研究员将在Black Hat 2019上展示5G伪基站技术

高速5G移动数据网络虽然还没有全面建成，但已经开始在美国的部分城市逐步铺开。研究人员们梳理了5G技术标准，希望验证其在提供快如闪电的速度之余，能否提高通信安全水平。但事实证明，单凭5G本身仍不足以捍卫安全。

  本周将于拉斯维加斯召开的2019年黑帽安全大会上，几位安全研究人员将展示5G保护机制中的缺陷。该保护机制主要用于阻止“黄貂鱼”监控设备的窥探。有些朋友可能不太熟悉，黄貂鱼也被称为“IMSI捕手”，它能够伪装成合法的手机信号塔，并收集每一台手机上的国际移动用户识别码。在顺利接入之后，黄貂鱼即可利用IMSI或者其它识别码跟踪目标设备，甚至监听通话内容。

  挪威技术分析公司SINTEF Digital研究科学家Ravishankar Borgaonkar表示，“5G技术的一大优势，就是其在开发当中考虑到如何解决伪造基站攻击问题。我们的想法是，在5G当中，窃取到的IMSI与IMEI设备识别码将无法被用于进行识别与攻击。然而，我们在研究中发现，5G技术并没能提供针对此类伪造基站攻击的全面保护。”

  原理详解

  5G网络阻止黄貂鱼攻击的主要改进手段之一，是采用更为全面的设备数据加密方案，确保信息不会以易读取的明文格式传输。但研究人员们发现，即使如此，黄貂鱼仍有机会通过5G中的匹配缺陷发动攻击。

  当一台设备“注册”至新的蜂窝基站以获取连接时，该设备会发送一部分与自身相关的识别数据。与目前的4G标准一样，5G同样不会加密这类数据。因此，研究人员可以利用黄貂鱼收集这些信息，进而识别并跟踪特定区域内的目标设备。

  研究人员们发现，他们可以使用这些未经加密的数据判断目标设备的身份——例如智能手机、平板电脑、汽车、自动售货机乃至传感器等等。他们可以识别出设备的制造商、其中使用的硬件组件、特定型号与操作系统，甚至具体到iOS设备运行的特定操作系统版本。利用这些信息，攻击者完全能够识别并定位设备，从而对预期目标或者某些不太常见的设备型号开展入侵。

  这种暴露程度不算特别严重，因为攻击者能够获取的只有一部分常规信息，因此很难非常精确地识别出特定设备。举例来说，某一区域中如果部署有15台CCTV摄像机或者9台iPhone 8S，那么攻击者几乎无法做出明确区分。但研究人员随后发现了另一个问题，这也使得状况变得更为复杂。

  事实证明，泄露的设备细节信息可被中间人（例如黄貂鱼）用于实施数据操控。电信行业根据具体复杂程度与精密级别将各类设备分为1至12类；智能手机这类设备属于12类，而简单的物联网设备则可能属于1或2类。这种分类的意义，是为了判断应该将发出信号的设备接入哪个数据网络。更复杂、更高级的设备应该接入4G或者5G网络，而低级设备由于对传输速度要求不高，因此往往只需要接入2G或者3G网络。

  研究人员们发现，他们可以利用第一次黄貂鱼攻击修改目标设备在连接当中声明的类别编码，从而诱导其接入较为陈旧的网络。如此一来，黑客即可继续使用传统黄貂鱼攻击，对设备通信进行监控或者实现位置跟踪。

  柏林技术大学研究员Altaf Shaik表示，“对于此类攻击，大家可以将iPhone误导成一台简单的物联网设备。通过服务降级与速度控制，我们即可继续使用经典的IMSI捕手攻击。这无疑是个需要重视的设计缺陷。”

  修改设备类别数据的问题，实际上并不属于5G规范的自身缺陷，而是源自运营商在实施层面遗留的长期漏洞。如果系统设置能够在连接初期即启动安全保护与数据加密机制，那么攻击活动将无法起效。然而，运营商虽然清楚这类数据的存在，也意识到其中存在操控风险，但仍然选择无动于衷。研究人员在欧洲、亚洲以及北美对30家运营商进行了评估，其中有21家易受降级攻击的影响。只有9家建立起自己的系统，以便在连接过程早期启动安全保护机制。

  研究人员们还发现，通过类似的攻击，他们甚至可以阻止设备进入通常由网络消息触发的“省电模式”。某些设备在获得稳定的数据连接之后，即可停止扫描当前区域以及重新连接尝试，转而专心等待来自网络的消息。大家都清楚，网络扫描是一项极为耗电的操作。但研究人员发现，他们可以操纵5G中暴露的无保护设备信息、控制这些信息，并使得目标设备的耗电速度达到省电模式下的5倍——这对于传感器以及控制器等嵌入式设备而言，同样是种潜在的安全威胁。

  安全修复

  研究人员们已经向电信标准组织GSMA披露了这些问题，并希望与运营商合作开展5G部署，从而尽早将连接初期的安全与数据保护机制引入蜂窝基站连接过程。GSMA目前尚未就此事发表评论，但根据以往研究的结果，其它一些可能被黄貂鱼攻击所利用的5G协议缺陷现在已经得到修复。希望此次暴露的新问题也能得到妥善解决。

  SINTEF Digital公司的Gorgaonkar指出，“GSMA承认他们需要为此采取行动。我们不确定5G技术本身会如何改变，但可以肯定的是，目前我们仍然可以构建一台5G IMSI捕手并识别出攻击目标。GSMA正在就此开展讨论，希望这方面问题能够在标准层面得到解决。”

  毫无疑问，5G技术引入了一系列重要且睽违已久安全保护措施。但随着数以亿计的设备即将接入这一新网络，我们需要在倒计时结束前解决全部已知隐患——余下的时间已经不多了。