[논문 리뷰] Crushing the Wave -- new Z-Wave vulnerabilities exposed

Noureddine Boucif, Frederik Golchert외 3명|arXiv (Cornell University)|2020. 01. 23.

Advanced Malware Detection Techniques참고 문헌 1인용 수 9

한 줄 요약

이 논문은 Z-Wave 프로토콜에 대한 두 가지 새로운 서비스 거부(DoS) 공격을 폭 드러내며, 암호화되지 않은 명령어인 Nonce Get/S2 Nonce Get 및 Find Nodes In Range를 악용하여 악성 패킷을 위조함으로써 Z-Wave 게이트웨이를 과도하게 부하를 주어 전체 스마트 홈 네트워크를 무력화시키는 방식을 설명한다. 이 공격은 침투성이 높고 효율적이며, 전파 강도 기반의 전통적 잼밍 탐지 방식으로는 탐지되지 않으며, 정상적인 게이트웨이 행동을 모방하기 때문이다.

ABSTRACT

This paper describes two denial of service attacks against the Z-Wave protocol and their effects on smart home gateways. Both utilize modified unencrypted packets, which are used in the inclusion phase and during normal operation. These are the commands Nonce Get/S2 Nonce Get and Find Nodes In Range. This paper shows how both can be manipulated and used to block a Z-Wave gateway's communication processing which in turn disables the whole Z-Wave network connected to it

연구 동기 및 목표

• 원격 서비스 거부 공격을 가능하게 하는 Z-Wave 프로토콜 내에서 이전에 알려지지 않은 취약점을 식별하고 악용하기.
• 장치 포함 및 정상 운영 중 Z-Wave 게이트웨이가 암호화되지 않은 명령어를 처리하는 방식에서 발생하는 보안 결함 분석하기.
• 개별 노드가 아닌 중심 게이트웨이를 공격하여 전체 스마트 홈 네트워크를 교란할 수 있는 방법을 설명하기.
• 소프트웨어 정의 신호기(SDR)와 오픈소스 도구를 사용하여 이러한 공격의 실현 가능성과 침투성 평가하기.
• 벤더 및 연구 공동체에 취약점을 공개함으로써 프로토콜의 보안 강화 기여하기.

제안 방법

• Z-Wave 무선 신호를 송수신하기 위해 HackRF One SDR 전자기기를 사용하였다.
• GNU Radio와 Scapy-radio 파이썬 모듈을 활용해 Z-Wave 패킷을 디코딩하고 위조하였다.
• 장치 포함 과정에서 일반적으로 사용되는 두 가지 암호화되지 않은 명령어인 Nonce Get/S2 Nonce Get과 Find Nodes In Range를 대상으로 하였다.
• 게이트웨이에 잘못된 또는 위조된 패킷을 전송하였으며, 존재하지 않는 노드나 자기 자신 주소로 지정된 노드에 대한 Nonce Report 응답도 포함하였다.
• Find Nodes In Range 패킷을 반복적으로 전송하여 게이트웨이의 과부하를 유도함으로써 공격을 실행하였다.
• 통제된 환경에서 공격를 시뮬레이션하여 게이트웨이의 동작 및 네트워크 장애 영향을 관찰하였다.

실험 결과

연구 질문

• RQ1 Nonce Get 및 Find Nodes In Range와 같은 암호화되지 않은 Z-Wave 명령어가 게이트웨이에 서비스 거부 공격을 유도하는 데 악용될 수 있는가?
• RQ2 게이트웨이만을 공격함으로써 전체 Z-Wave 네트워크를 얼마나 효율적으로 교란할 수 있는가?
• RQ3 기존의 RSSI 모니터링 기반 잼밍 탐지 기법으로는 이러한 공격이 어느 정도 탐지 가능한가?
• RQ4 왜 Z-Wave 네트워크에서 게이트웨이는 치명적인 단일 실패 지점이며, 이러한 공격가 그 취약점을 어떻게 악용하는가?
• RQ5 이러한 취약점은 스마트 홈 보안과 사용자 개인정보 보호에 실질적인 영향을 미칠 수 있는가?

주요 결과

• Routed Noncense 공격는 오직 256개의 특수하게 제작된 패킷만으로도 게이트웨이를 차단하였으며, 약 20분 동안 장애를 지속시켰다.
• NOPe 공격는 약 2분마다 Find Nodes In Range 패킷을 한 번씩 전송함으로써 게이트웨이의 장애를 지속시킬 수 있었다.
• 이 두 공격 모두 수신 신호 강도(RSSI) 기반의 전통적 잼밍 탐지 방식으로는 탐지되지 않았으며, 악성 패킷이 게이트웨이 자체에서 유래된 것처럼 보였기 때문이다.
• 공격로 인해 게이트웨이는 명령어 처리, 이벤트 처리, 스마트폰 앱 상호작용을 모두 중단하여 전체 Z-Wave 네트워크가 무력화되었다.
• 이러한 취약성은 Nonce Report 및 Find Nodes In Range 응답을 처리할 때 게이트웨이의 입력 검증이 부적절하게 구현되어 있어, 존재하지 않는 노드나 자기 자신 주소로 지정된 노드에 대한 위조 응답을 허용하기 때문이다.
• Silicon Labs는 발견 내용을 인정하고, 패치된 프로토콜 사양을 발표하였으며, 해당 결함를 수정한 구현 버전도 업데이트하였다.