[논문 리뷰] Ghost Peak: Practical Distance Reduction Attacks Against HRP UWB Ranging

P. Leu, Giovanni Camurati외 6명|TUbilio (Technical University of Darmstadt)|2021. 11. 09.

Ultra-Wideband Communications Technology참고 문헌 13인용 수 6

한 줄 요약

이 논문은 애플 U1 칩과 상호운용성 있는 NXP 및 Qorvo UWB 칩을 대상으로, IEEE 802.15.4z 고속 반복 주파수(HRP) 초광대역(UWB) 거리 측정 기술에 대한 실용적인 공중 거리 단축 공격을 처음으로 제시한다. 이 공격은 65달러의 저비용 오프더섀프 장치를 사용하여 패킷 필드별로 신호 전력만을 선택적으로 조작함으로써, 12m에서 0m까지의 위조 거리 측정을 가능하게 하며, 성공률는 4%에 이르며, UWB 기반 접근 제어 및 접근성 시스템의 보안을 약화시킨다.

ABSTRACT

We present the first over-the-air attack on IEEE 802.15.4z High-Rate Pulse Repetition Frequency (HRP) Ultra-WideBand (UWB) distance measurement systems. Specifically, we demonstrate a practical distance reduction attack against pairs of Apple U1 chips (embedded in iPhones and AirTags), as well as against U1 chips inter-operating with NXP and Qorvo UWB chips. These chips have been deployed in a wide range of phones and cars to secure car entry and start and are projected for secure contactless payments, home locks, and contact tracing systems. Our attack operates without any knowledge of cryptographic material, results in distance reductions from 12m (actual distance) to 0m (spoofed distance) with attack success probabilities of up to 4%, and requires only an inexpensive (USD 65) off-the-shelf device. Access control can only tolerate sub-second latencies to not inconvenience the user, leaving little margin to perform time-consuming verifications. These distance reductions bring into question the use of UWB HRP in security-critical applications.

연구 동기 및 목표

• IEEE 802.15.4z HRP UWB 거리 측정 기술이 애플 기기와 자동차 시스템에 널리 배포되어 있음에도 불구하고, 실용적인 공중 거리 단축 공격에 취약하다는 것을 입증하는 것.
• 암호 키나 메시지 내용을 알지 못한 채 상용 하드웨어를 사용하여 실제 환경에서 이러한 공격의 가능성을 평가하는 것.
• 자동차 문 열기, 모바일 결제, 접근 제어와 같은 보안 핵심 응용 분야에서 HRP UWB의 보안 영향을 평가하는 것.
• 현재 HRP 구현의 한계와 공개되지 않거나 모호한 수신기 설계 선택 사항이 초래하는 위험을 탐색하는 것.

제안 방법

• 공격은 HRP UWB의 물리 계층 신호 구조를 악용하여, 정밀하게 타이밍 조절된 전력 제어 신호를 주입함으로써 특정 필드에만 간섭을 일으킴.
• 공격은 기존의 잡음 공격이나 별개의 패킷으로 간주되지 않도록 하기 위해, 필드별 전력 조정 기법을 신규로 개발함으로써 정상 신호 성분을 선택적으로 가리키는 '선택적 가림'을 가능하게 함.
• 공격은 저비용 오프더섀프 USRP SDR 플랫폼(65달러)에 구현되었으며, 정밀한 타이밍과 전력 제어로 UWB 신호를 캡처하고 재전송할 수 있음.
• 실험은 아이폰과 에어태그에 탑재된 애플 U1 칩, 그리고 NXP SR040/SR150 및 Qorvo DWM3000 UWB 칩을 대상으로 실제 환경에서 수행됨.
• 공격은 채널 인파르스프로필에 인위적 피크를 생성함으로써 ToA(Time-of-Arrival) 추정을 조작하여 수신기가 조기 도착 시간을 잘못 인식하도록 유도함.
• 공격은 암호 키나 메시지 내용의 역설계가 필요 없으며, 암호화된 키나 메시지 내용을 알지 못한 채 물리 계층에서만 작동하는 블랙박스 방식으로 작동함.

실험 결과

연구 질문

• RQ1 암호 자료나 메시지 내용을 알지 못한 채 실용적인 공중 거리 단축 공격를 HRP UWB 거리 측정에 성공적으로 수행할 수 있는가?
• RQ2 패킷 필드별로 신호 전력을 조작함으로써 잡음 공격로 간주되지 않도록 하면서 거리 측정을 위조할 수 있는 정도는 어느 정도인가?
• RQ3 상용 하드웨어를 사용해 널리 배포된 UWB 칩에서 이러한 공격의 실제 가능성과 성공률는 어느 정도인가?
• RQ4 STS 시퀀스에 의존하는 HRP UWB의 기존 보안 가정이 물리 계층 조작에 의해 얼마나 견고한가?
• RQ5 이러한 취약점은 자동차 키리모컨, 연락 없이 결제하는 결제와 같은 보안 핵심 응용 분야에 어떤 영향을 미치는가?

주요 결과

• 65달러의 오프더섀프 SDR 장치만으로 실제 실험에서 12m에서 0m까지 측정 거리를 성공적으로 단축함.
• 공격 성공률는 최대 4%에 이르며, 접근 제어 시나리오에서 단일 측정 기반 시스템을 우회하는 데 충분함.
• 공격은 암호 키나 메시지 내용을 알지 못한 채 실용적이며, 물리 계층 신호 조작에만 의존함.
• 공격은 애플 U1 칩과 상호운용성 있는 NXP 및 Qorvo UWB 칩 모두에서 성공적으로 시연되었으며, 주요 UWB 구현에 광범위하게 적용 가능함.
• 결과는 HRP UWB의 보안이 투명한 수신기 설계 선택 사항으로 인해 미세한 물리 계층 조작에 취약하다는 것을 시사함.
• 연구는 공개된 보안 매개변수나 알고리즘이 없는 UWB 구현에서의 보안-관찰에 따른 위험을 부각함.