Изследователи от фондация i2CAT, Университета в Мурсия и NEC Laboratories Europe са създали нискобюджетен инструмент, наречен 5G-Shark, който примамва целеви телефон към фалшива базова станция и го запитва, след което са го използвали за одит на комерсиални 5G мрежи.
Ето как инструментът получава своята предимствена позиция. Когато телефонът ви е в режим на изчакване, той самостоятелно решава на коя клетка да се свърже, следвайки рутина, наречена повторен избор на клетка (cell reselection). Тези решения се основават на излъчвани съобщения, които телефонът не удостоверява (автентифицира), така че фалшива клетка, която рекламира висок приоритет и добър сигнал, може да прехвърли телефона към себе си. 5G-Shark прави точно това. Той не се нуждае от заглушаване или повредени пакети, работи с мрежов софтуер с отворен код и евтин хардуер за софтуерно дефинирано радио (SDR) и остава невидим за потребителя, който не вижда предупреждение и не предприема никакви действия.
Един от операторите е внедрил защитата правилно. Неговите временни идентификатори са се променяли с около 29 процента от диапазона всеки път и само 7 процента от последователните регистрации са останали свързани, което прави невъзможно проследяването на база стойности. Ако трябва да направите един основен извод от данните, това е разликата: един и същ стандарт е довел до мрежа, която може да бъде проследявана, и мрежа, която не може, в зависимост от избора, направен от оператора.
Това разделение е основната идея на научната разработка. Авторите класифицират всяка уязвимост в една от две категории. Някои уязвимости съществуват дори при пълно съответствие със спецификацията: даден телефон трябва да представи идентификация при поискване и трябва да обработи съобщение за отказ без автентификация, преди да съществува какъвто и да е контекст за сигурност. Това са характеристики на самия дизайн и нито един оператор не може да ги премахне чрез конфигурация. Други са избор на конфигурация, като например предвидими временни идентификатори, и те трябва да бъдат коригирани от операторите и доставчиците.
Съобщенията за отказ водят до по-сериозни проблеми. Чрез изпращане на модифицирано съобщение Registration Reject, 5G-Shark е прехвърлил Samsung Galaxy S23 към 3G състояние с ограничени услуги и без пренос на данни, а при други кодове на причини — в безкраен цикъл от повторни опити или замръзнал модем, който изисква ръчно рестартиране. Тези поведения се проявяват по един и същ начин и при двата тествани самостоятелни (standalone) оператора, което показва проблем в фърмуера на модема, а не в политиката на оператора.
Заслужава да се имат предвид и няколко ограничения. Работата е предварителна публикация (preprint), изпратена към IEEE, и все още не е преминала през партньорска проверка (peer review). Екипът е тествал собствени телефони в реални комерсиални мрежи, а не на чужди хора, и е съобщил имената на операторите само като A, B и C. Атаката изисква целта да бъде наблизо и в режим на изчакване, като обхваща малък набор от седем устройства.