[論文レビュー] NFCGate: Opening the Door for NFC Security Research with a Smartphone-Based Toolkit

Steffen Klee, Alexandros Roussos+2 more|arXiv (Cornell University)|Aug 10, 2020

User Authentication and Security Systems参考文献 18被引用数 5

ひとこと要約

NFCGateは、市販のAndroid端末を活用して、飛行中トラフィック分析、リレーサイアス、リプレイ、およびデバイス内でのトラフィックキャプチャを可能にするスマートフォンベースのツールキットである。このツールは、Androidのネイティブスタックと互換性のないプロトコルを含むNFCプロトコルの分析・攻撃を可能にし、企業向けのNFCロックに深刻な脆弱性が存在することを事例研究を通じて明らかにした。その脆弱性は、ベンダーに対して責任ある形で開示された。

ABSTRACT

Near-Field Communication (NFC) is being used in a variety of security-critical applications, from access control to payment systems. However, NFC protocol analysis typically requires expensive or conspicuous dedicated hardware, or is severely limited on smartphones. In 2015, the NFCGate proof of concept aimed at solving this issue by providing capabilities for NFC analysis employing off-the-shelf Android smartphones. In this paper, we present an extended and improved NFC toolkit based on the functionally limited original open-source codebase. With in-flight traffic analysis and modification, relay, and replay features this toolkit turns an off-the-shelf smartphone into a powerful NFC research tool. To support the development of countermeasures against relay attacks, we investigate the latency incurred by NFCGate in different configurations. Our newly implemented features and improvements enable the case study of an award-winning, enterprise-level NFC lock from a well-known European lock vendor, which would otherwise require dedicated hardware. The analysis of the lock reveals several security issues, which were disclosed to the vendor.

研究の動機と目的

• NFCプロトコル分析に向けた、アクセスしやすく、安価で目立たないツールの不足を解消すること。
• AndroidのNFCスタックの制限を克服し、低レベルのAPDUトラフィックへのアクセスが制限され、特許権や非標準プロトコルの分析が不可能である問題に対処すること。
• 市販のスマートフォンのみを用いて、NFCベースのシステムに対してリレーやリプレイ攻撃を実行できるようにすること。
• 実際の攻撃シナリオにおいて、このツールキットが引き起こす遅延のオーバーヘッドを評価すること。
• 商用で販売され、セキュリティ賞を受賞したNFCロックを対象とした事例研究を通じて、ツールキットの有効性を実証すること。

提案手法

• 元のNFCGateプロトタイプを拡張し、キャプチャしたNFCトラフィックのリプレイ、およびデバイス内でのシステムワイドなトラフィックキャプチャを含む、強化された機能を実装した。
• 実行時におけるNFCトラフィックの分析・変更を可能にするために、Pythonベースのプラグインシステムを実装した。
• Androidの関数フックを用いて、NFC通信をシステムレベルで傍受し、AndroidのNFCトラフィックアクセスに対するデフォルトの制限を回避した。
• NfcService.sendData や HCE の onHostEmulationData といった、主要なAndroid NFCサービスメソッドをフックし、双方向のAPDUトラフィックをキャプチャした。
• NFC-A/B/F/V などの複数のNFCテクノロジーをサポートし、デバイス間のトラフィック転送により、ワームホール型のリレーサイアスを実現した。
• pcapng形式を用いて、Wireshark や libfreefare といったツールを用いたオフライン分析やプロトコルの逆コンパイルに適したトラフィックのエクスポートを可能にした。

実験結果

リサーチクエスチョン

• RQ1 市販のスマートフォンのみを用いて、高価または目立つハードウェアを必要とせずに、NFCプロトコルの積極的分析が可能であるか？
• RQ2 NFCGateの動作が、実際のNFC通信シナリオにおいて、測定可能な遅延をどれほど引き起こすか？
• RQ3 NFCGateは、Androidの標準NFCスタックと互換性のない特許権プロトコルの分析・攻撃に使用可能か？
• RQ4 このツールキットを用いて、実世界の企業向けNFCシステムに存在するセキュリティ脆弱性を特定できるか？
• RQ5 NFCGateは、リレーやリプレイ攻撃に対する対策開発をどの程度効果的に支援できるか？

主な発見

• NFCGateは、AndroidのNFCスタックとネイティブに互換性のない企業向けNFCロックのプロトコル分析に成功し、システムレベルの制限を回避できる能力を実証した。
• ツールキットは、ロックのプロトコルに複数のセキュリティ上の欠陥を特定した。特に、変更されたDESFire AES認証メカニズムの弱みが特定され、ベンダーに対して責任ある形で開示された。
• リレーモードにより、ロックとトランスポンダ間のNFCトラフィックをキャプチャし、中継することで、ロックメカニズムの遠隔操作が可能になった。
• リプレイモードにより、キャプチャしたAPDUシーケンスの再送信が可能となり、標的システムに対するリプレイ攻撃の実現可能性が実証された。
• NFCGateが引き起こす遅延は、設定に応じて10ms〜80msの範囲で測定され、リレーやリプレイモードではより高い遅延が観察された。これは、リアルタイム攻撃の実現可能性にとって重要な要因である。
• Pythonプラグインシステムにより、動的なトラフィック監視と変更が可能となり、ライブ攻撃中におけるプロトコル動作の操作が可能になった。