[논문 리뷰] AIR-FI: Generating Covert Wi-Fi Signals from Air-Gapped Computers

Mordechai Guri|arXiv (Cornell University)|2020. 12. 12.

Internet Traffic Analysis and Secure E-voting참고 문헌 41인용 수 4

한 줄 요약

이 논문은 공기 격리된 컴퓨터에서 DDR SDRAM 메모리 버스의 전자기 신호를 변조하여 2.4 GHz Wi-Fi 대역에서 데이터를 유출할 수 있는 코어프 채널인 AIR-FI를 소개한다. 이 공격은 피해자 시스템에 Wi-Fi 하드웨어가 필요로 하지 않으며, 표준 메모리 운영 방식을 악용하며, 근처에 있는 Wi-Fi 기능을 갖춘 장치들이 신호를 수신하고 중계할 수 있어 몇 미터 이내 거리에서 1~100 bit/sec의 전송 속도를 달성한다.

ABSTRACT

In this paper, we show that attackers can exfiltrate data from air-gapped computers via Wi-Fi signals. Malware in a compromised air-gapped computer can generate signals in the Wi-Fi frequency bands. The signals are generated through the memory buses - no special hardware is required. Sensitive data can be modulated and secretly exfiltrated on top of the signals. We show that nearby Wi-Fi capable devices (e.g., smartphones, laptops, IoT devices) can intercept these signals, decode them, and send them to the attacker over the Internet. To extract the signals, we utilize the physical layer information exposed by the Wi-Fi chips. We implement the transmitter and receiver and discuss design considerations and implementation details. We evaluate this covert channel in terms of bandwidth and distance and present a set of countermeasures. Our evaluation shows that data can be exfiltrated from air-gapped computers to nearby Wi-Fi receivers located a distance of several meters away.

연구 동기 및 목표

• 공기 격리된 컴퓨터가 DDR SDRAM 메모리 버스의 전자기 방출을 이용해 데이터를 유출시킬 수 있음을 입증하는 것.
• 이러한 방출 신호가 2.4 GHz Wi-Fi 주파수 대역에서 데이터를 실을 수 있도록 변조될 수 있음을 보여주는 것.
• 근처에 있는 Wi-Fi 기능을 갖춘 장치들(예: 스마트폰, IoT 기기)이 악성 소프트웨어에 의해 사전에 해킹되지 않은 상태에서도 변조된 신호를 수신하고 복호화할 수 있음을 입증하는 것.
• 이러한 코어프 채널의 실현 가능성에 대해 대역폭, 전송 거리, 실용적 구현 측면에서 평가하는 것.
• 공기 격리 환경에서의 이러한 사이드채널 유출 기법에 대비한 대응 조치를 제안하는 것.

제안 방법

• 공기 격리된 시스템에 설치된 악성 소프트웨어가 DDR SDRAM에 제어 가능한 메모리 액세스 패턴을 수행하여 2.4 GHz에서 전자기 방출을 생성하며, 내재된 신호 고조파를 악용한다.
• 기본 대역 변조 기법을 메모리 액세스 타이밍과 패턴에 적용하여 감지 가능한 Wi-Fi 유사 신호를 생성함으로써 이진 데이터를 인코딩한다.
• 수신 장치에서 Wi-Fi 칩이 노출하는 물리 계층(PHY) 정보를 활용하여 변조된 신호를 복호화한다.
• 근처에 있는 Wi-Fi 장치(예: 스마트폰)에 설치된 수신 응용 프로그램이 표준 Wi-Fi 수신 메커니즘을 사용하여 신호를 캡처하고 복호화한다.
• CPU/메모리 집약적인 워크로드를 통해 신호를 방해함으로써 전송을 차단하고, 메모리 액세스 모니터링을 통한 런타임 감지 기법을 탐색한다.
• 대응 조치로는 물리적 차폐(파장이어 케이지), Wi-Fi 채널 모니터링, 저수준 메모리 모니터링을 통한 런타임 이상 탐지가 포함된다.

실험 결과

연구 질문

• RQ1 공기 격리된 컴퓨터의 DDR SDRAM 메모리 버스가 특수 하드웨어 없이도 2.4 GHz Wi-Fi 대역의 전자기 방출을 생성할 수 있는가?
• RQ2 표준 메모리 운영 방식을 통해 이러한 방출을 이용해 이진 데이터를 신뢰성 있게 변조하고 전송할 수 있는가?
• RQ3 근처에 있는 Wi-Fi 기능을 갖춘 장치들(예: 스마트폰, IoT 기기)이 사전에 해킹되지 않은 상태에서도 변조된 신호를 수신하고 복호화할 수 있는가?
• RQ4 실제 환경 조건에서 이러한 코어프 채널의 효과적 전송 거리와 전송 속도는 얼마인가?
• RQ5 이러한 종류의 사이드채널 유출을 효과적으로 탐지하거나 차단할 수 있는 실용적 대응 조치는 무엇인가?

주요 결과

• AIR-FI 공격는 특수 하드웨어 없이도 표준 DDR SDRAM 메모리 버스에서 감지 가능한 2.4 GHz 전자기 신호를 성공적으로 생성하였다.
• 데이터 유출 속도는 수신 장치 유형과 모드에 따라 1~100 bit/sec로 다양하게 달성되었다.
• 이 코어프 채널은 공기 격리된 시스템으로부터 몇 미터 거리에서도 효과적으로 작동하였다.
• 멀웨어가 가상 머신 내부에서 실행되어도 공격가능성이 유지되어 가상화 격리에 대한 내성을 보였다.
• CPU 또는 메모리 집약적인 워크로드를 통한 신호 방해로 인해 신호 대 잡음비(SNR)가 3.1~4.8 dB로 떨어져 전송 신뢰성이 크게 저하되었다.
• 파장이어 케이지로는 신호가 효과적으로 차단되었지만, 비용과 운영 제약로 인해 대규모 구현에는 현실적으로 어려움이 있었다.