[논문 리뷰] Introducing the Robot Vulnerability Database (RVD)

Víctor Mayoral Vilches, Lander Usategui San Juan외 3명|arXiv (Cornell University)|2019. 12. 24.

Software Reliability and Analysis Research참고 문헌 14인용 수 10

한 줄 요약

이 논문은 로봇 분야에 특화된 기계로 읽을 수 있는 취약성 저장소인 로봇 취약성 데이터베이스(RVD)를 소개한다. 이는 일반적인 데이터베이스인 CVE와 NVD에서 관찰되는 로봇 분야 전용, 재현 가능하고 맥락이 풍부한 취약성 공개의 부족을 보완한다. RVD는 기존의 CVE 및 NVD 시스템을 향상시켜 재현 정보, 로봇 전용 스코어링(RVSS), 그리고 정형화된 데이터를 포함함으로써, 취약성 분류, 대응 조치 및 제조사의 대응을 향상시킨다. 현재까지 다양한 제조사의 110개 검증된 취약성이 포함되어 있다.

ABSTRACT

Cybersecurity in robotics is an emerging topic that has gained significant traction. Researchers have demonstrated some of the potentials and effects of cyber attacks on robots lately. This implies safety related adverse consequences causing human harm, death or lead to significant integrity loss clearly overcoming the privacy concerns in classical IT world. In cybersecurity research, the use of vulnerability databases is a very reliable tool to responsibly disclose vulnerabilities in software products and raise willingness of vendors to address these issues. In this paper we argue, that existing vulnerability databases are of insufficient information density and show some biased content with respect to vulnerabilities in robots. This paper presents the Robot Vulnerability Database (RVD), a directory for responsible disclosure of bugs, weaknesses and vulnerabilities in robots. This article aims to describe the design and process as well as the associated disclosure policy behind RVD. Furthermore the authors present preliminary selected vulnerabilities already contained in RVD and call to the robotics and security communities for contribution to the endeavour of eliminating zero-day vulnerabilities in robotics.

연구 동기 및 목표

• 일반적인 데이터베이스인 CVE와 NVD와 같은 일반 목적의 데이터베이스에서 로봇 분야 전용 취약성 공개의 부족성과 열악한 품질을 해결하기 위해.
• 세부적인 시스템 맥락, 재현 단계, 악용 가능성 증거를 요구하여 취약성 보고의 정보 편향 및 측정 편향을 줄이기 위해.
• 자동화, 취약성 분류, 책임감 있는 공개를 지원하는 정형화되고 기계로 읽을 수 있으며 확장 가능한 데이터베이스를 구축하기 위해.
• 로봇 시스템의 고유한 안전성 및 통합 과제에 맞춰 구체적이고 실행 가능한 맥락 기반의 취약성 데이터를 제공함으로써 제조사의 대응 속도를 향상시키기 위해.
• 로봇 및 사이버보안 커뮤니티 간의 협업을 촉진하기 위해 책임감 있는 공개 및 취약성 관리를 위한 중앙집중식이고 개방된 플랫폼을 제공하기 위해.

제안 방법

• RVD는 쿼리, 검증, 보안 파ip라인 통합 등 자동화를 가능하게 하는 정형화되고 기계로 읽을 수 있는 데이터 모델에 기반한다.
• RVD는 데이터 기밀성보다 안전성 영향을 우선시하는 로봇 전용 취약성 스코어링 시스템(RVSS)을 사용하여, 로봇 분야의 위험에 대해 CVSSv3보다 더 보수적인 평가를 제공한다.
• 취약성 항목에는 전체 시스템 맥락(예: 로봇 모델, ROS 버전), 재현 단계, 악용 가능성 증거, 수정 권고 사항 등이 포함되어 있어 재현 가능성을 보장한다.
• 중복 및 추상화 편향을 줄이기 위해 활성 학습과 의미 분석을 활용한 중복 제거 및 추상화 완화 전략을 적용한다.
• RVD는 ROS 및 ROS 2와 같은 오픈소스 로봇 컴포onent에 초점을 맞춰 실제 세계의 취약성을 책정한 책임감 있는 공개를 통해 구성된다.
• RVD는 CVE 및 NVD와 같은 기존 프레임워크와 통합되며, 일반 목적의 데이터베이스에 존재하지 않는 로봇 전용 메타데이터 및 맥락을 보완한다.

실험 결과

연구 질문

• RQ1 기존의 취약성 데이터베이스는 로봇 시스템의 고유한 요구사항, 특히 재현 가능성과 안전성 영향 평가 측면에서 어떻게 개선될 수 있는가?
• RQ2 로봇 분야에서의 취약성 보고 신뢰성 향상을 위해 필요한 구조적 및 스코어링 개선 사항은 무엇인가?
• RQ3 현재 로봇 분야의 취약성 공개는 효과적인 분류 및 대응을 위해 충분한 시스템 맥락과 악용 가능성 정보를 제공하지 못하는 정도는 어느 정도인가?
• RQ4 로봇 모델, ROS 버전 등의 로봇 전용 맥락이 포함될 경우 취약성 평가의 정확성과 유용성은 어떻게 향상되는가?
• RQ5 중앙집중식, 기계로 읽을 수 있고 커뮤니티가 유지 관리하는 취약성 데이터베이스는 로봇 시스템의 보안 수준을 상당히 향상시킬 수 있는가?

주요 결과

• RVD는 현재까지 110개의 검증된 취약성을 포함하고 있으며, 초보적 분석 결과 제조사의 보안 참여도(예: 연구자 지원, 안내문 출간)가 높을수록 보고된 취약성의 심각도가 낮다는 상관관계가 확인되었다.
• 로봇 취약성 스코어링 시스템(RVSS)은 CVSSv3보다 안전성 관련 영향 평가에서 더 보수적인 평가를 내리며, 물리적 결과를 초래하는 위험은 과도하게 평가하고 순수 데이터 중심 문제는 낮게 평가하는 데 성공했다.
• 로봇과 관련된 많은 기존 CVE 항목들(예: CVE-2019-13566, CVE-2019-13465)은 재현을 위해 충분한 정보를 제공하지 못하며, 테스트 대상 시스템 사양과 악용 벡터가 누락되어 있다.
• 활성 학습과 의미 분석을 활용한 데이터 수집 과정에서 중복 및 추상화 편향이 크게 감소하여 데이터 품질과 일관성이 향상되었다.
• 기계로 읽을 수 있는 형식 덕분에 검증, 쿼리, 보안 툴체인 통합 등 자동화가 가능해져 보급이 증가함에 따라 유지보수 부담이 감소했다.
• 초보적 분석 결과 오픈소스 로봇 컴포넌트인 ROS 및 ROS 2는 자주 공격 대상이 되며, 다양한 제조사와 시스템 계층을 아우르는 취약성이 존재한다.