[논문 리뷰] Exfiltration of Data from Air-gapped Networks via Unmodulated LED Status Indicators

Zhengwen Zhou, Zhang, Weiming외 2명|arXiv (Cornell University)|2017. 11. 09.

Internet Traffic Analysis and Secure E-voting참고 문헌 12인용 수 3

한 줄 요약

이 논문은 공기 격리 네트워크에서 키보드의 변조되지 않은 LED 상태 표시등을 사용하여 암시적 광통신 채널을 제안하며, 이중 주파수 시프트 키싱(B-FSK)을 적용하여 인지되지 않는 데이터 유출를 실현한다. 이 방법은 표준 IP 카메라를 사용하여 인간이 인지할 수 없는 방식으로 최대 5.08미터까지 신뢰성 있게 데이터 전송이 가능하며, 기존의 on-off 키싱(OOK)에 비해 훨씬 높은 은밀성을 확보한다.

ABSTRACT

The light-emitting diode(LED) is widely used as an indicator on the information device. Early in 2002, Loughry et al studied the exfiltration of LED indicators and found the kind of LEDs unmodulated to indicate some state of the device can hardly be utilized to establish covert channels. In our paper, a novel approach is proposed to modulate this kind of LEDs. We use binary frequency shift keying(B-FSK) to replace on-off keying(OOK) in modulation. In order to verify the validity, we implement a prototype of an exfiltration malware. Our experiment show a great improvement in the imperceptibility of covert communication. It is available to leak data covertly from air-gapped networks via unmodulated LED status indicators.

연구 동기 및 목표

• 기존의 변조된 LED나 눈에 보이는 깜빡임에 의존하는 암시적 채널의 한계를 해결하기 위해 사용자가 감지할 수 없도록 하는 데 목적이 있다.
• 변조되지 않은 LED 표시등(Class I)이 사용자에 대한 의심을 불러일으키지 않도록 재사용되어 암시적 통신이 가능하다는 것을 입증하는 데 목적이 있다.
• 표준 하드웨어(IP 카메라, 키보드 LED)를 활용하여 데이터 유출를 위한 실용적인 공격 모델(KLONC)을 설계하고 구현하는 데 목적이 있다.
• B-FSK 변조를 통해 OOK에 비해 눈에 띄는 깜빡임을 최소화하여 감지 가능성 저감을 통해 은밀성을 향상시키는 데 목적이 있다.
• 실제 환경 조건에서 다양한 거리와 각도에서 효과적인 전송 거리와 신호 품질을 평가하는 데 목적이 있다.

제안 방법

• 이중 주파수 시프트 키싱(B-FSK)을 제안하여 '1'과 '0'에 대해 각각 다른 깜빡임 주파수를 사용하여 이진 데이터를 인코딩함으로써 전통적인 OOK 대신 인지 가능성을 감소시킨다.
• 키보드의 LED 상태를 소프트웨어로 제어하여 변조된 광신호를 생성하는 악성코드 프로토타입(KLONC)을 설계한다.
• 표준 IP 카메라를 수신기로 사용하여 LED에서 발생하는 변조된 광신호를 캡처하고 복호화한다.
• 이론적 모델링과 실험적 검증을 통해 방출 각도와 밝기 기반으로 효과적인 전송 거리의 상한선을 규명한다.
• 신호 강도를 추정하기 위해 $ B = rac{1.77}{d^2} imes ext{cos}( heta) $ 라는 밝기 모델을 적용하며, 여기서 $ d $ 는 거리이고 $ heta $ 는 방출 각도이다.
• B-FSK와 OOK의 깜빡임 주파수 및 감지 가능성 측면에서 비교 분석하여, B-FSK가 더 낮은 깜빡임 값을 기록하고 더 높은 은밀성을 확보함을 보여준다.

실험 결과

연구 질문

• RQ1 변조되지 않은 LED 상태 표시등(Class I)이 사용자 감지 없이 암시적 광채널을 구축하는 데 효과적으로 사용될 수 있는가?
• RQ2 B-FSK 변조는 변조되지 않은 LED에서 기존의 OOK에 비해 데이터 유출의 은밀성을 어떻게 향상시키는가?
• RQ3 키보드 LED에서 원격에 위치한 IP 카메라로 암시적 신호를 전송할 수 있는 최대 효과적인 전송 거리는 얼마인가?
• RQ4 신호 밝기는 거리와 각도에 따라 어떻게 변화하며, 신뢰성 있는 감지에 대한 실질적인 상한선은 무엇인가?
• RQ5 이러한 LED 기반 암시적 채널에 대비하여 가장 효과적인 절차적 및 기술적 대응 조치는 무엇인가?

주요 결과

• 제안된 B-FSK 변조 방법은 OOK에 비해 훨씬 낮은 깜빡임 값을 기록하여 인지 가능성 저감과 은밀성 향상을 달성한다.
• KLONC 프로토타입은 공기 격리 네트워크에서 최대 5.08미터, 62.66°의 방출 각도까지 데이터를 성공적으로 유출했다.
• 4.02미터 거리에서의 신호 밝기는 1.77미터 거리에서의 밝기 약 10% 수준으로 감소하여 거리에 따른 광신호의 급격한 감쇠를 확인했다.
• 실험 결과, 선택된 B-FSK 주파수에서 인간 시각이 깜빡임을 구분하지 못함을 입증하여 방법의 은밀성을 검증했다.
• 거리와 각도에 따른 신호 밝기 이론 모델은 실험 관측 결과와 밀도 있게 일치하여 전송 한계를 정확히 예측할 수 있게 했다.
• 광센서를 이용한 LED 상태 모니터링과 같은 대응 조치는 높은 감지 가능성을 보였지만, 하드웨어 제약과 낮은 사건 발생 확률로 인해 실용적 효과는 제한된다.