[논문 리뷰] BLURtooth: Exploiting Cross-Transport Key Derivation in Bluetooth Classic and Bluetooth Low Energy

Daniele Antonioli, Nils Ole Tippenhauer외 2명|arXiv (Cornell University)|2020. 09. 24.

Bluetooth and Wireless Communication Technologies인용 수 10

한 줄 요약

이 논문은 블루투스에서 크로스-트랜스포트 키 유도(Cross-Transport Key Derivation, CTKD)에 대한 첫 번째 종합적 분석인 BLURtooth를 제시한다. 이는 블루투스 클래식 및 BLE 장치 간의 가짜 신원 위임, 중간자 공격, 비허용된 세션 설정을 가능하게 하는 네 가지 핵심 크로스-트랜스포트 취약점을 드러낸다. 이 공격은 보안 모드나 페어링 방법에 관계없이 효과적이며, 저비용 구현을 통해 14대의 장치(16종의 고유한 블루투스 칩 포함)에서 검증되었다.

ABSTRACT

The Bluetooth standard specifies two transports: Bluetooth Classic (BT) for high-throughput wireless services and Bluetooth Low Energy (BLE) for very low-power scenarios. BT and BLE have dedicated pairing protocols and devices have to pair over BT and BLE to use both securely. In 2014, the Bluetooth standard (v4.2) addressed this usability issue by introducing Cross-Transport Key Derivation (CTKD). CTKD allows establishing BT and BLE pairing keys just by pairing over one of the two transports. While CTKD crosses the security boundary between BT and BLE, little is known about the internals of CTKD and its security implications. In this work, we present the first complete description of CTKD obtained by merging the scattered information from the Bluetooth standard with the results from our reverse-engineering experiments. Then, we perform a security evaluation of CTKD and uncover four cross-transport issues in its specification. We leverage these issues to design four standard-compliant attacks on CTKD enabling new ways to exploit Bluetooth (e.g., exploiting BT and BLE by targeting only one of the two). Our attacks work even if the strongest security mechanism for BT and BLE are in place, including Numeric Comparison and Secure Connections. They allow to impersonate, man-in-the-middle, and establish unintended sessions with arbitrary devices. We refer to our attacks as BLUR attacks, as they blur the security boundary between BT and BLE. We provide a low-cost implementation of the BLUR attacks and we successfully evaluate them on 14 devices with 16 unique Bluetooth chips from popular vendors. We discuss the attacks' root causes and present effective countermeasures to fix them. We disclosed our findings and countermeasures to the Bluetooth SIG in May 2020 (CVE-2020-15802), and we reported additional unmitigated issues in May 2021.

연구 동기 및 목표

• 블루투스 클래식 및 BLE에서 CTKD 프로토콜을 역공학적으로 분석하고, 표준에서 잘 문서화되어 있지 않은 점을 보완한다.
• BT와 BLE 보안 경계 간의 분리성을 해치는 CTKD 내의 크로스-트랜스포트 보안 문제(CTIs)를 식별하고 분석한다.
• CTKD를 악용하여 신원 위조, MITM, 의도하지 않은 세션 설정을 가능하게 하는 네 가지 표준 준수형 지속적 공격(BLUR 공격)을 설계하고 구현한다.
• 이러한 공격의 실현 가능성과 영향력을 다양한 블루투스 칩셋 및 버전을 통해 실제 장치에서 평가한다.
• 식별된 취약점을 완화하기 위한 프로토콜 수준의 대응 조치를 제안하고 실험적으로 검증한다.

제안 방법

• 다양한 블루투스 칩셋(Broadcom, CSR, Cypress, Intel, Qualcomm)을 사용한 실제 장치의 패킷 트레이스를 분석하여 CTKD 동작을 역공학적으로 분석한다.
• 페어링 세션 중 관찰된 프로토콜 동작과 블루투스 표준 사양을 연계하여 CTKD 키 유도 과정을 매핑한다.
• BT와 BLE 키가 CTKD를 통해 어떻게 조작될 수 있는지 평가하기 위해 크로스-트랜스포트 공격자 모델을 수립하며, 주로 키 오버라이트 및 역할 비대칭성에 초점을 맞춘다.
• 네 가지의 서로 다른 CTI(키 오버라이트, 역할 비대칭성, 키 배포 결함, 연관 방법 우회)를 악용하는 네 가지 표준 준수형 공격(BLUR 공격)을 설계한다.
• 오픈소스 블루투스 도구(예: BlueZ)와 오프더셰프 하드웨어(예: 개발 보드)를 사용하여 저비용 공격 프레임워크를 구현하여 실제 적용 가능성의 실현 가능성을 입증한다.
• 보안 모드(예: 세션 연결 보안, 숫자 비교 등)를 모두 포함하여 블루투스 4.1에서 5.2까지 지원하는 14대의 장치와 16종의 고유한 블루투스 칩셋을 대상으로 공격을 평가하였다.

실험 결과

연구 질문

• RQ1 블루투스 표준에서 완전하지 않은 사양을 고려할 때, CTKD의 실제 내부 메커니즘은 무엇인가?
• RQ2 CTKD는 블루투스 클래식과 BLE 간의 보안 경계를 어떻게 침해하며, 그로 인해 발생하는 크로스-트랜스포트 취약점은 무엇인가?
• RQ3 공격자가 페어링 중에 존재하지 않더라도 지속 가능한 표준 준수형 공격을 설계할 수 있는가?
• RQ4 CTKD 결함의 근본 원인은 무엇이며, 이를 통해 키 오버라이트와 다양한 트랜스포트 간의 세션 위조가 어떻게 가능해지는가?
• RQ5 식별된 취약점을 수정하기 위한 효과적인 프로토콜 수준의 대응 조치를 설계하고 검증할 수 있는가?

주요 결과

• CTKD에서 네 가지 핵심 크로스-트랜스포트 문제(CTIs)를 식별했다: 키 오버라이트, 역할 비대칭성, 결함이 있는 키 배포, 연관 방법 우회.
• BLUR 공격는 공격자가 페어링 중에 존재하지 않더라도 지속 가능한 첫 번째 표준 준수형 공격로, BT와 BLE 간 장기적인 신원 위조 및 MITM를 가능하게 한다.
• 보안 모드(예: 세션 연결 보안)나 페어링 방법(예: 숫자 비교)에 관계없이 공격이 효과적이며, 가장 강력한 보안 설정에서도 작동한다.
• 블루투스 4.1에서 5.2까지 지원하는 14대의 장치와 16종의 고유한 블루투스 칩셋을 사용하여 공격을 성공적으로 시연하였다.
• 블루투스 SIG는 초기에 블루투스 5.1 및 이후 버전은 영향을 받지 않는다고 주장했지만, 추가 분석을 통해 5.1 및 5.2 장치에서도 여전히 취약성이 존재하는 것으로 확인하였다.
• 프로토콜 수준의 대응 조치인 키 오버라이트 비활성화가 리눅스 랩탑에서 실험적으로 검증되었으며, 가장 심각한 취약점을 효과적으로 완화하는 데 성공했다.