[論文レビュー] BLURtooth: Exploiting Cross-Transport Key Derivation in Bluetooth Classic and Bluetooth Low Energy

Daniele Antonioli, Nils Ole Tippenhauer+2 more|arXiv (Cornell University)|Sep 24, 2020

Bluetooth and Wireless Communication Technologies被引用数 10

ひとこと要約

本論文では、Bluetoothにおけるクロストランスポート・キー導出（CTKD）の包括的分析であるBLURtoothを提示する。CTKDに起因する4つの深刻なクロストランスポート脆弱性を特定し、BluetoothクラシックとBLEデバイス間で、なりすまし、中間者攻撃、不正なセッション確立を可能にする、標準準拠の攻撃を実現した。攻撃はセキュリティモードやペアリング手法にかかわらず有効であり、低コストな実装により14台のデバイス（16種類のBluetoothチップセット）で検証された。

ABSTRACT

The Bluetooth standard specifies two transports: Bluetooth Classic (BT) for high-throughput wireless services and Bluetooth Low Energy (BLE) for very low-power scenarios. BT and BLE have dedicated pairing protocols and devices have to pair over BT and BLE to use both securely. In 2014, the Bluetooth standard (v4.2) addressed this usability issue by introducing Cross-Transport Key Derivation (CTKD). CTKD allows establishing BT and BLE pairing keys just by pairing over one of the two transports. While CTKD crosses the security boundary between BT and BLE, little is known about the internals of CTKD and its security implications. In this work, we present the first complete description of CTKD obtained by merging the scattered information from the Bluetooth standard with the results from our reverse-engineering experiments. Then, we perform a security evaluation of CTKD and uncover four cross-transport issues in its specification. We leverage these issues to design four standard-compliant attacks on CTKD enabling new ways to exploit Bluetooth (e.g., exploiting BT and BLE by targeting only one of the two). Our attacks work even if the strongest security mechanism for BT and BLE are in place, including Numeric Comparison and Secure Connections. They allow to impersonate, man-in-the-middle, and establish unintended sessions with arbitrary devices. We refer to our attacks as BLUR attacks, as they blur the security boundary between BT and BLE. We provide a low-cost implementation of the BLUR attacks and we successfully evaluate them on 14 devices with 16 unique Bluetooth chips from popular vendors. We discuss the attacks' root causes and present effective countermeasures to fix them. We disclosed our findings and countermeasures to the Bluetooth SIG in May 2020 (CVE-2020-15802), and we reported additional unmitigated issues in May 2021.

研究の動機と目的

• BluetoothクラシックとBLEにおけるCTKDプロトコルの逆解析を行い、標準仕様に不完全に記載されていることの解明。
• CTKDにおけるクロストランスポートセキュリティ問題（CTIs）の特定と分析。これにより、BTとBLEのセキュリティ境界の分離が損なわれる。
• なりすまし、MITM、不正なセッション確立を可能にする、4つの標準準拠で持続可能な攻撃（BLUR攻撃）の設計および実装。
• これらの攻撃が、複数のBluetoothチップセットおよびバージョンを対象とした実際のデバイスにおいて、実現可能で影響が大きいことを検証。
• 特定された脆弱性を是正するプロトコルレベルの対策を提案し、実験的に検証。

提案手法

• 複数のBluetoothチップセット（Broadcom、CSR、Cypress、Intel、Qualcomm）を搭載した実際のデバイスからのパケットトレースを分析し、CTKDの挙動を逆解析。
• ペアリングセッション中のプロトコル挙動とBluetooth標準仕様を照合することで、CTKDのキー導出プロセスをマッピング。
• BTとBLEのキーがCTKD経由でどのように操作可能かを評価するためのクロストランスポート攻撃者モデルを策定。特に、キーの上書きとロールの非対称性に注目。
• 4つの異なるCTI（キー上書き、ロール非対称性、キー配布の欠陥、関連付け方法の回避）を悪用する、4つの標準準拠の攻撃（BLUR攻撃）を設計。
• 市販のハードウェア（例：開発ボード）とオープンソースのBluetoothツール（例：BlueZ）を用いて、低コストの攻撃フレームワークを実装。これにより、実世界での実現可能性を示した。
• 14台のデバイス（16種類の独自Bluetoothチップセット）を対象に攻撃を評価。Bluetooth 4.1から5.2までをカバーし、すべてのセキュリティモード（例：セキュア・コネクション、数値比較）でテスト。

実験結果

リサーチクエスチョン

• RQ1 Bluetooth標準仕様に不完全に記載されているにもかかわらず、CTKDの内部メカニズムは実際にどのように動作しているのか？
• RQ2 CTKDはBluetoothクラシックとBLE間のセキュリティ境界をどのように損なうのか。その結果、どのようなクロストランスポート脆弱性が生じるのか？
• RQ3 攻撃者がペアリング時に存在しなくても、持続的かつ標準準拠の攻撃を実行できるか？
• RQ4 CTKDの欠陥の根本的原因は何か。また、それらがどのようにキーの上書きやトランスポート間のなりすましを可能にするのか？
• RQ5 効果的で、プロトコルレベルの対策を設計し、実験的に検証可能か？

主な発見

• CTKDに4つの深刻なクロストランスポート問題（CTIs）を特定：キー上書き、ロール非対称性、不適切なキー配布、関連付け方法の回避。
• BLUR攻撃は、攻撃者がペアリング時に存在しなくても実行可能な、最初の標準準拠で持続可能な攻撃であり、BTとBLE間で長期間にわたるなりすましやMITM攻撃を可能にする。
• セキュリティモード（例：セキュア・コネクション）やペアリング手法（例：数値比較）にかかわらず、攻撃は有効であり、最も強固なセキュリティ構成下でも成立する。
• 14台のデバイス（主要ベンダー製、Bluetooth 4.1～5.2）を対象に、16種類の独自Bluetoothチップセットを用いて攻撃を成功裏に実証。
• Bluetooth SIGは当初、Bluetooth 5.1以降は脆弱でないと主張したが、著者らの追加分析により、5.1および5.2デバイスでも依然として脆弱性が確認された。
• プロトコルレベルの対策として、キー上書きの無効化を実験的に検証。Linuxラップトップで実装され、最も深刻な脆弱性の緩和に有効であることが立証された。