[논문 리뷰] On Manually Reverse Engineering Communication Protocols of Linux Based IoT Systems

Kaizheng Liu, Ming Yang외 5명|arXiv (Cornell University)|2020. 07. 23.

Advanced Malware Detection Techniques참고 문헌 51인용 수 8

한 줄 요약

이 논문은 라이브러스 기반 임베디드 IoT 시스템에서 통신 프로토콜을 발견하기 위한 첫 번째 체계적인 수동 역공학 프레임워크를 제시한다. 펌웨어 추출, 네트워크 트래픽 분석, 정적/동적 분석을 조합하여 프로토콜 구조를 규명한다. WeMo 스마트 플러그에 적용한 결과, 원격 제어 및 서비스 거부 공격을 가능하게 하는 심각한 인증 결함이 드러났으며, 이는 읽기 전용 및 왤기 가능한 임베디드 라이브러스 시스템 모두에서의 효과성을 입증한다.

ABSTRACT

IoT security and privacy has raised grave concerns. Efforts have been made to design tools to identify and understand vulnerabilities of IoT systems. Most of the existing protocol security analysis techniques rely on a well understanding of the underlying communication protocols. In this paper, we systematically present the first manual reverse engineering framework for discovering communication protocols of embedded Linux based IoT systems. We have successfully applied our framework to reverse engineer a number of IoT systems. As an example, we present a detailed use of the framework reverse-engineering the WeMo smart plug communication protocol by extracting the firmware from the flash, performing static and dynamic analysis of the firmware and analyzing network traffic. The discovered protocol exposes severe design flaws that allow attackers to control or deny the service of victim plugs. Our manual reverse engineering framework is generic and can be applied to both read-only and writable Embedded Linux filesystems.

연구 동기 및 목표

• 임베디드 라이브러스 기반 IoT 시스템에서 통신 프로토콜을 역공학하는 데 있어 체계적인 접근 방식의 부족을 해결하기 위해.
• 먼저 기반 통신 프로토콜을 역공학하여 자동화된 보안 분석을 가능하게 하기 위해.
• 읽기 전용 및 왤기 가능한 라이브러스 파일시스템 모두에 적용 가능한 일반적인 수동 프레임워크를 개발하기 위해.
• WeMo 스마트 플러그의 상세 사례 연구를 통해 실제 세계의 프로토콜 취약점을 식별하고 시연하기 위해.
• 향후 IoT 생태계에서 프로토콜 수준의 보안 분석 및 취약점 발견을 위한 기반을 마련하기 위해.

제안 방법

• 플래시 메모리나 기타 소스에서 펌웨어와 앱을 추출하여 장치의 소스를 확보한다.
• 테스트베드 환경을 구성하여 IoT 장치, 스마트폰 앱, 클라우드 서버 간의 네트워크 트래픽을 캡처한다.
• 중간자 공격(MITM) 프oxy, 바이너리의 정적 분석, 동적 디버깅을 통해 암호화 및 가로막힘을 우회한다.
• 펌웨어 및 앱 코드의 정적 및 동적 분석과 네트워크 트래픽을 연계하여 프로토콜 역공학을 수행한다.
• 기호 실행과 시스템 콜 추적(예: ptrace)을 사용하여 행동을 분석하고 프로토콜 의미를 추출한다.
• 프로토콜 재구성 및 취약점 평가를 통해 결과를 검증한다. 이는 인증 및 세션 관리 결함 포함.

실험 결과

연구 질문

• RQ1 임베디드 라이브러스 기반 IoT 시스템의 통신 프로토콜을 사전 프로토콜 문서 없이 어떻게 체계적으로 역공학할 수 있는가?
• RQ2 IoT 네트워크 트래픽의 암호화 및 가로막힘을 효과적으로 우회하여 프로토콜 분석을 가능하게 하는 기법은 무엇인가?
• RQ3 수동 역공학은 IoT 프로토콜 구현의 심각한 설계 결함를 얼마나 잘 드러낼 수 있는가?
• RQ4 제안된 프레임워크는 읽기 전용 및 왤기 가능한 파일시스템을 가진 다양한 IoT 장치에 일반화될 수 있는가?
• RQ5 역공학 후 실제 세계의 IoT 프로토콜에서 어떤 특정 취약점이 드러날 수 있는가?

주요 결과

• 프레임워크는 WeMo 스마트 플러그의 통신 프로토콜을 성공적으로 역공학하여 심각한 인증 결함를 드러냈다.
• 악성 스마트폰 앱을 통해 원격 공격자는 피해자의 스마트 플러그를 제어하여 비승인된 장치 조작을 가능하게 한다.
• 가짜 스마트 플러그를 배포함으로써 정상 장치를 위장할 수 있으며, 이는 실제 플러그를 오프라인 상태로 만들고 서비스 거부 공격을 유도한다.
• 프레임워크는 일반적이며 514종의 인기 있는 IoT 장치에 적용 가능하여 읽기 전용 및 왤기 가능한 라이브러스 파일시스템 모두에 넓은 호환성을 보였다.
• 자동화 도구가 놓칠 수 있는 프로토콜 수준의 취약점을 드러내기 위해 여전히 수동 역공학이 필수적임을 확인했다.
• 사례 연구는 광범위하게 배포된 소비자용 IoT 장치조차도 통신 프로토콜에 심각하고 악용 가능한 설계 결함를 내재하고 있을 수 있음을 보여준다.