[논문 리뷰] Memory Forensic Analysis of MQTT Devices

Anal Shah, Palak Rajdev외 1명|arXiv (Cornell University)|2019. 08. 20.

Advanced Malware Detection Techniques참고 문헌 3인용 수 6

한 줄 요약

이 논문은 MQTT 브로커와 클라이언트를 실행하는 임베디드 IoT 기기에서 민감한 데이터—자격 증명 및 설정 정보 등—을 추출하기 위한 메모리 포렌식 분석 기법을 제시한다. 비정적 메모리 덤프를 분석함으로써 저자들은 보안이 확보되지 않은 메모리 영역이 평문 인증 토큰과 브로커 설정을 노출시킴을 입증하며, MQTT 기반 IoT 시스템에서 심각한 보안 결함을 드러낸다.

ABSTRACT

Internet of Things is revolutionizing the current era with its vast usage in number of fields such as medicine, automation, home security, smart cities, etc. As these IoT devices' uses are increasing, the threat to its security and to its application protocols are also increasing. Traffic passing over these protocol if intercepted, could reveal sensitive information and result in taking control of the entire IoT network. Scope of this paper is limited to MQTT protocol. MQTT (MQ Telemetry Transport) is a light weight protocol used for communication between IoT devices. There are multiple brokers as well as clients available for publishing and subscribing to services. For security purpose, it is essential to secure the traffic, broker and end client application. This paper demonstrates extraction of sensitive data from the devices which are running broker and client application.

연구 동기 및 목표

• 보안이 확보되지 않은 메모리 저장으로 인한 MQTT 기반 임베디드 IoT 기기의 보안 위험을 조사하기 위해.
• 비정적 메모리 덤프에서 자격 증명 토큰 및 설정 정보와 같은 민감한 데이터를 식별하고 추출하기 위해.
• 메모리 포렌식 기법이 MQTT 기반 IoT 시스템의 핵심 보안 결함을 폭 드러내는 데의 가능성을 입증하기 위해.
• 임베디드 기기 메모리 내 평문 자격 증명과 브로커 설정의 노출에 대한 인식을 제고하기 위해.

제안 방법

• MQTT 클라이언트 및 브로커 소프트웨어를 실행하는 임베디드 IoT 기기에서 비정적 메모리 덤프를 확보하기 위해.
• 표준 메모리 포렌식 도구(예: Volatility 프레임워크)를 사용해 메모리 이미지에서 민감한 데이터를 분석하기 위해.
• 패턴 매칭 및 문자열 추출 기법을 통해 암호화되지 않은 자격 증명과 설정 문자열을 식별하기 위해.
• 기존 설정 파일과 네트워크 트래픽 로그를 참조하여 추출된 데이터의 정합성을 검증하기 위해.
• 메모리 내 MQTT 관련 데이터 구조와 자격 증명을 자동으로 탐지하기 위해 커스텀 스크립트를 사용하기 위해.

실험 결과

연구 질문

• RQ1 MQTT 기반 임베디드 IoT 기기의 비정적 메모리에 어떤 유형의 민감한 데이터가 노출되는가?
• RQ2 메모리 포렌식 기법을 통해 임베디드 MQTT 기기의 비정적 메모리에서 평문 자격 증명과 설정 데이터를 얼마나 정확하게 추출할 수 있는가?
• RQ3 배포된 IoT 기기의 메모리 내에서 암호화되지 않은 인증 토큰과 브로커 설정은 얼마나 퍼져 있는가?
• RQ4 메모리 노출가 이러한 문제로 인해 MQTT 기반 IoT 네트워크의 전체 보안에 어떤 영향을 미치는가?

주요 결과

• 다양한 임베디드 기기의 메모리 덤프에서 평문 MQTT 인증 자격 증명, 즉 사용자 이름과 암호가 성공적으로 추출되었다.
• 접속 엔드포인트 및 클라이언트 ID와 같은 브로커 설정 세부 정보가 비정적 메모리 내에서 암호화되지 않은 형태로 발견되었다.
• 분석 결과, 기기의 루트 액세스나 소프트웨어 취약점을 악용할 필요 없이도 메모리 포렌식 기법을 통해 민감한 데이터를 신뢰성 있게 추출할 수 있음을 입증했다.
• 메모리 내 하드코딩된 자격 증명이 존재할 경우, 이를 탈취당하면 횡행 이동 및 전체 네트워크 침해 위험이 증가한다.
• 이 연구는 심지어 경량 프로토콜인 MQTT 역시 적절한 데이터 정제 조치가 이행되지 않을 경우 메모리 기반 공격에 취약할 수 있음을 입증한다.