[論文レビュー] AIR-FI: Generating Covert Wi-Fi Signals from Air-Gapped Computers

Mordechai Guri|arXiv (Cornell University)|Dec 12, 2020

Internet Traffic Analysis and Secure E-voting参考文献 41被引用数 4

ひとこと要約

この論文は、空気ギャップのコンピュータからDDR SDRAMメモリバスにおける電磁信号の変調を用いて2.4 GHz Wi-Fi帯域でデータを漏洩させる、コvertチャネルであるAIR-FIを紹介する。攻撃には被害者のシステムにWi-Fiハードウェアが不要であり、標準的なメモリ操作を活用しており、近隣のWi-Fi対応デバイスがデータを受信・中継できる。通信速度は数メートルの距離で1〜100 bit/secを達成する。

ABSTRACT

In this paper, we show that attackers can exfiltrate data from air-gapped computers via Wi-Fi signals. Malware in a compromised air-gapped computer can generate signals in the Wi-Fi frequency bands. The signals are generated through the memory buses - no special hardware is required. Sensitive data can be modulated and secretly exfiltrated on top of the signals. We show that nearby Wi-Fi capable devices (e.g., smartphones, laptops, IoT devices) can intercept these signals, decode them, and send them to the attacker over the Internet. To extract the signals, we utilize the physical layer information exposed by the Wi-Fi chips. We implement the transmitter and receiver and discuss design considerations and implementation details. We evaluate this covert channel in terms of bandwidth and distance and present a set of countermeasures. Our evaluation shows that data can be exfiltrated from air-gapped computers to nearby Wi-Fi receivers located a distance of several meters away.

研究の動機と目的

• 空気ギャップのコンピュータがDDR SDRAMメモリバスからの電磁放射を利用してデータを漏洩させられることを示すこと。
• これらの放射が2.4 GHz Wi-Fi周波数帯域でデータを搬送するように変調可能であることを示すこと。
• 近隣のWi-Fi対応デバイス（例：スマートフォン、IoTデバイス）が、事前の侵害なしに変調信号を受信・復号できることを示すこと。
• 帯域幅、送信距離、実用的導入可能性の観点から、このコvertチャネルの実現可能性を評価すること。
• 空気ギャップ環境におけるこうしたサイドチャネル漏洩技術に対する対策を提案すること。

提案手法

• 空気ギャップのシステムに仕込んだマルウェアが、DDR SDRAMの制御されたメモリアクセスパターンを実行し、内在する信号高調波を活用して2.4 GHzで電磁放射を生成する。
• バイナリデータは、メモリアクセスのタイミングとパターンにベースバンド変調技術を適用することで符号化され、検出可能なWi-Fiに似た信号が生成される。
• 受信デバイスのWi-Fiチップが露出する物理層（PHY）情報を利用して、変調信号を復号する。
• 近隣のWi-Fiデバイス（例：スマートフォン）に搭載された受信アプリケーションが、標準的なWi-Fi受信メカニズムを用いて信号をキャプチャ・復号する。
• CPU／メモリ集約的作業負荷による信号ジャミングを用いて送信を妨害し、メモリアクセス監視による実行時検出を検討する。
• 対策として、フェライトシールド（ファラデーケージ）、Wi-Fiチャネル監視、低レベルのメモリ監視を用いた実行時異常検出が挙げられる。

実験結果

リサーチクエスチョン

• RQ1 空気ギャップのコンピュータにおけるDDR SDRAMメモリバスが、特別なハードウェアを用いずに2.4 GHz Wi-Fi帯域で電磁放射を生成できるか？
• RQ2 標準的なメモリ操作を用いて、バイナリデータを信頼性高く変調・送信できるか？
• RQ3 近隣のWi-Fi対応デバイス（例：スマートフォン、IoTデバイス）が、事前の侵害なしに変調信号を受信・復号できるか？
• RQ4 実世界の条件下で、このようなコvertチャネルの有効な送信距離とデータレートはどの程度か？
• RQ5 この種のサイドチャネル漏洩を効果的に検出または遮断できる実用的対策は何か？

主な発見

• AIR-FI攻撃は、Wi-Fiハードウェアを一切使用せず、標準的なDDR SDRAMメモリバスから検出可能な2.4 GHz電磁放射を生成することに成功した。
• データ漏洩速度は、受信デバイスの種別やモードに応じて1〜100 bit/secの範囲で達成された。
• このコvertチャネルは、空気ギャップシステムから数メートルの距離でも効果的に動作した。
• マルウェアが仮想マシン内でも実行されている場合でも攻撃が成立し、仮想化による隔離に耐性があることが示された。
• CPUまたはメモリ集約的作業負荷による信号ジャミングにより、信号対雑音比（SNR）が3.1〜4.8 dBに低下し、送信の信頼性が著しく低下した。
• フェライトシールドは信号を効果的に遮断できたが、コストと運用上の制約のため、大規模な展開には現実的でないとされた。