[論文レビュー] All Your Bulbs Are Belong to Us: Investigating the Current State of Security in Connected Lighting Systems

Philipp Morgner, Stephan Mattejat+1 more|arXiv (Cornell University)|Aug 12, 2016

Smart Grid Security and Resilience参考文献 6被引用数 37

ひとこと要約

この論文は、ZigBee Light Link (ZLL) ベースの接続型照明システムにおけるセキュリティ上の欠陥を調査し、Philips Hue、Osram Lightify、GE Link が、タッチリンク設定手順を介した新たな攻撃に対して脆弱であることを実証している。著者らは、ZLLマスターキーがなくても、30メートル以上離れた場所からもランプをリモート制御可能なペネトレーションテストフレームワークを実装しており、キーマネジメントおよびアクセス制御における根本的な設計上の欠陥を暴露している。

ABSTRACT

ZigBee Light Link (ZLL) is the low-power mesh network standard used by connected lighting systems, such as Philips Hue, Osram Lightify, and GE Link. These lighting systems are intended for residential use but also deployed in hotels, restaurants, and industrial buildings. In this paper, we investigate the current state of security in ZLL-based connected lighting systems. We extend the scope of known attacks by describing novel attack procedures to show that the ZLL standard is insecure by design. Using our penetration testing framework, we are able to take full control over all three systems mentioned above. Besides novel attack procedures, we also extend the intended wireless range of max. 2 meters for configuring a ZLL device to over 30 meters, thus making ZLL-based systems susceptible to war driving. We conclude with a discussion about the security needs of connected lighting systems and derive several lessons for Internet of Things security that can be learned from the insecure design of ZLL-based connected lighting systems.

研究の動機と目的

• ZigBee Light Link (ZLL) ベースの接続型照明システムのセキュリティ体制を分析し、特にタッチリンク設定手順に焦点を当てる。
• ZLLネットワークの機密性および整合性を損なう新たな攻撃ベクトルを特定し、実証する。
• Philips Hue、Osram Lightify、GE Link などの人気消費者向け照明システムに対するリモート攻撃の現実的実現可能性を評価する。
• ZLLマスターキーの漏洩が及ぼす影響を評価し、漏洩以前から存在していた脆弱性を特定する。
• ZLLベースのシステムにおける不十分な設計から、IoTセキュリティ全体に向けた教訓を導き出す。

提案手法

• ZLLデバイスに対する攻撃をエミュレートおよび実行可能なカスタムペネトレーションテストフレームワークの開発。
• ZLLタッチリンク設定プロトコルの逆解析により、暗号的およびプロトコルレベルの弱みを同定する。
• ソフトウェア定義無線（SDR）プラットフォームの使用により、仕様上の2〜3メートルの範囲を超えて、最大30メートル以上に無線伝送範囲を延長する。
• ZLLプロトコルに内在するフォールバックメカニズムの悪用により、不正なデバイスの参加やネットワークキーの注入が可能になる。
• ZLLマスターキーの漏洩が及ぼす影響と、マルチベンダーアプリケーションにおけるキーマネジメントへの影響を分析する。
• 物理的セキュリティ要因の評価、具体的には、改ざん防止ハードウェアの欠如と、信号強度によるアクセス制御への依存。

実験結果

リサーチクエスチョン

• RQ1 ZLLタッチリンク設定手順に、ZLLマスターキーの知識がなくてもネットワークキーを注入できる脆弱性は存在するか？
• RQ2 ZLLデバイスの無線範囲は、意図された2〜3メートルを超えてどの程度延長可能であり、リモート攻撃にどのような影響を及ぼすか？
• RQ3 ZLLマスターキーが漏洩する以前から、ZLLベースの照明システムに持続的なセキュリティ上の欠陥は存在するか？
• RQ4 ZLLプロトコルのフォールバックメカニズムは、セキュリティをどのように損ない、不正なデバイスアクセスを可能にするか？
• RQ5 ZLLの設計上の欠陥から、より広範なIoTシステムにおけるセキュリティ向上に何を学ぶことができるか？

主な発見

• 著者らは、修正済みのSDRセットアップを用いて、ZLLマスターキーがなくても、30メートル以上離れた場所からPhilips Hue、Osram Lightify、GE Linkのランプをリモート制御できることを実際に実証した。
• ZLLマスターキーの知識がなくても、新しいネットワークキーをZLLデバイスに注入できる新たな攻撃が発見され、ランプの完全な制御が可能になった。
• ランプは、数時間にわたり持続的に点滅する状態に強制され、通常のリモート制御では使用できなくなり、物理的接続を切断しないと復旧できない。
• 2015年のZLLマスターキーの漏洩によりタッチリンク手順が不正に不正な状態になったが、本論文は、漏洩以前からも追加の脆弱性が存在することを明らかにした。
• ZLL標準が共有されたNDA保護付きマスターキーに依存しているため、単一障害点となり、暗号的バインディングの欠如により、キーレイクのリスクが高まる。
• 改ざん防止ハードウェアの欠如と、信号強度によるアクセス制御への依存は、物理的およびリモート攻撃に対して極めて脆弱な状態を生じさせている。