[論文レビュー] Protocol channels as a new design alternative of covert channels

Steffen Wendzel|arXiv (Cornell University)|Sep 11, 2008

Internet Traffic Analysis and Secure E-voting被引用数 10

ひとこと要約

この論文は、パケットペイロードに情報を埋め込まずに、2つ以上の通信プロトコル間のプロトコルスイッチングを活用して隠しデータを送信する、新しいコベートチャネルのカテゴリー「プロトコルチャネル」を導入する。プロトコル遷移をシグナリングメカニズムとして用いることで、従来の検査手法では検出されない状態でコベート通信を可能にし、ネットワークセキュリティにおける新たな攻撃ベクトルを提供する。

ABSTRACT

Covert channel techniques are used by attackers to transfer hidden data. There are two main categories of covert channels: timing channels and storage channels. This paper introduces a third category called protocol channels. A protocol channel switches one of at least two protocols to send a bit combination to a destination while sent packets include no hidden information themselves.

研究の動機と目的

• ネットワークセキュリティにおけるより洗練されたデータ漏洩技術の需要に対応するため、新しいコベートチャネルカテゴリーを提案すること。
• パケットペイロードの変更やタイミングの変動に依存しない、これまでに未発見のコベート通信手法を特定・分析すること。
• 複数のプロトコル間のプロトコルスイッチングが、隠しデータ送信のための信頼性があり検出困難なシグナリングメカニズムとして機能できることを示すこと。
• 従来のタイミングおよびストレージベースのコベートチャネルと比較して、プロトコルチャネルの実用性と実現可能性を評価すること。

提案手法

• 2つ以上の異なる通信プロトコルの間を切り替えることで、バイナリデータを符号化する新しいコベートチャネルモデルを提案する。
• TCPからUDPへの切り替えや、異なるアプリケーション層プロトコル間の切り替えといったプロトコル遷移を、隠しビットのキャリアとして使用する。
• 送信時に使用されるプロトコルの選択がビット値を表すシグナリングメカニズムを設計する（例：TCP = 0、UDP = 1）。この方法はパケット内容とは無関係である。
• 送信パケットが意味的に正当で、通常のトラフィックと区別がつかないことを保証し、プロトコルの意味論を維持する。
• 送信者と受信者が同期したプロトコルを用いて、プロトコルスイッチのシーケンスをビットストリームとして解釈する。
• ネットワークスタック内のプロトコル選択挙動に依存することで、ペイロードデータを変更せずにコベートシグナリング経路を確立する。

実験結果

リサーチクエスチョン

• RQ1 複数のプロトコル間のプロトコルスイッチングを、信頼性のあるコベートデータ送信のメカニズムとして使用できるか？
• RQ2 パケットペイロードの変更やタイミング依存性の導入なしに、プロトコルチャネルをどのように実装できるか？
• RQ3 従来のコベートチャネルと比較して、プロトコルチャネルの実用的制限および検出の難易度は何か？
• RQ4 標準的なネットワーク監視およびインラインススペクションシステムが、プロトコルチャネルをどの程度の確度で検出できないか？

主な発見

• プロトコルチャネルは、ペイロードやタイミングの操作に依存せず、プロトコル選択をシグナリングメカニズムとして用いることで、洗練されたコベート通信手法を提供する。
• パケット内容やタイミングパターンの検査に依存する従来の署名ベースおよび異常検出ベースの検出システムでは検出できない。
• 送信者と受信者の間で協調的なプロトコルスイッチングが行われることで、信頼性の高いデータ送信が可能になる。
• パケットに隠しデータを含まず、通常のプロトコル動作を維持するため、プロトコルチャネルは一般的なネットワーク監査技術に対して耐性がある。