UE最后已知小区的精确目标定位，显著扩大了攻击面。
• 针对性寻呼攻击可实现高成功率，导致UE响应并暴露其位置与连接状态。
• 真实世界测量显示，多个主要运营商与厂商已部署智能寻呼，增加了隐私泄露风险。
• 研究发现，即使使用临时标识符，UE仍可能因GUTI的可预测重复使用与时间相关性，在会话间被关联。
• 这些攻击导致可测量的服务中断，重复的RRC连接尝试造成信令负载增加，并导致UE电池耗竭。