[논문 리뷰] alurity, a toolbox for robot cybersecurity

Víctor Mayoral Vilches, Irati Abad-Fernández외 9명|arXiv (Cornell University)|2020. 10. 15.

Advanced Malware Detection Techniques참고 문헌 31인용 수 4

한 줄 요약

alurity는 로봇 기술자와 보안 연구자 간의 협업을 일관되고 재현 가능한 개발 환경을 통해 통합하기 위해 설계된 모듈형이고 조합 가능한 사이버보안 도구상자입니다. 고정밀 시뮬레이션과 에뮬레이션을 통해 로봇 시스템의 하드웨어 및 소프트웨어 구성 요소를 모의함으로써 취약성 진단과 악용을 가속화하여 테스트 시간을 크게 단축하고 팀 간 협업과 재현 가능성을 향상시킵니다.

ABSTRACT

The reuse of technologies and inherent complexity of most robotic systems is increasingly leading to robots with wide attack surfaces and a variety of potential vulnerabilities. Given their growing presence in public environments, security research is increasingly becoming more important than in any other area, specially due to the safety implications that robot vulnerabilities could cause on humans. We argue that security triage in robotics is still immature and that new tools must be developed to accelerate the testing-triage-exploitation cycle, necessary for prioritizing and accelerating the mitigation of flaws. The present work tackles the current lack of offensive cybersecurity research in robotics by presenting a toolbox and the results obtained with it through several use cases conducted over a year period. We propose a modular and composable toolbox for robot cybersecurity: alurity. By ensuring that both roboticists and security researchers working on a project have a common, consistent and easily reproducible development environment, alurity aims to facilitate the cybersecurity research and the collaboration across teams.

연구 동기 및 목표

• 로봇 시스템의 복잡성 증가와 공격 표면의 확대가 초래하는 사이버보안 위험과 안전 위협을 해결하기 위해.
• 통합된 개발 환경을 제공하여 로봇 분야에서의 취약성 진단, 테스트 및 악용 주기를 단순화하기 위해.
• 일관되고 재현 가능하며 조합 가능한 가상 환경을 통해 로봇 기술자와 보안 연구자 간의 협업을 향상시키기 위해.
• 고정밀 시뮬레이션과 에뮬레이션을 통해 보안 연구 과정에서 물리적 하드웨어에 대한 의존도를 줄이기 위해.
• 빠르고 결정론적인 재현과 PoC 개발을 가능하게 하여 책임감 있는 취약성 공개 속도를 가속화하기 위해.

제안 방법

• alurity는 OS 가상화와 하드웨어 가상화를 활용하여 로봇 시스템의 소프트웨어 및 하드웨어 구성 요소를 모두 시뮬레이션하며, ROS 기반 시스템과 PLC, HMI와 같은 산업 장치도 포함합니다.
• 도구상자는 YAML 기반 설정 파일을 사용하여 타겟 시나리오를 정의하고 신속하게 전환할 수 있도록 하여 새로운 테스트 환경의 설정을 빠르게 구축할 수 있도록 합니다.
• 기존에 검증된 보안 도구 및 프레임워크를 통합하여 신뢰성 확보와 개발 오버헤드 감소를 위해 기존 기술을 재사용합니다.
• alurity는 혼합된 시뮬레이션 및 에뮬레이션 환경을 지원하여 가상화된 구성 요소를 실제 하드웨어와 원활하게 통합하여 최종 검증을 가능하게 합니다.
• 도구상자는 '플로우'(flows)—취약성 보고서에 맥락을 통합한 재현 가능한 워크플로우—를 포함하여 진단 및 악용 문서화를 향상시킵니다.
• 보안 테스트, 평가 및 시연를 위한 자동화된 파이프라인을 지원하여 로봇 분야의 DevSecOps 관행을 지원합니다.

실험 결과

연구 질문

• RQ1 어떻게 통합되고 재현 가능한 개발 환경을 구축하여 로봇 분야의 취약성 진단을 가속화할 수 있는가?
• RQ2 시뮬레이션과 에뮬레이션은 로봇 사이버보안 결함 테스트의 시간 및 자원 비용을 얼마나 줄일 수 있는가?
• RQ3 alurity의 모듈형 도구의 조합 가능성은 로봇 기술자와 보안 연구자 간의 협업을 어떻게 향상시키는가?
• RQ4 고정밀 가상 환경은 초기 취약성 테스트 및 PoC 개발에서 물리적 하드웨어를 효과적으로 대체할 수 있는가?
• RQ5 표준화된 도구상자는 로봇 분야에서 책임감 있는 취약성 공개의 속도와 품질에 어떤 영향을 미치는가?

주요 결과

• alurity는 보안 도구, 산업 장치, 로봇 시스템 포함 총 70개 이상의 별도 모듈을 지원하여 다양한 로봇 플랫폼에서 포괄적인 테스트를 가능하게 합니다.
• 도구상자는 테스트 시간을 크게 단축시켰으며, 시뮬레이션은 몇 초 내로 부팅되는 데 반해, 에뮬레이션 또는 실제 로봇은 수분이 소요되었습니다.
• 연구자들은 몇 대의 물리적 로봇만을 사용하여 팀 간 병렬 테스트를 달성하여 자원 효율성을 크게 향상시켰습니다.
• YAML 기반 설정을 통해 단 한 줄을 수정하기만 해도 테스트 대상의 빠른 재구성 가능성이 확보되어 융통성과 확장성 향상이 있었습니다.
• alurity 플로우 기능은 취약성 보고서에 맥락 기반 워크플로우를 통합하여 악용의 명확성과 재현 가능성을 높였습니다.
• 도구상자는 수십 개의 취약성을 발견하고 책임감 있는 방식으로 공개하였으며, 이로 인해 업스트림 제조사들로부터 다수의 CVE 식별자 확보를 성취했습니다.