RadioGuard: Android向けゼロトラスト携帯電話防御サブサービス

RadioGuard は、オープンソースで本番環境に対応した Android セキュリティアプリケーション兼バックグラウンドサブサービスです。不正な携帯基地局（IMSIキャッチャー / セルサイトシミュレータ / SMSブラスター）を能動的に検出し、悪意ある 2G/4G 携帯通信操作を識別し、信頼できない携帯回線上にあるモバイルデバイスを保護するために暗号学的な安全ルーティング隔離を展開します。

脅威モデルと RadioGuard が存在する理由
コアアーキテクチャとコンポーネント
主な機能
メモリ安全性とバッファオーバーフローの保証
敵対的ストレステストと脆弱性の堅牢化
改ざん防止とサブプロセスハイジャック保護
ユーザーインターフェースとダッシュボードレイアウト
自動検証とテストスイート
ソースからのビルド

脅威モデルと RadioGuard が存在する理由

携帯電話ネットワーク（2G、3G、4G LTE）は根本的なプロトコルの弱点を抱えています：

認証前の識別子漏洩: 相互認証が確立される前に、端末は生の平文で永続的な IMSI および IMEI 識別子を公開してしまいます（3GPP TS 24.008 / TS 24.301）。
一方向の 2G 認証: GSM 基地局は電話機に対して自身を認証することが一切なく、偽の基地局がヌル暗号（A5/0）を強制したり、A5/1 暗号をリアルタイムで解読したりすることを可能にします。
4G LTE ユーザープレーン完全性の欠陥（aLTEr 攻撃 / CVE-2018-18544）: 4G の制御シグナリングには完全性チェックがありますが、ユーザープレーンの IP パケットには完全性保護が欠如しており、DNS ルックアップに対する能動的なビット反転攻撃を可能にします。
SMS ブラスター: ポータブル SDR が高出力の 2G 信号を発信し、通信事業者を介さずにフィッシングテキストを直接電話機にプッシュします。

RadioGuard の哲学: 携帯回線を信頼できないパブリックネットワークのように扱う（ゼロトラスト無線）。基地局が正当であることを期待するのではなく、電話機が自律的に携帯テレメトリを監視し、認証された暗号トンネル内にトラフィックをカプセル化します。

コアアーキテクチャとコンポーネント

┌─────────────────────────────────────────────────────────────────────────────┐
│                       RadioGuard Architecture Topology                      │
├─────────────────────────────────────────────────────────────────────────────┤
│  [ UI Layer (Jetpack Compose) ]                                             │
│    • DashboardScreen: Real-time threat gauge, active telemetry, controls    │
│    • Device Integrity Banner: Displays kernel/root compromise warnings      │
│    • Forensic Incident Exporter: Generates JSON evidence dumps              │
├─────────────────────────────────────────────────────────────────────────────┤
│  [ Core Service Layer ]                                                     │
│    • RadioGuardService: Foreground sentry monitoring TelephonyCallback      │
│    • Telemetry Liveness Watchdog: Polls modem every 5s to defeat RIL freeze │
│    • Emergency 911/112 Fail-Safe: Auto-suspends killswitch during calls     │
│    • SafeTunnelVpnService: Native VPN killswitch (TunnelCrack hardened)     │
│    • ShizukuRadioBridge: Privileged non-root band locker & airplane pulse   │
├─────────────────────────────────────────────────────────────────────────────┤
│  [ Analytical Engine ]                                                      │
│    • AnomalyEngine: Normalized Bayesian multi-factor anomaly scoring        │
│    • Macro-Cell Shadow Clone Detector: Step-gradient Delta-RSRP tracking    │
│    • Hysteresis Buffer: 2-sample window filters Carrier Aggregation flits   │
│    • SmsFilterHelper: PDU inspector catching Type-0 Silent SMS pings        │
├─────────────────────────────────────────────────────────────────────────────┤
│  [ Storage & Integrity Layer ]                                              │
│    • TowerDatabase (Room SQLite): Local OpenCelliD / BeaconDB baseline      │
│    • Circular Storage Pruning: Caps incident log to 1,000 to prevent DoS   │
│    • AppIntegrityValidator: Runtime SHA-256 APK signing cert verification   │
│    • RuntimeAntiHijackGuard: Anti-ptrace & /proc/self/maps hook scanner     │
│    • DeviceIntegritySentry: Hardware TEE, SELinux, and rootkit auditor      │
└─────────────────────────────────────────────────────────────────────────────┘

