[論文レビュー] Attacks on Fitness Trackers Revisited: A Case-Study of Unfit Firmware Security

Jakob Rieck|arXiv (Cornell University)|Apr 12, 2016

User Authentication and Security Systems参考文献 13被引用数 24

ひとこと要約

本論文は、弱いファームウェア検証を悪用して、永続的かつ検出不能な改ざんを可能にする、WithingsのActivitéフィットネストラッカーを標的とした新規のファームウェア改ざん攻撃を提示する。著者たちは、アップデートプロセスの逆解析と悪意あるファームウェアの埋め込みにより、データの整合性と真正性を損なう攻撃の実現を示した。その影響は、フォレンジックや保険利用の文脈において重大である。

ABSTRACT

Fitness trackers - wearables that continuously record a wearer's step count and related activity data - are quickly gaining in popularity. Apart from being useful for individuals seeking a more healthy lifestyle, their data is also being used in court and by insurance companies to adjust premiums. For these use cases, it is essential to ensure authenticity and integrity of data. Here we demonstrate a flaw in the way firmware for Withings' Activité is verified, allowing an adversary to compromise the tracker itself. This type of attack has so far not been applied to fitness trackers. Vendors have started mitigating previous attacks, which manipulated data by interfering with wireless channels, or by physically moving the tracker to fool sensors. Hardware similarities amongst different trackers suggest findings can be transferred to other tracker as well.

研究の動機と目的

• フィットネストラッカーのファームウェアアップデートメカニズムのセキュリティ、特に整合性と真正性の観点を調査すること。
• WithingsのActivitéシリーズに対する実用的なファームウェア改ざん攻撃を示し、弱い検証手順を悪用すること。
• 保険や法廷手続きにおいてフィットネスデータが証拠として使用される高リスクな文脈におけるこうした攻撃のリスクを強調すること。
• ウェアラブル機器間のハードウェア類似性を踏まえ、調査結果の他のデバイスへの適用可能性を示すこと。
• これまでネットワークベースの攻撃に比べて未だ十分に調査が進んでいなかった、IoTおよびウェアラブルシステムにおけるファームウェアレベルの脅威の理解を深めること。

提案手法

• IDA Proなどのディアセンブラと、mitmproxyのようなデバッグツールを用いて、Withings Activitéのファームウェアアップデートプロセスの逆解析を実施した。
• バイナリアップデートプロトコルを分析し、ファームウェアイメージに対する暗号的署名検証が存在しないことを同定した。
• 正当なアップデートを模倣するが、デバイス上で任意のコードを実行する悪意あるファームウェアイメージを構築した。
• 物理デバイスに修正済みファームウェアをフラッシュし、恒久的かつ制御可能であることを確認することで、攻撃の妥当性を検証した。
• ハードウェア分析とプロトコルインターセプトを用いて、攻撃表面を確認し、既存のセキュリティ制御を回避できることを裏付けた。
• Costinらの先行研究（例：Costin et al.）を参考に、バイナリ相関と脆弱性の拡散に焦点を当てた手法を採用した。

実験結果

リサーチクエスチョン

• RQ1 WithingsのActivitéフィットネストラッカーにおけるファームウェアアップデートメカニズムは、真正性と整合性をどのように保証しているか？
• RQ2 攻撃者が悪意あるファームウェアをインジェクションできるような、ファームウェア検証プロセスにおける脆弱性は何か？
• RQ3 実世界の展開環境において、ファームウェアレベルの改ざんがどの程度持続可能で、検出を回避できるか？
• RQ4 Withingsのファームウェアにおけるセキュリティ欠陥は、他のウェアラブルデバイスやIoTシステムと比較して、どのような点で差異を示すか？
• RQ5 フィットネスデータが法廷や保険の文脈で証拠として使用される場合、こうした攻撃が実世界に及える影響は何か？

主な発見

• WithingsのActivitéトラッカーのファームウェアアップデートプロセスには暗号的検証がなく、検証なしに任意のファームウェアをフラッシュ可能である。
• 攻撃者は物理デバイスに悪意あるファームウェアを正常にインジェクションし、恒久的な改ざんを達成できる。
• 攻撃は標準的な監視ツールでは検出できず、初期の改ざん後は物理的アクセスを必要としない。
• 同じ脆弱性パターンは、共通のハードウェアおよびファームウェアアーキテクチャを共有する他のWithingsデバイスや類似ウェアラブル機器にも同様に存在する可能性が高い。
• 攻撃は、すでに裁判所や保険会社で使用されているフィットネスデータの信頼性を損なうものであり、重大な整合性上の懸念を呈する。
• これまでのネットワークベースやセンサーベースの攻撃とは異なり、未だ未利用の攻撃表面を特定した。