[論文レビュー] Crushing the Wave -- new Z-Wave vulnerabilities exposed

Noureddine Boucif, Frederik Golchert+3 more|arXiv (Cornell University)|Jan 23, 2020

Advanced Malware Detection Techniques参考文献 1被引用数 9

ひとこと要約

本論文は、Z-Waveプロトコルに対する二つの新しいサービス拒否（DoS）攻撃を明らかにした。これらの攻撃は、暗号化されていないコマンド「Nonce Get/S2 Nonce Get」と「Find Nodes In Range」を悪用し、偽装された悪意あるパケットを送信することでZ-Waveゲートウェイを過負荷にし、スマートホームネットワーク全体を無効化する。攻撃は手口が巧妙で効率的であり、信号強度ジャミングによる検出が不可能である。なぜなら、攻撃パケットは正当なゲートウェイの動作を模倣しているためである。

ABSTRACT

This paper describes two denial of service attacks against the Z-Wave protocol and their effects on smart home gateways. Both utilize modified unencrypted packets, which are used in the inclusion phase and during normal operation. These are the commands Nonce Get/S2 Nonce Get and Find Nodes In Range. This paper shows how both can be manipulated and used to block a Z-Wave gateway's communication processing which in turn disables the whole Z-Wave network connected to it

研究の動機と目的

• Z-Waveプロトコルに存在する、リモートでのサービス拒否攻撃を可能にする未発見の脆弱性を特定・利用すること。
• デバイスの登録時および通常運用時のZ-Waveゲートウェイにおける暗号化されていないコマンドの処理に起因するセキュリティ上の欠陥を分析すること。
• 個々のノードではなく、中央のゲートウェイを標的とすることで、スマートホームネットワーク全体を混乱に陥れる攻撃の仕組みを実証すること。
• ソフトウェア定義無線（SDR）およびオープンソースツールを用いて、これらの攻撃の実行可能性と巧妙さを評価すること。
• ベンダーおよび研究コミュニティに脆弱性を公開することで、プロトコルの強化に貢献すること。

提案手法

• HackRF One SDR変調器を用いてZ-Waveの無線信号を送受信した。
• GNU RadioおよびScapy-radio Pythonモジュールを活用して、Z-Waveパケットのデコードおよび偽装を行った。
• 攻撃対象としたのは、デバイス登録時に使用される二つの暗号化されていないコマンドである：Nonce Get/S2 Nonce Get および Find Nodes In Range。
• 不正なまたは偽装されたパケットをゲートウェイに送信し、存在しないノードや自分自身のアドレスを指定したNonce Report応答を送信した。
• Find Nodes In Rangeパケットを繰り返し送信することで、ゲートウェイの過負荷を引き起こす攻撃を実行した。
• 制御された環境で攻撃をシミュレートし、ゲートウェイの挙動およびネットワークの障害影響を観察した。

実験結果

リサーチクエスチョン

• RQ1 Nonce Get や Find Nodes In Range といった暗号化されていないZ-Waveコマンドが、ゲートウェイに対するサービス拒否攻撃に悪用可能かどうか。
• RQ2 個々のノードではなくゲートウェイを標的とすることで、Z-Waveネットワーク全体をどれほど効率的に無効化できるか。
• RQ3 受信信号強度（RSSI）監視を用いた標準的なジャミング検出技術では、これらの攻撃がどの程度検出可能か。
• RQ4 なぜZ-Waveネットワークにおいてゲートウェイが重大な単一障害点となっているのか。また、これらの攻撃がその脆弱性をどのように悪用しているか。
• RQ5 これらの脆弱性がスマートホームのセキュリティおよびユーザーのプライバシーに及ぼす実用的影響は何か。

主な発見

• Routed Noncense攻撃は、わずか256個の特別に設計されたパケットでZ-Waveゲートウェイを遮断し、約20分間の停止を引き起こした。
• NOPe攻撃は、約2分ごとに1回のFind Nodes In Rangeパケットを送信することで、ゲートウェイの停止を維持する必要があった。
• 両方の攻撃は、受信信号強度（RSSI）に基づくジャミング検出では検出不可能であった。なぜなら、悪意あるパケットがゲートウェイ自体から発信されたように見えるからである。
• 攻撃によりゲートウェイはコマンド処理、イベント処理、スマートフォンアプリとの連携を停止し、Z-Waveネットワーク全体が無効化された。
• 脆弱性の原因は、Nonce ReportおよびFind Nodes In Range応答の処理において、入力検証が不十分であったことに起因しており、存在しないノードや自分自身のアドレスを指定した偽装応答が処理可能だった。
• Silicon Labsは本調査の結果を認識し、修正済みのプロトコル仕様をリリースし、実装の修正も行った。