[論文レビュー] MAGNETO: Fingerprinting USB Flash Drives via Unintentional Magnetic Emissions

Omar Adel Ibrahim, Savio Sciancalepore+2 more|arXiv (Cornell University)|Feb 14, 2020

Advanced Malware Detection Techniques参考文献 27被引用数 7

ひとこと要約

MAGNETO は、起動中に発生する意図しない低周波数磁気放射を分析することで、USBメモリを非インタラクティブかつプライバシー保護型に独自にフォグ・プロファイリングするフレームワークである。低コストのSDRハードウェアを用いて、ブランドおよびモデルの識別で98.2%、個々のデバイスの識別で91.3%の正確性を達成し、計算オーバーヘッドは最小限で、リアルタイム性能を実現している。

ABSTRACT

Universal Serial Bus (USB) Flash Drives are nowadays one of the most convenient and diffused means to transfer files, especially when no Internet connection is available. However, USB flash drives are also one of the most common attack vectors used to gain unauthorized access to host devices. For instance, it is possible to replace a USB drive so that when the USB key is connected, it would install passwords stealing tools, root-kit software, and other disrupting malware. In such a way, an attacker can steal sensitive information via the USB-connected devices, as well as inject any kind of malicious software into the host. To thwart the above-cited raising threats, we propose MAGNETO, an efficient, non-interactive, and privacy-preserving framework to verify the authenticity of a USB flash drive, rooted in the analysis of its unintentional magnetic emissions. We show that the magnetic emissions radiated during boot operations on a specific host are unique for each device, and sufficient to uniquely fingerprint both the brand and the model of the USB flash drive, or the specific USB device, depending on the used equipment. Our investigation on 59 different USB flash drives---belonging to 17 brands, including the top brands purchased on Amazon in mid-2019---, reveals a minimum classification accuracy of 98.2% in the identification of both brand and model, accompanied by a negligible time and computational overhead. MAGNETO can also identify the specific USB Flash drive, with a minimum classification accuracy of 91.2%. Overall, MAGNETO proves that unintentional magnetic emissions can be considered as a viable and reliable means to fingerprint read-only USB flash drives. Finally, future research directions in this domain are also discussed.

研究の動機と目的

• 空気ギャップ化されたシステムや隔離されたシステムを狙う悪意ある USB メモリの脅威に対処すること。
• ファームウェアやソフトウェアベースの検出に依存せず、軽量で非インタラクティブな方法で USB デバイスの真正性を検証すること。
• USB デバイスの物理層におけるフォグ・プロファイリング手法として、意図しない電磁界放射を利用できるかを検討すること。
• 実際の環境条件下で、多様な商業用 USB メモリデバイス間での磁気放射の信頼性と一意性を評価すること。
• 従来のセキュリティ制御が失敗する可能性がある、重要なインfra構造環境における代替または改ざんされた USB デバイスの検出を可能にすること。

提案手法

• HackRF One などのソフトウェア定義無線（SDR）を用いて、USB メモリの起動プロセス中に発生する意図しない磁気放射をキャプチャする。
• 時間窓（最大 3.35 秒）内に制限された信号から、スペクトル解析および時間領域解析を用いて放射特徴を抽出する。
• 抽出された放射プロファイルを学習用に用い、異なる USB ブランド、モデル、および個々のデバイスを識別するための機械学習分類器を訓練する。
• 2段階分類アプローチを採用：まずブランドおよびモデルを特定し、次に個々のデバイスの詳細な識別を実行する。
• USB コントローラチップおよび基板実装の製造バラツキに起因する電磁界放射の物理的特徴の独自性を活用する。
• 観測窓を拡大し、追加の放射パターンをプロファイリングすることで、アイドル状態やファイル転送中の異常行動を検出可能にフレームワークを拡張する。

実験結果

リサーチクエスチョン

• RQ1 USB メモリの起動中に発生する意図しない磁気放射を、デバイス識別に用いる安定的かつ一意的なフォグ・プロファイリングとして利用可能か？
• RQ2 製造バラツキや部品配置の違いが、異なる USB メモリデバイス間で識別可能な放射プロファイルを生じる程度はどの程度か？
• RQ3 低コストの SDR ハードウェアを用いて、磁気放射シグネイチャに基づく USB デバイス分類の正確性と効率性はどの程度か？
• RQ4 ファームウェアの改変やペイロード実行の遅延によって、正当なデバイスを模倣する悪意ある USB デバイスを MAGNETO が検出可能か？
• RQ5 アイドル状態やデータ転送状態での異常行動を検出するために、観測窓を延長した場合の影響は何か？

主な発見

• MAGNETO は、2019年中頃のアマゾン上位セラーを含む17ブランドの59台のデバイスを対象に、ブランドおよびモデルの識別で最小98.2%の分類正確性を達成した。
• 帯域幅200 MHz以上（≥200 MHz）の高帯域機器を用いることで、個々の USB メモリデバイスの識別で最小91.3%の分類正確性を達成した。
• フレームワークは信号キャプチャにたった3.35秒、標準ラップトップ上での処理時間は1秒未満で、ほぼリアルタイム動作を実現した。
• 誤検出率は0.01%と極めて低く、デバイス認証における高い信頼性を示した。
• ファームウェア改ざんに起因する攻撃に対しても有効であり、ファームウェア改ざんの影響を受けない物理層特性に依存しているためである。
• 観測窓を延長して長時間にわたる放射パターンをプロファイリングすることで、アイドル状態やファイル転送中の悪意ある行動を検出可能に拡張可能である。