[論文レビュー] xLED: Covert Data Exfiltration from Air-Gapped Networks via Router LEDs

Mordechai Guri, Boris Zadov+2 more|arXiv (Cornell University)|Jun 4, 2017

Advanced Steganography and Watermarking Techniques参考文献 17被引用数 22

ひとこと要約

本論文では、ルーターおよびスイッチのステータスLEDを制御して光信号を変調し、空気ギャップネットワークからデータを漏洩させるコベントチャネルxLEDを提案する。攻撃は振幅変調および周波数変調を用いて1秒間に10ビットから1,000ビットを超えるデータレートを達成し、カメラや光学センサによって遠隔で信号を受信することで、隔離されたネットワークにおける実用的なサイドチャネル漏洩攻撃の可能性を示している。

ABSTRACT

In this paper we show how attackers can covertly leak data (e.g., encryption keys, passwords and files) from highly secure or air-gapped networks via the row of status LEDs that exists in networking equipment such as LAN switches and routers. Although it is known that some network equipment emanates optical signals correlated with the information being processed by the device ('side-channel'), intentionally controlling the status LEDs to carry any type of data ('covert-channel') has never studied before. A malicious code is executed on the LAN switch or router, allowing full control of the status LEDs. Sensitive data can be encoded and modulated over the blinking of the LEDs. The generated signals can then be recorded by various types of remote cameras and optical sensors. We provide the technical background on the internal architecture of switches and routers (at both the hardware and software level) which enables this type of attack. We also present amplitude and frequency based modulation and encoding schemas, along with a simple transmission protocol. We implement a prototype of an exfiltration malware and discuss its design and implementation. We evaluate this method with a few routers and different types of LEDs. In addition, we tested various receivers including remote cameras, security cameras, smartphone cameras, and optical sensors, and also discuss different detection and prevention countermeasures. Our experiment shows that sensitive data can be covertly leaked via the status LEDs of switches and routers at a bit rates of 10 bit/sec to more than 1Kbit/sec per LED.

研究の動機と目的

• ネットワーク機器のステータスLEDが、データ漏洩のためのコベント通信チャネルとして利用可能かどうかを調査すること。
• 隔離されたネットワークから機密データをエンコード・送信するためのマルウェアベースのシステムを設計・実装すること。
• 一般的な光学センサ（セキュリティカメラやスマートフォンなど）を用いた遠隔受信の実現可能性を評価すること。
• このようなサイドチャネル攻撃の検出可能性と、対策の可能性を評価すること。
• 空気ギャップシステムですら、意図しない電磁界および光学的サイドチャネルを通じてデータ漏洩のリスクを有することを実証すること。

提案手法

• LANスイッチまたはルーターにマルウェアを展開し、ステータスLEDの完全な制御を獲得する。
• LEDの点滅パターンに振幅変調および周波数変調技術を適用してデータをエンコードする。
• 信頼性の高い受信を可能にするために、データストリームを構造化する独自の送信プロトコルを設計する。
• 標準カメラ、セキュリティカメラ、専用光学センサを含む遠隔光学受信機を用いて、変調された光信号を取得する。
• ネットワーク機器の内在するハードウェアおよびソフトウェアアーキテクチャを活用し、検出されない形で正確なLED制御を実現する。
• 受信側で信号処理を実行し、変調された光をバイナリデータに復号し、漏洩された情報を再構築する。

実験結果

リサーチクエスチョン

• RQ1 ルーターおよびスイッチのステータスLEDは、データ漏洩のためのコベント通信チャネルとして利用可能か？
• RQ2 LEDの点滅パターンを通じた信頼性の高いデータ送信を可能にする変調技術は何か？
• RQ3 異なるLEDタイプおよび受信機構成を用いた場合の実現可能なデータレートは何か？
• RQ4 一般的な消費財用カメラおよび光学センサは、変調信号の取得および復号においてどの程度効果的か？
• RQ5 実際の空気ギャップ環境において、このような攻撃の実用的制限および検出リスクは何か？

主な発見

• xLED攻撃は、ルーターおよびスイッチのステータスLEDのみを用いて、空気ギャップネットワークからのデータ漏洩に成功した。
• データレートは、LEDの種別および変調方式に応じて1秒間に10ビットから1,000ビットを超える範囲で変動した。
• 遠隔カメラ（スマートフォンおよびセキュリティカメラを含む）は、変調されたLED信号を高い正確性で取得・復号できた。
• 光学センサは最も信頼性が高く、最高の帯域幅を実現し、最も高いデータレートを達成した。
• ネットワークトラフィックやプロトコルの異常がないため、標準的なネットワーク監視では攻撃が検出されなかった。
• 多数のルーターおよびスイッチモデルで本手法が有効であることが確認され、広範な適用可能性が示された。