[論文レビュー] Men-in-the-Middle Attack Simulation on Low Energy Wireless Devices using Software Define Radio

TajDini, Mahyar, Sokolov, Volodymyr+1 more|arXiv (Cornell University)|Jun 25, 2019

Bluetooth and Wireless Communication Technologies被引用数 1

ひとこと要約

本論文は、HackRF One などの低価格なソフトウェア定義無線（SDR）ハードウェアと GNU Radio を用いて、Bluetooth Low Energy（BLE）および ZigBee デバイスに対するマジン・ザ・ミドル（MitM）攻撃をシミュレートする SDR ベースのフレームワークを提示する。この手法により、BLE および ZigBee トラフィックのリアルタイムでのスニッフィング、パケットキャプチャ、スプーフィングが可能となり、商業用デバイスを用いた実験的検証を通じて、低エネルギー無線プロトコルにおける深刻な脆弱性が実証された。特に信号対雑音比（SNR）が高い環境下で、高効率なパケット回復が達成された。

ABSTRACT

The article presents a method of organizing men-in-the-middle attack and penetration test on Bluetooth Low Energy devices and ZigBee packets using software define radio with sniffing and spoofing packets, capture and analysis techniques on wireless waves with the focus on Bluetooth. The paper contains the analysis of the latest scientific work in this area, provides a comparative analysis of SDRs and the rationale for the choice of hardware, gives the sequence of actions for collecting wireless data packets and data collection from ZigBee and BLE devices, and analyzes ways to improve captured wireless packet analysis techniques. For the study collected experimental setup, the results of which are analyzed in real time. The collected wireless data packets are compared with those sent. The result of the experiment shows the weaknesses of local wireless networks.

研究の動機と目的

• 低コストでソフトウェアベースのフレームワークを構築し、SDR を用いて BLE および ZigBee ワイヤレスプロトコルの侵入と分析を実現すること。
• リアルタイムでのパケットスニッフィングおよびスプーフィングを通じて、BLE および ZigBee デバイスにおける実用的な脆弱性を同定および可視化すること。
• 実世界の条件下で、SDR ベースのツールが低エネルギー無線トラフィックをどのようにキャプチャおよび分析できるかを評価すること。
• スキュールチ検出とハミング距離に基づくデコード手法を統合することで、ワイヤレスパケット分析技術を向上させること。
• Apple iPad mini、Polar H7、Texas Instruments CCTAG などの実際の商業用デバイスを用いて、システムを検証すること。

提案手法

• 20 MHz の最大帯域幅と 8 ビット ADC 解像度を備えた HackRF One SDR ハードウェアを用い、25 Msps の広帯域 RF キャプチャを実施した。
• GNU Radio を基盤とする信号処理チェーンを実装し、スキュールチ検出、エネルギー基準のしきい値処理、および BLE パケットのシンボルデコードを実現した。
• 既知のアクセスアドレスおよび固定ヘッダーパatters との一致を図るため、ハミング距離の計算を適用し、有効なパケット回復のためのしきい値を 3 未満に設定した。
• 56 シンボルのデコードウィンドウを用い、最初の 40 シンボルをそのままで処理し、次の 16 シンボルをデホワイト化して PDU ヘッダーとして処理することで、正確なパケット再構築を可能にした。
• 2406.25 MHz で 1 秒間のウィンドウで実世界の RF サンプルをキャプチャし、USRP を用いてファイルにストリーミングし、その後オフライン分析を実施した。
• マルチチャネル受信アプローチを採用し、接続パrameter の事前知識がなくても、BLE 広告チャネルおよびデータチャネルの検出とデコードを可能にした。これにより、接続状態の分析が可能になった。

実験結果

リサーチクエスチョン

• RQ1 HackRF One などの低価格 SDR ハードウェアは、リアルタイムで BLE および ZigBee パケットを効果的にキャプチャおよびデコードできるか？
• RQ2 アクセスアドレスと信号エネルギーのしきい値のみを用いた SDR ベースのツールは、BLE パケットをどの程度正確に検出および再構築できるか？
• RQ3 ハミング距離に基づく一致マトリクスは、誤検出（false positives）をどれほど効果的に低減できるか？
• RQ4 RF 環境の影響は、特に信号対雑音比（SNR）が低い環境下で、パケット回復の正確性にどのような影響を与えるか？
• RQ5 接続パrameter の事前知識がなくても、システムは接続済み BLE デバイスのトラフィックを検出および分析できるか？

主な発見

• Polar H7 ハートモニタから、SNR 22.3 dB の条件下で 64 パケット中 27 パケットを正常に回復したが、37 件の誤検出が発生した。
• Texas Instruments CCTAG デバイスでは、SNR 34.7 dB の条件下で 38 パケット中 5 パケットが回復されたが、33 件の誤検出が発生し、信号品質に非常に敏感であることが示された。
• ハミング距離のしきい値を 3 未満に設定することで、誤検出を効果的に低減し、有効な BLE フレームの正確な回復が可能になった。
• チャネル内とチャネル外のエネルギー比に基づくスキュールチ検出により、自動的なデコードトリガーが実現され、検出の信頼性が向上した。
• 広帯域キャプチャアプローチにより、接続パrameter の事前知識がなくても BLE トラフィックを検出可能であり、RF 環境が良好な場合に限るが、これが可能となった。
• 本実装により、SDR ベースのツールが BLE および ZigBee における MitM 攻撃を効果的にシミュレートでき、低エネルギー無線ネットワークにおけるプロトコルレベルの脆弱性が明らかになった。