[논문 리뷰] Current State of IPv6 Security in IoT

Lisandro Ubiedo, Thomas J. O'Hara외 2명|arXiv (Cornell University)|2021. 05. 05.

Network Security and Intrusion Detection참고 문헌 1인용 수 4

한 줄 요약

이 연구는 IoT 기기에서 IPv6 보안의 현재 상태를 조사하며, 보급 추세, 취약성, 악성 소프트웨어 활동 및 데이터 유출 기법을 분석한다. 전 세계적으로 IPv6 보급률이 35%에 도달했음에도 불구하고, IPv6를 대상으로 하는 악성 소프트웨어는 여전히 흔치 않으며, 알려진 악성 소프트웨어 가족은 단 한 개 뿐이어서 방어자들이 광범위한 공격이 발생하기 전에 IPv6 방어를 강화할 수 있는 창을 제공한다.

ABSTRACT

This report presents the current state of security in IPv6 for IoT devices. In this research conducted from May 2020 to July 2020, we explored the global growth of IPv6 and compared it with the real growth of IPv6 in a medium size network. If IPv6 is already being used, are attackers already attacking using this protocol? To answer this question we look at the current vulnerabilities, attacks, and malware leveraging IPv6. Our research showed that while IPv6 adoption is growing, we are years away of a full adoption. The current global adoption is of 35\%, however there are countries rapidly adopting IPv6, such as India with 60\% of IPv6 enabled in the country. IPv6 brings new challenges for both attackers and defenders. With a larger address space, the activity of device discovery will force attackers to devise new techniques and tools. Defenders will also have to adapt their tools and monitoring technology to be able to work with IPv6. There are currently more than 16 million devices exposed on the internet on IPv6, however malware authors seem to be still focused mainly on IPv4. There is to date, one malware capable of attacking IPv6 networks. This may give an edge to defenders, who have now the opportunity to give the first step ahead of attackers.

연구 동기 및 목표

• IoT에서 IPv6의 현재 보급 수준과 네트워크 보안에 대한 영향을 평가하기.
• IPv6 환경에서 IoT에 대한 공격 벡터와 기존 취약성을 식별하기.
• 현재 악성 소프트웨어와 공격자가 IPv6 프로토콜을 얼마나 활용하고 있는지 평가하기.
• 특히 ICMPv6 및 DNS 기반 방법을 사용한 IPv6를 통한 데이터 유출 기법을 조사하기.
• 광범위한 이용이 발생하기 전에 방어자들이 IPv6 보안을 강화할 수 있도록 실질적인 통찰 제공하기.

제안 방법

• APNIC, Google, Akamai, Cisco 등의 출처에서 전 세계 IPv6 보급 지표를 수집하고 분석하였다.
• 로컬 네트워크에서 실제 네트워크 측정을 수행하여 IPv4 및 IPv6 트래픽과 공격 패tern을 비교하였다.
• ICMPv6 및 DNS 프로토콜을 통해 데이터를 유출하는 데 사용된 맞춤형 도구인 IPv6teal과 IPv6DNSExfil을 개발하고 테스트하였다.
• 공격자 행동을 모니터링하고 분석하기 위해 IPv6 전용 환경에서 작동하는 핑거프린트 허니팟을 구축하였다.
• 이진 파일 내의 IPv6 관련 악성 소프트웨어 및 악성 페이로드를 탐지하기 위해 YARA 규칙을 구현하였다.
• XOR 암호화된 페이로드를 사용한 ICMPv6 echo 요청 시퀀스 필드를 활용한 프로토타입 데이터 유출 방법을 설계하고 실행하였다.

실험 결과

연구 질문

• RQ1 IoT 네트워크에서 IPv6의 현재 전 세계 및 지역별 보급률은 얼마이며, IPv4 사용과 비교해 볼 때 어떻게 다른가?
• RQ2 공격자들은 현재 얼마나 많은 비율로 IPv6 취약성이나 IPv6를 공격에 활용하고 있는가?
• RQ3 IPv4와 비교해 IPv6 스캐닝 및 장치 탐지 기법은 어떻게 다른가, 그리고 방어자들에게 어떤 과제를 안기는가?
• RQ4 악성 소프트웨어가 IPv6를 통해 작동할 수 있는 능력은 현재 어느 정도이며, IPv6 전용 네트워크를 대상으로 하는 알려진 악성 소프트웨어 가족은 있는가?
• RQ5 ICMPv6 및 DNS와 같은 IPv6 프로토콜을 활용한 현대적 데이터 유출 기법은 얼마나 효과적인가?

주요 결과

• 전 세계 IPv6 보급률은 35%이며, 인도와 같은 국가에서는 60%에 도달해 지역적 성장 속도가 빠르다는 것을 시사한다.
• 인터넷에 노출된 IPv6 기반 기기 수는 1,600만 대 이상이지만, IPv6 네트워크를 대상으로 하는 알려진 악성 소프트웨어 가족은 단 한 개 뿐이다.
• IPv6 스캐닝은 IPv4보다 훨씬 더 복잡하며, 주소 공간이 매우 넓기 때문에 탐지에 새로운 도구와 기법이 필요하다.
• ICMPv6 시퀀스 필드를 통한 데이터 유출은 1KB의 데이터를 8분 42초 만에 전송할 수 있어 실질적인 도청성과 침묵성의 유출 방식임을 입증한다.
• 하위 계층 네트워크 데이터에 의존하는 방어 도구는 IPv6를 지원하도록 업데이트되어야 하며, 현재 대부분의 도구는 IPv4 중심으로 설계되어 있다.
• 동일한 IPv6 주소는 여러 가지 유효한 문자열 형식으로 표현될 수 있다(예: fe80::1 및 fe80:0000::1), 이는 IoC 및 블랙리스트 기반 탐지에 어려움을 초래한다.