[論文レビュー] Adding Salt to Pepper: A Structured Security Assessment over a Humanoid Robot

Alberto Giaretta, Michele De Donno+1 more|arXiv (Cornell University)|May 10, 2018

Advanced Malware Detection Techniques参考文献 11被引用数 6

ひとこと要約

本論文は、商用ヒューマノイドロボットPepperの構造的セキュリティ評価を提示し、自動および手動のペネトレーションテストを通じて深刻な脆弱性を特定した。研究では、攻撃者が認証なしに資格情報を盗み、特権を昇格させ、機密データにアクセスし、リモートでロボットを制御できることを示した。これは、人的安全とプライバシーに深刻な脅威をもたらす。

ABSTRACT

The rise of connectivity, digitalization, robotics, and artificial intelligence (AI) is rapidly changing our society and shaping its future development. During this technological and societal revolution, security has been persistently neglected, yet a hacked robot can act as an insider threat in organizations, industries, public spaces, and private homes. In this paper, we perform a structured security assessment of Pepper, a commercial humanoid robot. Our analysis, composed by an automated and a manual part, points out a relevant number of security flaws that can be used to take over and command the robot. Furthermore, we suggest how these issues could be fixed, thus, avoided in the future. The very final aim of this work is to push the rise of the security level of IoT products before they are sold on the public market.

研究の動機と目的

• Pepper、商用で入手可能なヒューマノイドロボットの現実世界での展開環境におけるセキュリティ体制を調査すること。
• 特に認証、アクセス制御、通信プロトコルにおけるアーキテクチャ上の深刻なセキュリティ欠陥を特定・分析すること。
• Pepperの未修復の脆弱性が、リモートでの乗っ取り、データ漏洩、物理的操作を可能にすることを実証すること。
• 将来のIoTおよびロボットデバイスにおいて同様の脆弱性を防ぐために、製品開発ライフサイクルの初期段階にセキュリティ評価を統合するよう提言すること。

提案手法

• Pepper上のオープンサービスおよび誤設定を検出するために、ネットワークスキャンおよびプロトコル分析を用いた自動セキュリティ評価を実施した。
• 特定された脆弱性を悪用するための手動ペネトレーションテストフェーズを実施し、資格情報の盗み取りおよび特権昇格を実現した。
• リモートコマンドに対する認証メカニズムの欠如を特定するために、Pepperのアプリケーションプログラミングインターフェース（API）を分析した。
• ユーザー資格情報、ファイルアップロード、証明書管理の取り扱いを評価し、潜在的な攻撃ベクトルを特定した。
• 未暗号化の通信チャネルを通じて、マンインザミドル（MitM）攻撃およびリモートコード実行の可能性をテストした。
• 入力検証、レート制限、安全な認証などの確立されたセキュリティベストプラクティスに基づいて、緩和策を提案した。

実験結果

リサーチクエスチョン

• RQ1 Pepperヒューマノイドロボットのネットワークおよびアプリケーションインターフェースに、どのような深刻なセキュリティ脆弱性が存在するか？
• RQ2 認証なしの攻撃者が、移動機能やセンサーへのアクセスをどれほど遠隔で制御可能か？
• RQ3 Pepperのソフトウェアスタックにおける弱い認証メカニズムと不十分な入力検証が、リモートでの乗っ取りにどのように寄与しているか？
• RQ4 これらの脆弱性が、プライバシー、データ整合性、物理的安心性の観点で、現実世界に及ぼす影響は何か？
• RQ5 IoTおよびロボットデバイスの設計に、どのようにしてセキュリティを体系的に統合できるか？

主な発見

• 研究者らは、未保護のネットワークサービスを通じてPepperからユーザー資格情報を盗み取り、深刻な認証バイパスを実証した。
• SAM（セキュリティアクセスマネージャー）アプリケーションの欠陥を悪用することで、特権昇格が可能となり、完全なシステムアクセスが得られた。
• 認証なしにPepperの移動およびセンサー制御システムをリモートで制御可能であり、ロボットの物理的操作が可能となった。
• ロボットのAPIは、認証なしの任意のソースからのTCPパケットを受け入れており、アクセス制御における根本的な設計欠陥を示している。
• 弱いアクセス制限および不適切な入力検証のため、ユーザー情報やログなどの機密データを漏洩させることができた。
• 本研究は、Pepperのセキュリティモデルが、セキュアな商用製品ではなく研究用プロトタイプとして扱われていることを確認した。その結果、体系的な脆弱性が生じた。