[論文レビュー] Exfiltration of Data from Air-gapped Networks via Unmodulated LED Status Indicators

Zhengwen Zhou, Zhang, Weiming+2 more|arXiv (Cornell University)|Nov 9, 2017

Internet Traffic Analysis and Secure E-voting参考文献 12被引用数 3

ひとこと要約

本稿では、空気ギャップネットワークにおけるキーボードの変調されていないLEDステータスインジケータを用いた隠蔽的光通信チャネルを提案する。バイナリ周波数シフトキーイング（B-FSK）を用いることで、人間が感知できないデータ漏洩を実現する。この手法により、標準のIPカメラを用いて最大5.08メートルの距離で信頼性の高い、人間には見えないデータ送信が可能となり、従来のオンオフキーイング（OOK）と比較して著しく隠蔽性が向上する。

ABSTRACT

The light-emitting diode(LED) is widely used as an indicator on the information device. Early in 2002, Loughry et al studied the exfiltration of LED indicators and found the kind of LEDs unmodulated to indicate some state of the device can hardly be utilized to establish covert channels. In our paper, a novel approach is proposed to modulate this kind of LEDs. We use binary frequency shift keying(B-FSK) to replace on-off keying(OOK) in modulation. In order to verify the validity, we implement a prototype of an exfiltration malware. Our experiment show a great improvement in the imperceptibility of covert communication. It is available to leak data covertly from air-gapped networks via unmodulated LED status indicators.

研究の動機と目的

• 従来の変調LEDや目に見える点滅に依存する隠蔽チャネルには、ユーザーによる検出が可能な限界があるため、それを解消すること。
• 未変調LEDインジケータ（クラスI）を、ユーザーの疑念を引き起こさずに再利用して隠蔽通信を実現できることを示すこと。
• 標準のハードウェア（IPカメラ、キーボードLED）を活用した実用的な攻撃モデル（KLONC）の設計および実装。
• B-FSK変調により点滅の可視性を最小限に抑え、OOKと比較して検出困難性を高めることで、隠蔽性を向上させること。
• 実環境下でのさまざまな角度と距離における有効送信距離および信号品質を評価すること。

提案手法

• バイナリ周波数シフトキーイング（B-FSK）を提案し、'1'と'0'の二つの異なる点滅周波数を用いてバイナリデータを符号化することで、従来のOOKに代わって可視性を低減する。
• キーボードのLEDステータスをソフトウェアで制御することで、変調光信号を生成するマルウェアプロトタイプ（KLONC）を設計。
• 受信装置として標準のIPカメラを用い、LEDからの変調光信号をキャプチャおよび復調する。
• 理論的モデリングと実験的検証を組み合わせ、発光角度と明るさに依存する有効送信距離の上限を特定する。
• 信号強度を推定するための明るさモデルを適用：$ B = rac{1.77}{d^2} imes ext{cos}( heta) $、ここで $ d $ は距離、$ heta $ は発光角度。
• 点滅周波数と検出可能性の観点からB-FSKとOOKを比較し、B-FSKがより低い点滅値を達成し、より優れた隠蔽性を示すことを示す。

実験結果

リサーチクエスチョン

• RQ1 未変調LEDステータスインジケータ（クラスI）は、ユーザーの検出を避けて効果的に隠蔽的光チャネルを構築するために使用可能か？
• RQ2 未変調LEDにおけるB-FSK変調は、従来のOOKと比較して、データ漏洩の隠蔽性をどのように向上させるか？
• RQ3 キーボードLEDからリモートに配置されたIPカメラへの隠蔽信号の最大有効送信距離はどの程度か？
• RQ4 信号の明るさは距離と角度にどのように変化するか？また、信頼性のある検出の実用的上限は何か？
• RQ5 このようなLEDベースの隠蔽チャネルに対する最も効果的な手順的および技術的対策は何か？

主な発見

• 提案されたB-FSK変調手法は、OOKと比較して著しく低い点滅値を達成し、可視性を低減し、隠蔽性を向上させた。
• KLONCプロトタイプは、最大5.08メートル、62.66°の発光角度で、空気ギャップネットワークからのデータ漏洩を成功裏に実行した。
• 4.02メートルの距離での信号明るさは、1.77メートルでの明るさの約10%にまで低下しており、距離に伴う光信号の急速な減衰を確認した。
• 実験結果から、選択されたB-FSK周波数では人間の視覚が点滅を識別できないことが確認され、この手法の隠蔽性が裏付けられた。
• 距離と角度の関数としての信号明るさの理論的モデルは、実験観察とよく一致しており、送信限界の正確な予測が可能となった。
• 光学センサを用いたLEDステータス監視といった対策は高い検出可能性を示したが、ハードウェア制限および発生頻度の低さにより、実用的効果は限定的である。