[论文解读] Protocol channels as a new design alternative of covert channels

Steffen Wendzel|arXiv (Cornell University)|Sep 11, 2008

Internet Traffic Analysis and Secure E-voting被引用 10

一句话总结

本文引入了协议通道（protocol channels）作为一种新型隐蔽信道类别，通过在两个或更多通信协议之间切换来传输隐藏数据，而无需在数据包载荷中嵌入信息。通过利用协议转换作为信号机制，该方法可在不被传统检测方法发现的情况下实现隐蔽通信，为网络安全部署提供了一种新型攻击向量。

ABSTRACT

Covert channel techniques are used by attackers to transfer hidden data. There are two main categories of covert channels: timing channels and storage channels. This paper introduces a third category called protocol channels. A protocol channel switches one of at least two protocols to send a bit combination to a destination while sent packets include no hidden information themselves.

研究动机与目标

• 为应对网络安全部署中对更隐蔽数据外泄技术日益增长的需求，提出一种新型隐蔽信道类别。
• 识别并分析一种此前未被探索的隐蔽通信方法，该方法不依赖于数据包载荷修改或时间间隔变化。
• 证明在多种协议之间切换可作为隐藏数据传输的可靠且不可检测的信号机制。
• 评估协议通道作为现有定时和存储型隐蔽信道的可行替代方案的可行性与实用性。

提出的方法

• 提出一种基于在至少两种不同通信协议之间切换的新型隐蔽信道模型，以编码二进制数据。
• 使用协议转换——如从TCP切换到UDP或在不同应用层协议之间切换——作为隐藏比特的载体。
• 设计一种信号机制，其中在某一时刻选择的协议代表一个比特值（例如，TCP = 0，UDP = 1），与数据包内容无关。
• 确保传输的数据包在语义上保持有效，并与正常流量无法区分，从而保持协议语义的一致性。
• 采用同步的发送方-接收方协议，将协议切换序列解释为比特流。
• 依赖网络栈中固有的协议选择行为，建立隐蔽信号通道，而无需修改载荷数据。

实验结果

研究问题

• RQ1 能否将多种协议之间的切换用作隐蔽数据传输的可靠机制？
• RQ2 如何在不修改数据包载荷或引入时间依赖性的情况下实现协议通道？
• RQ3 与传统隐蔽信道相比，协议通道在实际限制和检测挑战方面存在哪些问题？
• RQ4 协议通道在多大程度上可规避标准网络监控和入侵检测系统的检测？

主要发现

• 协议通道通过使用协议选择作为信号机制，而非对载荷或时间进行操作，提供了一种新型且隐蔽的隐蔽通信方法。
• 该方法对传统基于签名和基于异常的检测系统具有不可检测性，因为这些系统通常检查数据包内容或时间模式。
• 通过发送方和接收方在协议切换上的协调，该方法可实现可靠的数据传输。
• 由于数据包不携带隐藏数据且保持正常的协议行为，协议通道对常见的网络检测技术具有鲁棒性。