[論文レビュー] HDMI-Walk: Attacking HDMI Distribution Networks via Consumer Electronic Control Protocol

Luis Puche Rondon, Leonardo Babun+2 more|arXiv (Cornell University)|Oct 4, 2019

Advanced Malware Detection Techniques参考文献 11被引用数 5

ひとこと要約

本論文では、HDMIの消費者電子機器制御（CEC）プロトコルにおける脆弱性を悪用する新規の攻撃表面、HDMI-Walkを紹介する。この攻撃は、セキュリティのないCEC通信を活用することで、HDMI配信ネットワークにおけるリモートおよびローカルのサイバー攻撃を可能にする。一般のHDMIデバイスを用いて、攻撃者は任意のデバイス制御、サービス拒否攻撃、盗聴、既存の攻撃の促進を実証した。CEC対応システムは、静かで検知不能な侵入に対して極めて脆弱であることが示された。

ABSTRACT

The High Definition Multimedia Interface (HDMI) is the de-facto standard for Audio/Video interfacing between video-enabled devices. Today, almost tens of billions of HDMI devices exist worldwide and are widely used to distribute A/V signals in smart homes, offices, concert halls, and sporting events making HDMI one of the most highly deployed systems in the world. An important component in HDMI is the Consumer Electronics Control (CEC) protocol, which allows for the interaction between devices within an HDMI distribution network. Nonetheless, existing network security mechanisms only protect traditional networking components, leaving CEC outside of their scope. In this work, we identify and tap into CEC protocol vulnerabilities, using them to implement realistic proof-of-work attacks on HDMI distribution networks. We study, how current insecure CEC protocol practices and HDMI distributions may grant an adversary a novel attack surface for HDMI devices otherwise thought to be unreachable. To introduce this novel attack surface, we present HDMI-Walk, which opens a realm of remote and local CEC attacks to HDMI devices. Specifically, with HDMI-Walk, an attacker can perform malicious analysis of devices, eavesdropping, Denial of Service attacks, targeted device attacks, and even facilitate well-known existing attacks through HDMI. With HDMI-Walk, we prove it is feasible for an attacker to gain arbitrary control of HDMI devices. We demonstrate the implementations of both local and remote attacks with commodity HDMI devices. Finally, we discuss security mechanisms to provide impactful and comprehensive security evaluation to these real-world systems while guaranteeing deployability and providing minimal overhead considering the current limitations of the CEC protocol. To the best of our knowledge, this is the first work solely investigating the security of HDMI device distribution networks.

研究の動機と目的

• HDMIの消費者電子機器制御（CEC）プロトコルにおけるこれまで未解決のセキュリティ脆弱性を特定し、悪用すること。
• CEC対応HDMIデバイスが、従来のネットワークから隔離されているにもかかわらず、リモートおよびローカルのサイバー攻撃に対して脆弱であることを実証すること。
• 実際のHDMI配信環境における新規CECベースの攻撃の実現可能性と影響を評価すること。
• CEC無効化、意識に基づく緩和策、HDMI専用のインシデント検知システム（IDS）の設計といった実用的な防御メカニズムを提案すること。
• 特にオフィス、政府施設、スマートホームなどの機密性の高い環境において広く導入されているHDMIシステムのセキュリティリスクについての認識を高めること。

提案手法

• 著者は、HDMI配信ネットワークにおけるメッセージ構造とデバイス相互作用パターンをマップするために、CECプロトコルを逆解析した。
• Google Chromecastやシャープのスマートテレビを含む一般のHDMIデバイスを用いて、概念実証の攻撃フレームワークを実装し、悪意あるCECコマンドを実行した。
• 攻撃チェーンには、トポロジーの特定、デバイスのファINGERPRINTING、および物理的アクセスなしでのコマンドインジェクションが含まれ、CEC対応デバイスの制御を獲得した。
• リモート攻撃は、チェーン内の侵害済みデバイスを通じてCECメッセージをインジェクションすることで実行され、プロトコルに認証および暗号化が存在しないために脆弱だった。
• ローカル攻撃は、悪意あるデバイスをHDMIチェーンに接続し、CECを用いて電源や入力切替などのデバイス状態を操作することで実証された。
• 研究者たちは、CECピンの除去、ファームウェアレベルでの無効化、意識に基づくネットワークセグメンテーションといった防御戦略の有効性を評価した。

実験結果

リサーチクエスチョン

• RQ1 攻撃者が物理的アクセスや従来のネットワーク侵入なしで、HDMIデバイスを任意に制御できるか？
• RQ2 CECプロトコルの欠陥が、実際のHDMI配信ネットワークにおいてどの程度リモートおよびローカル攻撃に悪用可能か？
• RQ3 CEC無効化や意識に基づく実践的対策といった既存の緩和策が、CECベースの攻撃を防ぐのにどの程度効果的か？
• RQ4 CECを用いることで、既存の無線ベースの攻撃を促進または強化できるか？
• RQ5 会議室、スマートホーム、政府施設などの実世界環境におけるCECベースの攻撃の実用的影響は何か？

主な発見

• HDMI-Walkは、認証なし、暗号化なしのCECメッセージを介して、CEC対応HDMIデバイスのリモートおよびローカル制御を可能にし、これらのデバイスが不正な操作に対して脆弱であることを実証した。
• 研究者たちは、5つの新規攻撃タイプを成功裏に実行した：悪意あるトポロジー特定、サービス拒否攻撃、データ漏洩を伴う音声盗聴、標的デバイスの破壊、既存の無線攻撃の促進。
• 一部のデバイスでCEC機能を無効化しても、特定のモデルは依然として要求に対してデバイスアドレスやCEC情報を漏洩させ、単純な無効化では効果が薄いことが判明した。
• 攻撃は、Google Chromecastやシャープのスマートテレビといった実際のデバイスで実証され、実環境での実現可能性が裏付けられた。
• 従来のネットワークセキュリティメカニズムはCECを保護できず、HDMIベースのシステムのセキュリティポリシーに深刻な盲点を残している。
• 本研究は、CECが認証、暗号化、アクセス制御を欠いていることが、何十億台もの展開済みデバイスにわたり、継続的かつ悪用可能な攻撃表面を生み出していることを強調している。