[论文解读] Attacks on Fitness Trackers Revisited: A Case-Study of Unfit Firmware Security

Jakob Rieck|arXiv (Cornell University)|Apr 12, 2016

User Authentication and Security Systems参考文献 13被引用 24

一句话总结

本文提出了一种针对Withings Activité健身追踪器的新型固件修改攻击，利用薄弱的固件验证机制，实现持久且难以察觉的破坏。通过逆向分析更新流程并注入恶意固件，作者展示了攻击者如何破坏数据完整性和真实性，对法医学和保险应用具有实际影响。

ABSTRACT

Fitness trackers - wearables that continuously record a wearer's step count and related activity data - are quickly gaining in popularity. Apart from being useful for individuals seeking a more healthy lifestyle, their data is also being used in court and by insurance companies to adjust premiums. For these use cases, it is essential to ensure authenticity and integrity of data. Here we demonstrate a flaw in the way firmware for Withings' Activité is verified, allowing an adversary to compromise the tracker itself. This type of attack has so far not been applied to fitness trackers. Vendors have started mitigating previous attacks, which manipulated data by interfering with wireless channels, or by physically moving the tracker to fool sensors. Hardware similarities amongst different trackers suggest findings can be transferred to other tracker as well.

研究动机与目标

• 调查健身追踪器固件更新机制的安全性，特别关注完整性与真实性。
• 演示针对Withings Activité系列的实用型固件修改攻击，利用薄弱的验证流程。
• 强调此类攻击在保险和法律程序等高风险场景中的风险，其中健身数据被用作证据。
• 表明可穿戴设备之间的硬件相似性使得研究成果可推广至其他设备。
• 为物联网和可穿戴系统中的固件级别威胁提供理解，该领域此前相较于网络攻击研究不足。

提出的方法

• 使用IDA Pro等反汇编工具和mitmproxy等调试工具，对Withings Activité固件更新流程进行逆向工程。
• 分析二进制更新协议，发现固件镜像缺乏加密签名验证。
• 构建一个模仿合法更新的恶意固件镜像，可在设备上执行任意代码。
• 通过成功将修改后的固件刷入物理设备并确认持久性和控制权，验证了该攻击。
• 利用硬件分析和协议拦截，确认攻击面并绕过现有安全控制。
• 借鉴先前的固件分析工作（如Costin等人）以指导方法，重点关注二进制关联与漏洞传播。

实验结果

研究问题

• RQ1 Withings Activité健身追踪器的固件更新机制如何确保真实性与完整性？
• RQ2 固件验证流程中存在哪些漏洞，可能使攻击者能够注入恶意固件？
• RQ3 固件级别的破坏在现实部署中能持续多久，并能多大程度上逃避检测？
• RQ4 Withings固件中的安全缺陷与其他可穿戴设备或物联网系统相比如何？
• RQ5 当健身数据被用于法律或保险场景时，此类攻击的现实影响是什么？

主要发现

• Withings Activité追踪器的固件更新流程缺乏加密验证，允许未经验证的任意固件被刷写。
• 攻击者可成功在物理设备上注入并执行恶意固件，实现持久性破坏。
• 该攻击无法被标准监控工具检测到，且在初始 compromise 后无需物理访问设备。
• 由于共享硬件和固件架构，该漏洞模式可能同样存在于其他Withings设备及类似可穿戴设备中。
• 该攻击破坏了健身数据的可信度，而这些数据已用于法庭和保险业务，引发严重的完整性担忧。
• 与现有针对健身追踪器的网络攻击或传感器攻击相比，这代表了一个此前未被利用的攻击面。