[論文レビュー] An Analysis of Home IoT Network Traffic and Behaviour

Yousef Amar, Hamed Haddadi+4 more|arXiv (Cornell University)|Mar 14, 2018

Advanced Malware Detection Techniques参考文献 5被引用数 31

ひとこと要約

本論文は、制御された家庭用IoTテストベッドからのネットワークトラフィックを分析し、デバイスの行動を特徴づけ、プライバシーおよびセキュリティリスクを特定し、データフローのモニタリングに向けたファングプリント技術を開発する。未暗号化のDNSリクエストの広範な使用、MACアドレスのランダム化の回避、第三者APIを通じた顕著なデータ漏洩が明らかとなり、すなわち、アイドル状態のデバイスですら顕著なプライバシー侵害を伴うトラフィックパターンを生成していることが示された。

ABSTRACT

Internet-connected devices are increasingly present in our homes, and privacy breaches, data thefts, and security threats are becoming commonplace. In order to avoid these, we must first understand the behaviour of these devices. In this work, we analyse network traces from a testbed of common IoT devices, and describe general methods for fingerprinting their behavior. We then use the information and insights derived from this data to assess where privacy and security risks manifest themselves, as well as how device behavior affects bandwidth. We demonstrate simple measures that circumvent attempts at securing devices and protecting privacy.

研究の動機と目的

• 実際の状況下における一般的な家庭用IoTデバイスのネットワーク行動を理解すること。
• 規制のない、不十分なセキュリティを備えたデバイス通信に起因するプライバシーおよびセキュリティリスクを同定すること。
• ネットワークトラフィック解析を用いてIoTデバイス行動のファングプリントを生成する手法を開発すること。
• IoTデバイス運用に伴う帯域幅およびデータ漏洩の影響を評価すること。
• MACアドレスのランダム化といった基本的なプライバシー保護を回避する簡単な攻撃がどのように可能になるかを示すこと。

提案手法

• 管理スイッチのポートミラーリングを用いて、14台の一般的なIoTデバイスを含む22日間のテストベッドからネットワークトラフィックをキャプチャした。
• tcpdumpおよびBroネットワークセキュリティモニタを用いてパケットをログ記録・解析し、デバイスマッピングのためのDNSおよびDHCPログも含めた。
• MACアドレスごとにトレースを分割し、個々のデバイスの行動分析と通信パターンの特定を実施した。
• カスタムスクリプトを適用してプロトコルの抽出・解析、データ量、接続頻度、暗号化使用状況の分析を実施した。
• DNSリクエストを既知のサービス（例：AppleのHomeKit、Amazon Echo、Neatoクラウド）と照合することで、デバイス行動を推定した。
• アイドル状態でのトラフィックパターンを評価し、example.comドメインへの繰り返しリクエストなどの異常を同定した。

実験結果

リサーチクエスチョン

• RQ1 アイドル状態の一般的な家庭用IoTデバイスは、ネットワークプロトコル使用、データ量、送信頻度の観点でどのように振る舞うか？
• RQ2 IoTデバイス通信におけるプライバシー漏洩の主な要因は何か。また、それらはどのように悪用可能か？
• RQ3 受動的ネットワーク監視によるトラフィックパターンの分析によって、デバイスのファングプリントはどの程度達成可能か？
• RQ4 MACアドレスのランダム化やTLS暗号化といった標準的なセキュリティメカニズムは、追跡やデータ漏洩を防ぐためにどの程度効果を発揮しないか？
• RQ5 一般的なIoTデバイス行動に起因する帯域幅および電力消費の影響は何か？

主な発見

• Amazon Echoは、実際にはこれらのドメインと通信していないにもかかわらず、www.example.comへ69,192件のDNSリクエストを送信しており、誤設定または追跡行動の兆候であると判明した。
• iPhoneおよびiPadを含むAppleデバイスは、AppleのBonjour Sleep ProxyおよびHomeKitサービスを頻繁に使用しており、アイドル時でさえ顕著なバックグラウンドトラフィックを発生させた。
• Philips Hueブリッジには、未暗号化のAPI呼び出しを通じて不正アクセスが可能であるというセキュリティ脆弱性が存在し、スマートライトのリモート制御が可能になった。
• MACアドレスのランダム化は、一貫したDNSおよびSSLファングプリントパターンの観察により回避可能であり、セッション間でのデバイス追跡が可能となった。
• Neato Botvac掃除機は、唯一2つのAWSホスティングRESTful APIサーバーとのみ通信しており、独自のメッセージバスプロトコルを使用していた。
• Amazon Echoは、device-metrics-us.amazon.comへ4,392件のDNSリクエスト、4,4973件のNTP接続を実行しており、メトリクス収集および時刻同期のための高頻度バックグラウンドポーリングが行われていることが示された。