主な機能

MimicHunter / RadioFingerprint 検出エンジン:
- 物理ベースのタイミングアドバンス（TA）対 RSRP パスロス検証: 観測された RSRP を自由空間伝搬モデルに対して検証します（(TA \ge 10) かつ (RSRP \ge -55\text{ dBm}) は、遠くのマクロ基地局を装った近接ポータブル IMSI キャッチャーに対する即時フラグをトリガーします）。
- 極端な隣接 RF 支配異常: 隣接マクロセルを不自然に抑圧または圧倒する（$> 35\text{ dB}$）サービングセルにフラグを立てます。これはセル再選択を強制するセルサイトシミュレータの典型的な指紋です。
- トラッキングエリアコード（TAC）ホッピングセントリー: デバイスが物理的に静止している（$< 350\text{ m}$）間に急速な LAC/TAC の振動を検出し、識別子収集のブルートフォーススイープを捕捉します。
- eNodeB / セクタトポロジ境界: 3GPP セクタトポロジを検証し、異常な構成（$sectorId > 31$ または $eNodeB == 0$）にフラグを立てます。
- Wi-Fi BSSID ジオフェンス相互相関: Wi-Fi アクセスポイントのジオフェンスと携帯基地局の位置を比較し、合成ベースバンド座標（$> 15\text{ km}$ の乖離）を検出します。
- マクロセルシャドウクローン検出器: 同一セル ID 上でのステップ勾配 $\Delta RSRP$ 急増追跡（$< 4\text{s}$ で $> 25\text{ dB}$ の急増）。
- 空間的相互検証: ローカル SQLite データベースに対して基地局の識別情報を検証します。
アクティブな不正隔離ブラックリスト:
- 検証済みの不正基地局を自動的に隔離し、quarantined_cells に追加します。
- ベースバンドハンドオーバーを傍受し、デバイスが隔離されたセルシグネチャにロックオンされた際に自動 Shizuku 無線リセットをトリガーします。
地域別グラウンドトゥルースデータセット同期パック:
- US (FCC / OpenCelliD)、EU (ETSI / OpenCelliD)、ASIA (3GPP / OpenCelliD)、GLOBAL 向けのオフラインマクロ基地局ベースラインパックを暗号化されたローカル SQLite ストレージに高速同期します。
地理空間携帯レーダー＆ベクター表示:
- サービング基地局の距離ベクター、隣接ブリップトポロジ、RF 支配マージン、リアルタイムスイープステータスを表示するインタラクティブなハイテクレーダーインターフェース。
安全ルーティング隔離＆キルスイッチ:
- OS 強制のキルスイッチとして setBlocking(true) を備えた Android ネイティブの VpnService を採用。
- デュアル /1 ルート分割: ルートを 0.0.0.0/1 と 128.0.0.0/1 に分割することで TunnelCrack (CVE-2023-36672 / CVE-2023-35838) を無効化し、悪意あるローカルサブネットルーティングリダイレクトを上書きします。
- ゼロドメインレース: ハードコードされた IP リテラル（9.9.9.9、1.1.1.1）と SPKI 証明書ピニングを使用し、トンネル確立前の aLTEr DNS ハイジャックを防止します。
適応型バッテリーデューティサイクルウォッチドッグ:
- テレメトリポーリングを 30 秒（静止時かつ安全な場合）から 3 秒（移動中または高い RF 異常に直面している場合）の間で動的に変調し、ゼロトラスト保護を維持しながらバッテリー寿命を節約します。
緊急 911/112 フェイルセーフ:
- TelephonyCallback.CallStateListener をフックします。
- 緊急通話中は VPN キルスイッチを即座に停止し、すべての無線バンドを復元します。
暗号学的 HMAC-SHA256 STIX 2.1 フォレンジック証拠:
- 法的、FCC、またはサイバーセキュリティフォレンジック監査向けの HMAC-SHA256 デジタル署名保管チェーンを備えた標準化 STIX 2.1 脅威インジケーター JSON エクスポート。
SMS ブラスター＆サイレント SMS 保護:
- 受信 SMS PDU を Type-0（サイレント SMS / TP-PID 0x40） ピングおよび 2G ショートコードスパムについて検査します。
非 root 無線ブリッジ（Shizuku 経由）:
- root 権限を必要とせずに、不正セルロックを解除し、機内モードをプログラムで切り替えます。

メモリ安全性とバッファオーバーフローの保証

アプリケーション層のメモリ安全性（Kotlin / ART）

RadioGuard は Android Runtime (ART) 内で動作します：
- ポインタ破損ゼロ: スタックおよびヒープのバッファオーバーフロー、use-after-free、フォーマット文字列脆弱性は、言語設計により数学的に排除されています。
- 配列境界の強制: すべてのパケットバッファ（ByteBuffer.allocate(32768)）および PDU バイト配列は厳密に境界チェックされます。オーバーフローはメモリを破損するのではなく、管理された IndexOutOfBoundsException をスローします。
- ストレージ枯渇 DoS 保護: ローカルインシデントストレージは、最新 1,000 件のレコードを保持する自動循環バッファ（pruneOldIncidents）を使用して上限が設定され、悪意ある基地局がデバイスのフラッシュメモリを満杯にすることを防ぎます。

携帯ベースバンドのバッファオーバーフロー（およびその緩和策）

携帯バッファオーバーフローのほとんどは、モデム DSP のプロプライエタリな C/C++ ファームウェア（例：Qualcomm、MediaTek、Samsung Shannon ベースバンドの ASN.1 パーサーバグ）で発生します：
- 2G を無効化すると脆弱なパーサーの約 80% を排除: 1990 年代に書かれた古い GSM スタックコードは、現代の ASLR やスタックカナリアを欠いています。2G を無効化すると、この攻撃対象領域全体がオフラインになります。
- モデム IOMMU 分離: 現代の Android ハードウェアでは、携帯モデムはハードウェア IOMMU を介してアプリケーションプロセッサ（AP）から物理的に分離されています。
- テレメトリライブネスウォッチドッグ: 攻撃者がベースバンドをファジングしてサイレント RIL クラッシュを引き起こそうとした場合、RadioGuard のライブネスウォッチドッグがコールバックの停止を検出し、ユーザーに警告します。

敵対的ストレステストと脆弱性の堅牢化

RadioGuard は公開されたバイパス手法に対して堅牢化されています：

radioguard

人気