[논문 리뷰] Attacks on Fitness Trackers Revisited: A Case-Study of Unfit Firmware Security

Jakob Rieck|arXiv (Cornell University)|2016. 04. 12.

User Authentication and Security Systems참고 문헌 13인용 수 24

한 줄 요약

이 논문은 Withings의 Activité 피트니스 트래커를 대상으로 하는 새로운 펌웨어 수정 공격를 제시하며, 약한 펌웨어 검증을 악용하여 지속적이고 탐지되지 않는 해킹을 가능하게 한다. 저자들은 업데이트 프로세스를 역공학적으로 분석하고 악성 펌웨어를 삽입함으로써 데이터 무결성과 신원 확인이 어떻게 손상될 수 있는지 실험적으로 입증한다. 이는 법적 및 보험 적용 사례에 영향을 미친다.

ABSTRACT

Fitness trackers - wearables that continuously record a wearer's step count and related activity data - are quickly gaining in popularity. Apart from being useful for individuals seeking a more healthy lifestyle, their data is also being used in court and by insurance companies to adjust premiums. For these use cases, it is essential to ensure authenticity and integrity of data. Here we demonstrate a flaw in the way firmware for Withings' Activité is verified, allowing an adversary to compromise the tracker itself. This type of attack has so far not been applied to fitness trackers. Vendors have started mitigating previous attacks, which manipulated data by interfering with wireless channels, or by physically moving the tracker to fool sensors. Hardware similarities amongst different trackers suggest findings can be transferred to other tracker as well.

연구 동기 및 목표

• 피트니스 트래커의 펌웨어 업데이트 메커니즘의 보안을 조사하며, 특히 무결성과 신원 확인에 초점을 맞춘다.
• Withings의 Activité 시리즈에 대한 실질적인 펌웨어 수정 공격를 시연하며, 약한 검증 절차를 악용한다.
• 피트니스 데이터가 증거나 보험 청구에 사용되는 고위험 상황에서 이러한 공격의 위험을 부각한다.
• 다양한 웨어러블 기기 간 하드웨어 유사성 덕분에 연구 결과가 다른 기기로도 적용 가능하다는 것을 보여준다.
• 기존에 네트워크 기반 공격에 비해 다루지 않은 분야인 IoT 및 웨어러블 시스템의 펌웨어 수준 위협에 대한 이해를 기여한다.

제안 방법

• IDA Pro와 같은 디어셈블러 및 mitmproxy와 같은 디버깅 도구를 사용하여 Withings Activité 펌웨어 업데이트 프로세스의 역공학을 수행하였다.
• 이진 업데이트 프로토콜을 분석하고, 펌웨어 이미지에 암호화 서명 검증이 존재하지 않는 것을 확인하였다.
• 정상적인 업데이트를 모방하지만 장치에서 임의의 코드를 실행하는 악성 펌웨어 이미지를 제작하였다.
• 실제 장치에 수정된 펌웨어를 플래시하여 공격의 성공 여부를 검증하고, 지속성과 제어 가능성 여부를 확인하였다.
• 하드웨어 분석 및 프로토콜 가로채기를 통해 공격 표면을 확인하고 기존 보안 제어를 우회함을 입증하였다.
• 비용린 등(2020)의 이전 연구를 기반으로 이진 파일 간의 상관관계 및 취약성 전파에 중점을 두어 방법론을 정의하였다.

실험 결과

연구 질문

• RQ1 Withings의 Activité 피트니스 트래커의 펌웨어 업데이트 메커니즘은 신원 확인과 무결성을 어떻게 확보하는가?
• RQ2 어떻게 악성 펌웨어를 삽입할 수 있는 펌웨어 검증 절차의 취약점이 존재하는가?
• RQ3 실제 운영 환경에서 펌웨어 수준의 침해가 얼마나 오랫동안 지속되고 탐지되지 않을 수 있는가?
• RQ4 Withings의 펌웨어 취약점은 다른 웨어러블 기기나 IoT 시스템의 취약점과 비교해 어떤가?
• RQ5 피트니스 데이터가 법적 절차나 보험 청구에서 증거로 사용될 때 이러한 공격의 실제 영향은 무엇인가?

주요 결과

• Withings의 Activité 트래커의 펌웨어 업데이트 프로세스는 암호화 서명 검증이 없어, 검증 없이도 임의의 펌웨어를 플래시할 수 있다.
• 공격자는 실제 장치에 악성 펌웨어를 성공적으로 삽입하고 실행하여 지속적인 침해를 달성할 수 있다.
• 이 공격는 표준 모니터링 도구로는 탐지되지 않으며, 초기 침해 이후 장치의 물리적 접근이 필요하지 않다.
• 공유된 하드웨어 및 펌웨어 아키텍처 덕분에 이와 유사한 취약성 패tern은 다른 Withings 기기 및 유사 웨어러블 기기에도 존재할 가능성이 높다.
• 이 공격는 이미 법원에서나 보험사에서 사용되는 피트니스 데이터의 신뢰성에 심각한 무결성 문제를 야기한다.
• 기존의 네트워크 기반 또는 센서 기반 공격에 비해 아직 활용되지 않은 공격 표면을 제공한다.