[논문 리뷰] NFCGate: Opening the Door for NFC Security Research with a Smartphone-Based Toolkit

Steffen Klee, Alexandros Roussos외 2명|arXiv (Cornell University)|2020. 08. 10.

User Authentication and Security Systems참고 문헌 18인용 수 5

한 줄 요약

NFCGate는 오프더쇼프 안드로이드 기기들을 스마트폰 기반의 강력한 NFC 보안 연구 플랫폼으로 전환시키는 스마트폰 기반 툴킷입니다. 이는 비행 중 트래픽 분석, 리lay어 공격, 재생, 그리고 디바이스 내 트래픽 캡처를 가능하게 합니다. 이 도구는 안드로이드의 네이티브 스택과 호환되지 않는 프로토콜을 포함한 NFC 프로토콜을 분석하고 악용할 수 있도록 하며, 기업용 NFC 잠금장치에서 심각한 취약점을 발견한 사례 연구를 통해 이를 입증했습니다. 이 취약점들은 제조사에 책임감 있게 공개되었습니다.

ABSTRACT

Near-Field Communication (NFC) is being used in a variety of security-critical applications, from access control to payment systems. However, NFC protocol analysis typically requires expensive or conspicuous dedicated hardware, or is severely limited on smartphones. In 2015, the NFCGate proof of concept aimed at solving this issue by providing capabilities for NFC analysis employing off-the-shelf Android smartphones. In this paper, we present an extended and improved NFC toolkit based on the functionally limited original open-source codebase. With in-flight traffic analysis and modification, relay, and replay features this toolkit turns an off-the-shelf smartphone into a powerful NFC research tool. To support the development of countermeasures against relay attacks, we investigate the latency incurred by NFCGate in different configurations. Our newly implemented features and improvements enable the case study of an award-winning, enterprise-level NFC lock from a well-known European lock vendor, which would otherwise require dedicated hardware. The analysis of the lock reveals several security issues, which were disclosed to the vendor.

연구 동기 및 목표

• NFC 프로토콜 분석을 위한 접근성 있고 저렴하며 눈에 띄지 않는 도구의 부족을 해결하기 위해.
• 안드로이드의 NFC 스택가 원시 APDU 트래픽에 대한 액세스를 제한하고 비표준 또는 고유 프로토콜의 분석을 불가능하게 하는 제약을 극복하기 위해.
• 오픈마켓에서 구매 가능한 스마트폰만으로도 리레이 및 재생과 같은 능동형 공격을 NFC 기반 시스템에 적용할 수 있도록 하기 위해.
• 실제 공격 시나리오에서 이 툴킷이 유도하는 지연 시간의 영향을 평가하기 위해.
• 실제 상용 제품으로 출시된 보안상의 상을 수상한 NFC 잠금장치에 대한 사례 연구를 통해 툴킷의 효과성을 입증하기 위해.

제안 방법

• 기존 NFCGate 개념 증명을 보완하여, 캡처된 NFC 트래픽의 재생 및 디바이스 내 전체 시스템 트래픽 캡처 기능을 강화한 기능을 추가함.
• 런타임 중 NFC 트래픽의 분석 및 수정을 가능하게 하기 위해 파이썬 기반 플러그인 시스템을 구현함.
• 안드로이드의 기본 제한 조건을 우회하기 위해 안드로이드에서 NFC 통신을 시스템 수준에서 가로채기 위해 함수 훅킹을 사용함.
• NfcService.sendData 및 HCE의 onHostEmulationData와 같은 핵심 안드로이드 NFC 서비스 메서드를 훅킹하여 양방향 APDU 트래픽을 캡처함.
• NFC-A/B/F/V 등 여러 NFC 기술을 지원하며, 기기 간 트래픽 전달을 통해 웜홀 유사 기능을 제공하는 리레이 공격을 가능하게 함.
• Wireshark 및 libfreefare와 같은 도구를 사용한 오프라인 분석과 프로토콜 역공학을 위해 pcapng 형식으로 캡처된 트래픽을 내보냄.

실험 결과

연구 질문

• RQ1 비용이 많이 들거나 눈에 띄는 하드웨어가 필요 없이 스마트폰 기반 툴킷이 능동형 NFC 프로토콜 분석을 효과적으로 가능하게 할 수 있는가?
• RQ2 NFCGate의 운영이 실제 NFC 통신 환경에서 측정 가능한 지연 시간을 얼마나 유발하는가?
• RQ3 NFCGate는 안드로이드 표준 NFC 스택과 호환되지 않는 고유 프로토콜을 분석하고 악용하는 데 사용될 수 있는가?
• RQ4 이 툴킷을 사용하여 실제 기업용 NFC 기반 시스템에서 발견할 수 있는 보안 취약점은 무엇인가?
• RQ5 이 툴킷은 리레이 및 재생 공격에 대비한 대응 조치 개발을 얼마나 효과적으로 지원하는가?

주요 결과

• NFCGate는 안드로이드의 NFC 스택과 네이티브로 호환되지 않는 기업용 NFC 잠금장치의 분석을 성공적으로 수행하여, 시스템 수준 제약을 우회할 수 있음을 입증함.
• 이 툴킷은 잠금장치 프로토콜의 다수의 보안 결함을 발견하였으며, 이는 수정된 DESFire AES 인증 메커니즘의 약점에 기인하였고, 제조사에 책임감 있게 공개됨.
• 리레이 모드를 통해 잠금장치와 트랜スポnd러 사이의 NFC 트래픽을 캡처하고 전달함으로써 원격에서 잠금 장치를 제어할 수 있는 가능성을 입증함.
• 재생 모드를 통해 캡처된 APDU 시퀀스를 재전송함으로써 대상 시스템에서의 재생 공격의 실현 가능성을 입증함.
• NFCGate에 의해 유도된 측정된 지연 시간은 구성에 따라 10ms에서 80ms 사이로 변동하였으며, 리레이 및 재생 모드에서 더 높은 지연이 관찰됨. 이는 실시간 공격의 실현 가능성에 있어 핵심 요소임.
• 파이썬 기반 플러그인 시스템을 통해 동적 트래픽 검사 및 수정이 가능해져 연구자들이 실시간 공격 중 프로토콜 동작을 조작할 수 있음.