New Privacy Threat on 3G, 4G, and Upcoming 5G AKA Protocols学习笔记

攻击者模型

• 被动攻击：可以嗅探无线广播信道，不需要知道认证过程中的密钥信息。-
• 主动攻击：可以搭建伪基站，向大量UE诸如恶意流量，需要了解协议标准，但是不需要知道任何加密密钥。

AKA协议的已知缺陷

1. Identity Request消息未受保护。攻击者向区域内的所有UE直接广播该消息，UE就会回复自己的永久身份信息，导致IMSI捕获攻击。即使UE使用临时身份，被动攻击这可以找到临时身份与社会身份（Facebook，twitter，电话号码）的关系。在5G网络中，3GPP修改了AKA协议的identity request阶段，UE使用HN公钥非对称加密保护永久身份。
2. 失败消息的可链接性：认证失败时，AKA协议向攻击者暴露了UE拒绝认证的原因，是Mac_Failure还是Sync_Failure。这导致目标UE可以被跟踪。攻击者重放目标UE收到过的认证请求并观察收到的回复，如果回复是Mac_Failure，则不是目标UE；如果回复是Sync_Failure，则是目标UE。

攻击原理

逻辑缺陷

其中
。如果UE收到了两次如果UE收到两次相同的R、AUTN并产生两次同步失败，两次AK1*=AK2*，那么

推理过程

1. 获取信息：攻击者获取供目标UE收到的连续的Ri、AUTNi。AKA协议中UE收到这些参数是在鉴权之前、身份认证之后，因此攻击者只需知道目标UE的一个有效身份（IMSI、TMSI、SUCI）就可以得到这些参数。每一个参数计算后SQNNH都会加1，Ri、AUTNi是基于SQNHN0+i计算得到的。第一阶段，攻击者连续注入R0、AUTN0，
   后一阶段，攻击者注入R2j和AUTN2j，

2. 推理算法：对于任意
   ，
   该算法能够通过
   （设为δi）推断出
   （设为X）的n位。算法描述

3. 只要目标UE长时间待在攻击范围内或发起移动服务（触发了大量AKA鉴权会话），攻击者就可以方便地打破SQN保密性。攻击者也可以不获取参数，而是让UE接入合法SN并接收参数完成AKA鉴权过程，攻击者只需要被动地窃听交换的消息，得到参数，并计算成功鉴权的次数，但是攻击者仍需要重放R0、AUTN0和R2j和AUTN2j。

用户活动监视攻击的攻击过程

1. 前期准备：需要得到每次成功鉴权后SQN增加的值，本文测试的所有运营商SQN都加1.需要得到受害者活动产生的AKA会话数量。需要通过分析重复附着过程中的信令消息得到鉴权频率，本文测试的所有运营商都在每一次拨出电话和发送SMS短信时进行一次鉴权。通过检查信令消息，也可以推断出不同运营商采用的策略。
2. 攻击场景：（1）监视大使馆官员、记者或任何重要目标。假设攻击者有一台伪基站设备，他就可以获得官员的所有活动信息，不仅是在大使馆内的，也包括在家、在外旅行的，可以得知手机是否用作私用。（2）定向广告。商家使用伪基站，得到用户的购买记录。
3. 软硬件准备：笔记本，智能手机（基于安卓的，华为和Asus，因为可以使用AT命令接触基带从而自动存储信令）USQP B210，ACS ACR38（具有PC / SC 功能的智能卡读取器）以及商用USIM卡。使用srsUE，配置受害者UE的IMSI，发起接入网络过程，获得鉴权参数。有一个网络识别出USRP是虚假的UE，但是可以使用智能手机配可编程USIM卡（使用pySIM来编程白卡，白卡是sysmoUSIM）来获取手机参数。使用SACT得到信令消息。使用OpenLTE搭建4G网络，嗅探空中接口的信令消息，伪装成真实运营商的基站，引诱UE通过4G重选择过程接入基站，之后伪基站可以注入消息、窃听答复消息。
4. 攻击结果：经过测试，只要攻击者能得到受害者UE的IMSI（或临时身份、加密的身份）就可以得到攻击需要的鉴权参数。接下来使用伪基站，攻击站可以将部分参数注入消息，存储回复的AUTS。测试中经过24次注入收集了12个AUTS，推理出SQN的10个比特，通过更多的伪基站可以得到获取更多鉴权参数，得到更多SQN比特。
5. 漏洞说明：（1）来源于协议标准，不依赖具体实现。存在于USIM卡上，不是基带操作系统。（2）以前的研究建议使用USRP B210和OpenLTE的伪基站作用范围在50-100m，本文的方法将范围扩大到2km。（3）该攻击无法被OS检测出来，因为AKA协议在USIM上实现。
6. 衍生出定位攻击：即使身份泄露和基于认证失败原因泄露的可追踪两个漏洞被修复，攻击者也可以利用我们攻击的变体发起定位攻击。（1）如果攻击者得到了目标UE0的CONC0,以及未知UE的CONC，就可以通过
   检查推断出未知UE是不是UE0。如果二者不匹配，该值=
   ，48比特看起来比较随机的值。如果二者匹配，该值=
   ，是一个很小的值。（2）如果可以得到目标 UE的一些关键比特，主动攻击者将能够通过他能重复得到的SQN值，以一定的概率跟踪此UE。

对策

1. 对称加密SQNUE
2. .形式化验证：之前的工作都没有检查出来我们的攻击，因为形式化验证对协议抽象太多，没有建模重同步过程。可以使用的工具只有两种ProVerif和TAMARIN。本文建立了一个符号模型，采用TAMARIN，考虑重同步过程，使用新特性建模异或运算。没有分析SQN加密性，分析了
   的加密性。得出结论目前的形式化验证并不能提供足够的精度验证AKA协议隐私相关的属性。