[논문 리뷰] To Make a Robot Secure: An Experimental Analysis of Cyber Security Threats Against Teleoperated Surgical Robots

Tamara Bonaci, Jeffrey A. Herron외 4명|arXiv (Cornell University)|2015. 04. 16.

Security and Verification in Computing참고 문헌 23인용 수 64

한 줄 요약

이 논문은 레이븐 II 플랫폼을 사용하여 무선 네트워크 환경에서 원격 수술 로봇에 대한 사이버 보안 위협을 실험적으로 분석하며, 공격자가 매우 낮은 노력으로 제어를 장악하거나 수술사의 의도를 조작하거나 비상 정지 기능을 무력화할 수 있음을 입증한다. 일부 경우는 단일 패킷으로도 가능하다. 주요 기여는 핵심적인 취약점을 규명하고, 패킷 인증과 같은 기본적인 보안 조치가 성능에 거의 영향을 주지 않으면서 대부분의 공격을 방지할 수 있음을 보여주는 것이다.

ABSTRACT

Teleoperated robots are playing an increasingly important role in military actions and medical services. In the future, remotely operated surgical robots will likely be used in more scenarios such as battlefields and emergency response. But rapidly growing applications of teleoperated surgery raise the question; what if the computer systems for these robots are attacked, taken over and even turned into weapons? Our work seeks to answer this question by systematically analyzing possible cyber security attacks against Raven II, an advanced teleoperated robotic surgery system. We identify a slew of possible cyber security threats, and experimentally evaluate their scopes and impacts. We demonstrate the ability to maliciously control a wide range of robots functions, and even to completely ignore or override command inputs from the surgeon. We further find that it is possible to abuse the robot's existing emergency stop (E-stop) mechanism to execute efficient (single packet) attacks. We then consider steps to mitigate these identified attacks, and experimentally evaluate the feasibility of applying the existing security solutions against these threats. The broader goal of our paper, however, is to raise awareness and increase understanding of these emerging threats. We anticipate that the majority of attacks against telerobotic surgery will also be relevant to other teleoperated robotic and co-robotic systems.

연구 동기 및 목표

• 비보안 네트워크 환경에서 원격 수술 로봇에 대한 실제 사이버 보안 위협을 규명하고 특성화하는 것.
• 레이븐 II 수술 로봇 시스템에 대한 다양한 사이버 공격의 가능성과 영향을 평가하는 것.
• 암호화 및 인증과 같은 기존 보안 메커니즘이 실시간 성능에 영향을 주지 않도록 원격 수술 시스템에 실제로 적용 가능한지 평가하는 것.
• 실시간 성능을 해치지 않으면서도 시스템의 내성을 높일 수 있는 실행 가능한 완화 전략(예: 순서 번호 검증, 네트워크 모니터링)을 제안하는 것.

제안 방법

• 공개 및 애드혹 무선 네트워크를 통해 레이븐 II 수술 로봇 플랫폼에 대한 실험적 침투 테스트를 수행했다.
• 상호운용성 원격수술프로토콜(ITP)을 분석하고 프로토콜 수준의 약점을 규명함으로써 공격 표면을 매핑했다.
• 명령 주입, 순서 번호 조작, 패킷 플러드를 통한 서비스 거부 공격 등 제어된 사이버 공격을 실행했다.
• 피드백 채널과 명령 채널에 인증 및 암호화를 추가했을 때의 성능 영향을 평가했다.
• 다중 데이터 스트림 또는 비정상적인 순서 어긋난 패킷 전송 비율을 감지할 수 있는 네트워크 모니터링 메커니즘을 제안하고 테스트했다.
• 실시간 수술 로봇 시스템에 적용 가능한 표준 보안 메커니즘(예: HMAC, 체크섬)의 구현 가능성을 평가했다.

실험 결과

연구 질문

• RQ1 레이븐 II 수술 로봇은 공개 또는 비보안 네트워크를 통해 원격으로 사이버 공격을 받을 만큼 취약한가?
• RQ2 원격 수술 로봇을 대상으로 가능한 사이버 공격 유형은 무엇이며, 환자의 안전과 수술 결과에 어떤 잠재적 영향을 미칠 수 있는가?
• RQ3 패킷 인증 및 암호화와 같은 기존 보안 메커니즘이 실시간 성능에 영향을 주지 않도록 원격 수술 로봇 시스템에 적용 가능한가?
• RQ4 약한 순서 번호 처리와 같은 프로토콜 수준의 결함이 비상 정지(E-stop)와 같은 안전 장치를 우회하는 데 얼마나 심각하게 악용될 수 있는가?
• RQ5 시스템 반응성이나 사용성에 영향을 주지 않으면서도 실현 가능한 저비용 완화 전략은 무엇인가?

주요 결과

• 공격자는 ITP 프로토콜의 약한 순서 번호 처리 결함을 악용하여 단일 악성 패킷으로 로봇의 제어를 완전히 장악할 수 있다.
• 비상 정지(E-stop) 기능은 의도하지 않은 로봇 동작을 유발할 수 있도록 악용될 수 있어, 안전 설계에 심각한 결함이 있음을 보여준다.
• 명령 조작 및 서비스 거부 공격과 같은 많은 공격는 자원 소비가 극히 적어 도청 및 확장성이 높은 흐린 공격가능성을 지닌다.
• ITP 프로토콜에 패킷 인증 및 체크섬을 추가하면 상호운용성에 영향을 주지 않으면서도 몇 가지 가장 심각한 공격을 방지할 수 있다.
• 기본 보안 메커니즘(예: 인증)을 추가하면 메모리 사용량이 약 3000KB 증가할 뿐이며, 이는 실시간 성능에 대해 수용 가능한 수준이다.
• 영상 피드백을 암호화하는 것은 높은 대역폭과 실시간 제약 조건으로 인해 거의 불가능하여, 개인정보 보호와 반응성 사이에 심각한 상충 관계가 존재한다.