[论文解读] All Your Bulbs Are Belong to Us: Investigating the Current State of Security in Connected Lighting Systems

Philipp Morgner, Stephan Mattejat+1 more|arXiv (Cornell University)|Aug 12, 2016

Smart Grid Security and Resilience参考文献 6被引用 37

一句话总结

本文研究了基于ZigBee Light Link（ZLL）的智能照明系统的安全缺陷，证明了Philips Hue、Osram Lightify和GE Link在通过touchlink配置程序时易受新型攻击。作者开发了一套渗透测试框架，实现了在超过30米距离外远程控制灯泡，甚至无需ZLL主密钥，暴露了密钥管理和访问控制中的根本性设计缺陷。

ABSTRACT

ZigBee Light Link (ZLL) is the low-power mesh network standard used by connected lighting systems, such as Philips Hue, Osram Lightify, and GE Link. These lighting systems are intended for residential use but also deployed in hotels, restaurants, and industrial buildings. In this paper, we investigate the current state of security in ZLL-based connected lighting systems. We extend the scope of known attacks by describing novel attack procedures to show that the ZLL standard is insecure by design. Using our penetration testing framework, we are able to take full control over all three systems mentioned above. Besides novel attack procedures, we also extend the intended wireless range of max. 2 meters for configuring a ZLL device to over 30 meters, thus making ZLL-based systems susceptible to war driving. We conclude with a discussion about the security needs of connected lighting systems and derive several lessons for Internet of Things security that can be learned from the insecure design of ZLL-based connected lighting systems.

研究动机与目标

• 分析基于ZigBee Light Link（ZLL）的智能照明系统的安全状况，重点关注touchlink配置流程。
• 识别并演示破坏ZLL网络机密性和完整性的新型攻击向量。
• 评估对Philips Hue、Osram Lightify和GE Link等流行消费级照明系统实施远程攻击的实际可行性。
• 评估ZLL主密钥泄露的影响，并识别在密钥泄露之前已存在的漏洞。
• 从ZLL系统不安全的设计中提炼出适用于更广泛物联网安全的教训。

提出的方法

• 开发定制的渗透测试框架，用于模拟和执行对ZLL设备的攻击。
• 逆向工程ZLL touchlink配置协议，以识别加密和协议层面的弱点。
• 使用软件定义无线电（SDR）平台，将无线传输范围扩展至超过规定距离2–3米，达到30米以上。
• 利用ZLL协议中允许未经授权设备加入或网络密钥注入的回退机制。
• 分析ZLL主密钥泄露的影响及其对多厂商物联网生态系统中密钥管理的启示。
• 评估物理安全方面的问题，包括缺乏防篡改硬件以及依赖信号强度进行访问控制。

实验结果

研究问题

• RQ1 ZLL touchlink配置流程中存在哪些漏洞，使得攻击者能够无需知晓ZLL主密钥即注入新的网络密钥？
• RQ2 ZLL设备的无线传输范围在多大程度上可以超出规定的2–3米范围，这对远程攻击有何影响？
• RQ3 在ZLL主密钥泄露之前，ZLL基础照明系统中是否存在持续存在的安全缺陷？
• RQ4 ZLL协议中的回退机制如何破坏安全性并导致未经授权的设备访问？
• RQ5 从ZLL的设计缺陷中可以汲取哪些经验教训，以提升更广泛物联网系统的安全性？

主要发现

• 作者成功利用修改后的SDR设备，在超过30米的距离外远程控制Philips Hue、Osram Lightify和GE Link灯泡，绕过了预期的距离限制。
• 发现了新型攻击手段，允许攻击者在不知晓ZLL主密钥的情况下向ZLL设备注入新的网络密钥，从而实现对灯泡的完全控制。
• 灯泡可被强制进入持续闪烁状态数小时，导致其无法通过正常远程控制使用，必须物理断开连接才能恢复。
• 尽管2015年ZLL主密钥泄露已使touchlink流程变得不安全，但本文揭示了在密钥泄露之前就已存在的额外漏洞。
• ZLL标准依赖于共享且受NDA保护的主密钥，造成单点故障，且缺乏加密绑定进一步增加了密钥泄露的风险。
• 缺乏防篡改硬件以及依赖信号强度进行访问控制，使这些系统极易遭受物理和远程攻击。