[論文レビュー] NexMon: A Cookbook for Firmware Modifications on Smartphones to Enable Monitor Mode

Matthias Schulz, Daniel Wegemer+1 more|arXiv (Cornell University)|Dec 24, 2015

Wireless Networks and Protocols参考文献 1被引用数 3

ひとこと要約

本論文では、スマートフォンのWi-Fiファームウェアを変更することでBCM4339チップ上でモニタモードを有効化するCベースのファームウェア拡張フレームワーク、NexMonを提示する。ファームウェアの逆解析とwlc_bmac_recv関数の拡張によりフレームフィルタリングを回避し、受信フレームにradiotapヘッダーを付加して生のフレーム受信を実現した。その有効性は、Nexus 5でairodump-ngを実行することで実証された。

ABSTRACT

Full control over a Wi-Fi chip for research purposes is often limited by its firmware, which makes it hard to evolve communication protocols and test schemes in practical environments. Monitor mode, which allows eavesdropping on all frames on a wireless communication channel, is a first step to lower this barrier. Use cases include, but are not limited to, network packet analyses, security research and testing of new medium access control layer protocols. Monitor mode is generally offered by SoftMAC drivers that implement the media access control sublayer management entity (MLME) in the driver rather than in the Wi-Fi chip. On smartphones, however, mostly FullMAC chips are used to reduce power consumption, as MLME tasks do not need to wake up the main processor. Even though, monitor mode is also possible in FullMAC scenarios, it is generally not implemented in today's Wi-Fi firmwares used in smartphones. This work focuses on bringing monitor mode to Nexus 5 smartphones to enhance the interoperability between applications that require monitor mode and BCM4339 Wi-Fi chips. The implementation is based on our new C-based programming framework to extend existing Wi-Fi firmwares.

研究の動機と目的

• 消費者向けスマートフォンに搭載されたFullMAC Wi-Fiチップでモニタモードを有効化すること、通常はこの機能が搭載されていない。
• 研究者がネットワーク分析やプロトコルテストのための生のWi-Fiフレームにアクセスできないファームウェア制限を克服すること。
• ARMベースのWi-Fiチップファームウェアに対して低レベルな変更を可能にする再利用可能なCベースのファームウェア拡張フレームワークを開発すること。
• BCM4339搭載の広く利用可能なデバイス（例：Nexus 5）でモニタモードを有効化する可能性を実証すること。
• 研究者がデバイスを永続的に変更せずにテストできる、動作するブート可能なイメージを提供すること。

提案手法

• IDA ProとHex-Raysデコンパイラを用いて、BCM4339ファームウェアを逆解析し、レジスタマップ、メモリレイアウト、制御フローを理解した。
• 元のバイナリ構造を変更せずにコードを安全に挿入できるCベースのファームウェア拡張フレームワークを設計した。
• wlc_bmac_recv関数を変更し、フレームフィルタリングロジックを回避して受信フレームをDMA経由でBCMDHDドライバに直接転送した。
• プロミスキャスモードを有効化するための重要なD11コアレジスタ（maccontrol）を設定し、MCTL_PROMISC、MCTL_KEEPCONTROL、MCTL_BCNS_PROMISCを含めた。
• 各フレーム受信時にレジスタ設定を再適用することで、ファームウェアリセットによってモニタモードが無効化されるのを防いだ。
• 変更済みのカーネルとBCMDHDドライバモジュールを備えたカスタムboot.imgを提供し、元のシステムを変更せずにモニタモードを有効化した。

実験結果

リサーチクエスチョン

• RQ1 Nexus 5のような消費者向けスマートフォンのFullMAC Wi-Fiチップで、モニタモードを正常に有効化できるか？
• RQ2 Cベースのファームウェア拡張フレームワークを設計することで、コア機能に影響を与えずにWi-Fiファームウェアを安全に変更できるか？
• RQ3 BCM4339チップでフレームフィルタリングを回避し、生のフレーム受信を有効化するために必要な主要なファームウェアレベルの変更は何か？
• RQ4 変更済みファームウェアは、既存のAndroidネットワーキングスタックコンponentsと安定して相互運用できるか？
• RQ5 airodump-ng や tcpdump といった既存ツールを、スマートフォン上でモニタモード機能を検証するためにどの程度活用できるか？

主な発見

• wlc_bmac_recv関数を変更してすべてのフレームをホストドライバに転送することで、Nexus 5のBCM4339 Wi-Fiチップでモニタモードが正常に有効化された。
• フレームリセットの影響を受けることを防ぐために、maccontrolレジスタビット（MCTL_PROMISC、MCTL_KEEPCONTROLなど）を正しく設定・再適用でき、プロミスキャス受信を維持できた。
• 変更済みファームウェアにより、airodump-ngがWi-Fiアクセスポイントと関連フレームを検出・表示でき、正常なモニタモードが動作していることが確認された。
• 受信フレームにradiotapヘッダーが付加されており、標準のモニタモードツールとの互換性が確保された。
• 研究用途には十分に安定しており、ただし不明な条件下でファームウェアクラッシュが発生するため、手動でのインターフェースリセットが必要となる場合がある。
• フレームインジェクションはまだ実装されていないが、今後の作業でフレームワークを拡張し、任意のWi-Fiフレームの送信を可能にする予定である。