[논문 리뷰] MAGNETO: Fingerprinting USB Flash Drives via Unintentional Magnetic Emissions

Omar Adel Ibrahim, Savio Sciancalepore외 2명|arXiv (Cornell University)|2020. 02. 14.

Advanced Malware Detection Techniques참고 문헌 27인용 수 7

한 줄 요약

MAGNETO는 USB 플래시 드라이브가 부팅 중에 발생하는 의도하지 않은 저주파수 자기장 방출을 분석함으로써 고유하게 지문을 식별하는 비상호작용적이고 프라이버시를 보장하는 프레임워크이다. 저비용 SDR 하드웨어를 사용하여 브랜드와 모델을 98.2%의 정확도로, 개별 기기들을 91.3%의 정확도로 식별할 수 있으며, 계산 오버헤드가 극히 적고 실시간 성능을 보인다.

ABSTRACT

Universal Serial Bus (USB) Flash Drives are nowadays one of the most convenient and diffused means to transfer files, especially when no Internet connection is available. However, USB flash drives are also one of the most common attack vectors used to gain unauthorized access to host devices. For instance, it is possible to replace a USB drive so that when the USB key is connected, it would install passwords stealing tools, root-kit software, and other disrupting malware. In such a way, an attacker can steal sensitive information via the USB-connected devices, as well as inject any kind of malicious software into the host. To thwart the above-cited raising threats, we propose MAGNETO, an efficient, non-interactive, and privacy-preserving framework to verify the authenticity of a USB flash drive, rooted in the analysis of its unintentional magnetic emissions. We show that the magnetic emissions radiated during boot operations on a specific host are unique for each device, and sufficient to uniquely fingerprint both the brand and the model of the USB flash drive, or the specific USB device, depending on the used equipment. Our investigation on 59 different USB flash drives---belonging to 17 brands, including the top brands purchased on Amazon in mid-2019---, reveals a minimum classification accuracy of 98.2% in the identification of both brand and model, accompanied by a negligible time and computational overhead. MAGNETO can also identify the specific USB Flash drive, with a minimum classification accuracy of 91.2%. Overall, MAGNETO proves that unintentional magnetic emissions can be considered as a viable and reliable means to fingerprint read-only USB flash drives. Finally, future research directions in this domain are also discussed.

연구 동기 및 목표

• 공기 격리 또는 고립된 시스템을 손상시키는 데 악용되는 악성 USB 플래시 드라이브의 증가하는 위협에 대응하기 위해.
• 펌웨어나 소프트웨어 기반 탐지에 의존하지 않고도 기기의 진위를 확인할 수 있는 경량이며 비상호작용적인 방법을 개발하기 위해.
• USB 기기의 의도하지 않은 전자기 방출을 물리 계층 지문 식별 수단으로 사용할 수 있는지 탐색하기 위해.
• 실제 환경 조건에서 다양한 상용 USB 플래시 드라이브 간의 자기장 방출의 신뢰성과 고유성을 평가하기 위해.
• 기존 보안 조치가 실패할 수 있는 핵심 인프라 환경에서 교체되거나 손상된 USB 드라이브를 탐지할 수 있도록 하기 위해.

제안 방법

• HackRF One와 같은 소프트웨어 정의 신호기(SDR)를 사용하여 USB 플래시 드라이브의 부팅 프로세스 동안 발생하는 의도하지 않은 자기장 방출을 캡처하기 위해.
• 정의된 시간 창(최대 3.35초 이내) 내에서 스펙트럼 분석 및 시간 도메인 분석을 통해 캡처된 신호에서 방출 특징을 추출하기 위해.
• 다양한 USB 브랜드, 모델, 개별 기기를 구분할 수 있도록 추출된 방출 프로파일을 기반으로 기계학습 분류기 학습하기 위해.
• 두 단계 분류 접근법을 사용하기 위해: 먼저 브랜드와 모델을 식별한 후, 특정 기기의 세밀한 식별을 수행하기 위해.
• USB 컨트롤러 칩 및 PCB 레이아웃의 제조 공차에 기인한 전자기 방출의 물리적 고유성을 활용하기 위해.
• 관측 창을 넓히고 추가적인 방출 패턴을 프로파일링하여 정지 상태 또는 파일 전송 동안의 이면적 행동을 탐지할 수 있도록 프레임워크를 확장하기 위해.

실험 결과

연구 질문

• RQ1 USB 플래시 드라이브가 부팅 중에 발생하는 의도하지 않은 자기장 방출이 기기 식별을 위한 안정적이고 고유한 지문으로 사용될 수 있는가?
• RQ2 제조 공차 및 부품 레이아웃의 차이가 서로 다른 USB 플래시 드라이브 간에 구분 가능한 방출 프로파일을 초래하는 정도는 어느 정도인가?
• RQ3 저비용 SDR 하드웨어를 사용해 자기장 방출 서명을 기반으로 USB 기기를 분류하는 데 있어 정확도와 효율성은 어느 정도인가?
• RQ4 펌웨어를 수정하거나 실행 지연을 유도함으로써 정상 기기처럼 위장하는 악성 USB 기기를 MAGNETO가 탐지할 수 있는가?
• RQ5 정지 상태 또는 데이터 전송 상태에서 이면적 행동을 탐지하기 위해 관측 창을 연장했을 경우의 영향은 무엇인가?

주요 결과

• MAGNETO는 2019년 중반 기준 아마존 베스트셀러를 포함한 17개 브랜드의 59개 기기에서 USB 플래시 드라이브의 브랜드와 모델을 식별하는 데 최소 98.2%의 정확도를 달성한다.
• 최소 200MHz 이상의 대역폭을 갖춘 장비를 사용할 경우, MAGNETO는 개별 USB 플래시 드라이브를 식별하는 데 최소 91.3%의 정확도를 달성한다.
• 프레임워크는 단지 3.35초 간의 신호 캡처와 표준 랩탑에서 1초 미만의 처리 시간만 필요로 하여 거의 실시간 동작이 가능하다.
• 거짓 긍정률은 0.01%로 극히 낮아 기기 인증의 높은 신뢰성을 입증한다.
• 펌웨어 조작에 영향을 받지 않는 물리 계층 특성에 기반하기 때문에, 기존 탐지 방식을 피하는 펌웨어 기반 공격에도 효과적이다.
• 더 긴 관측 창을 통해 정지 상태 또는 파일 전송 중의 이면적 행동을 탐지할 수 있도록 방출 패턴을 프로파일링함으로써 MAGNETO를 확장할 수 있다.