[논문 리뷰] Steal Your Life Using 5 Cents: Hacking Android Smartphones with NFC Tags

Carlos Bermejo, Pan Hui|arXiv (Cornell University)|2017. 05. 05.

User Authentication and Security Systems참고 문헌 6인용 수 10

한 줄 요약

이 논문은 저비용 NFC 태그를 사용하여 공격자가 NFC 기반 안드로이드 기기에서 URL/URI 위조, 민감한 데이터 유출(예: 은행 및 소셜미디어 인증 정보), 기기 지문 분석 및 지리적 위치 추적, 그리고 사용자 상호작용 없이도 불법적인 동작을 수행할 수 있음을 입증한다. 주요 기여는 NFC-안드로이드 생태계 내에서 심각하고 악용 가능한 취약점을 규명하고, 비침습적이며 실용적인 보안 솔루션을 제안한 것이다.

ABSTRACT

Nowadays privacy in the connected world is a big user's concern. The ubiquity of mobile devices permits billions of users browse the web at anytime, anywhere. Near Field Communication (NFC) appeared as a seamlessly and simply communication protocol between devices. Commercial services such as Android Pay, and Apple Pay offer contactless payment methods that are spreading in more and more scenarios. However, we take risks while using NFC on Android devices, we can be hacked, and our privacy can be affected. In this paper we study the current vulnerabilities in the NFC-Android ecosystem. We conduct a series of experiments and we expose that with NFC and Android devices are vulnerable to URL/URI spoofing, Bank/social network information hacking, and user's device tracking via fingerprint and geo-location. It is important for the community to understand the problem and come up solution that can tackle these issues and inform the users about privacy awareness and risks on using these contactless services.

연구 동기 및 목표

• 사용자에 의해 감지되지 않는 공격을 가능하게 하는 NFC-안드로이드 생태계 내 보안 취약점을 조사한다.
• NFC 태그가 어떻게 URL/URI 위조, 기기 지문 분석, 그리고 승인되지 않은 데이터 유출을 수행할 수 있는지 폭 드러낸다.
• 기존 안드로이드 권한 모델과 위치 추적 메커니즘이 NFC 기반 추적 및 데이터 유출을 방지하지 못함을 입증한다.
• 사용성은 유지하면서 개인정보 보호를 향상시키는 경량이며 구현 가능한 보안 솔루션을 제안한다.

제안 방법

• URI 위조 및 인증되지 않은 데이터 주입을 포함한 NFC 프로토콜 취약점을 악용하기 위해 실제 안드로이드 기기에서 실증 실험을 수행했다.
• 안드로이드의 기본 동작 방식인 NFC 태그에서 온 인텐트를 자동으로 실행하여 악성 동작(예: URL 열기, SMS 또는 통화 시작)을 수행하는 방식을 활용했다.
• NFC를 통해 유도된 웹 세션을 통해 브라우저 및 센서 데이터 노출을 악용하여 웹 기반 지문 분석 기법을 활용해 기기 지문을 수집했다.
• GPS 좌표를 NFC 태그에 통합하고 사용자 명시적 동의 없이 기기의 위치 보고 행동을 관찰하여 지리적 위치 데이터를 유출했다.
• 다양한 안드로이드 버전과 기기 모델을 대상으로 공격의 가능성을 평가하여 취약성의 영향 범위를 분석했다.
• 사용자 인식 기반의 NFC 태그 경고, 강화된 권한 제어, NFC 유도 동작의 클라이언트 측 검증과 같은 대응 전략을 제안했다.

실험 결과

연구 질문

• RQ1 NFC 태그가 어떻게 안드로이드의 권한 모델을 우회하고 사용자 동의 없이 악성 동작을 실행할 수 있는가?
• RQ2 NFC 기반 공격이 사용자 명시적 동의 없이 얼마나 깊이 기기 지문 분석 및 위치 추적을 수행할 수 있는가?
• RQ3 안드로이드 기기에서 NFC를 통해 URL/URI 위조 및 자격 정보 유출을 위한 실용적인 공격 벡터는 무엇인가?
• RQ4 기존 안드로이드 권한 모델(마쉬멀러 이전 및 이후)이 NFC 기반 공격으로부터 사용자를 어떻게 보호하지 못하는가?
• RQ5 사용성은 유지하면서 가장 효과적이고 비침습적인 기술적 솔루션은 무엇인가?

주요 결과

• 사용자 상호작용 없이도 NFC 태그를 통해 악성 URL 또는 인텐트를 안드로이드 기기에서 실행할 수 있어 피싱 공격 및 자격 정보 유출이 가능하다.
• NFC 태그를 통해 유도된 웹 세션을 활용해 브라우저 기반 지문 분석 기법을 적용함으로써 NFC 기반의 기기 지문 분석이 가능하다.
• GPS 좌표를 NFC 태그에 포함시켜 기기의 위치 보고 행동을 관찰함으로써 안드로이드 기기에서 지리적 위치 데이터를 유출할 수 있다.
• NFC 유도 동작에 대한 사용자 인식 부족과 일관되지 않은 권한 처리로 인해 안드로이드 버전 전반에서 공격 표면이 높은 편이다.
• NFC는 이러한 브라우저 기반 위치 요청 프롬프트를 트리거하지 않기 때문에, 기존의 브라우저 기반 위치 요청 프롬프트가 NFC 기반 위치 추적을 방지하지 못한다.
• 저자들은 여러 대의 안드로이드 기기에서 모든 공격 벡터를 성공적으로 시연하여 공격의 실용적 가능성을 확인했다.