[论文解读] Credential Masquerading and OpenSSL Spy: Exploring ROS 2 using DDS security

Vincenzo DiLuoffo, William R. Michalson+1 more|arXiv (Cornell University)|Apr 19, 2019

Security and Verification in Computing参考文献 9被引用 4

一句话总结

本文識別出 ROS 2 的 DDS 安全實現中存在關鍵安全漏洞，特別是憑證偽裝與 OpenSSL 探針攻擊，透過錯誤配置的安全檔案及對 OpenSSL 的執行時操控來實現。作者示範攻擊者如何在使用者空間的 ROS 2 系統中繞過認證並竊取憑證，突顯缺乏執行時完整性檢查的問題，並針對部署 DDS 安全機器人平台提出緩解策略。

ABSTRACT

The trend toward autonomous robot deployments is on an upward growth curve. These robots are undertaking new tasks and are being integrated into society. Examples of this trend are autonomous vehicles, humanoids, and eldercare. The movement from factory floors to streets and homes has also increased the number of vulnerabilities that adversaries can utilize. To improve security, Robot Operating System (ROS) 2 has standardized on using Data Distributed Services (DDS) as the messaging layer, which supports a security standard for protecting messages between parties with access control enforcement. DDS security is dependent on the OpenSSL and a security configuration file that specifies sensitive data location. DSS Security assumes that the underlining Operating System (OS) is secure and that the dependencies are consistent, but ongoing integrity checks are not performed. This paper looks at two vulnerabilities that we exploit using an OpenSSL spy process and a security property file manipulation. An overview of each exploit is provided with an evaluation of mitigation technologies that may be employed in client computers, servers, and other areas. Since, ROS 2 and DDS run in user space, these processes are prone to vulnerabilities. We provide recommendations about mitigation technology, as currently autonomous platforms are being deployed without safe-guards for on or off-line threats. The Trust Platform Module (TPM) is new to robotic systems, but the standard usage model does not provide risk mitigation above the OS layer for the types of attacks we discuss.

研究动机与目标

• 分析 ROS 2 的 DDS 安全堆疊中的安全假設，特別是對使用者空間程序與系統級依賴的信任。
• 識別並示範針對 ROS 2 安全設定與 OpenSSL 整合的實際攻擊向量——憑證偽裝與 OpenSSL 探針攻擊。
• 評估現有緩解技術（如 TPM）在防禦 ROS 2 系統執行時攻擊方面的有效性。
• 提供具體可行的建議，以保護 ROS 2 部署免受現實世界自主機器人應用中線上與離線威脅的影響。

提出的方法

• 透過操控 DDS 安全設定檔來修改憑證路徑，實現憑證偽裝，進而允許未經授權的存取。
• 實作一個 OpenSSL 探針程序，於 ROS 2 的使用者空間通訊過程中截取並記錄 TLS/DTLS 握手的加密操作。
• 示範 DDS 安全堆疊假設作業系統及其依賴是可信的，但缺乏對 OpenSSL 等依賴項的執行時完整性驗證。
• 使用程序注入與檔案操控技術，在不修改核心 ROS 2 或 DDS 庫的情況下，竄改安全設定。
• 評估信任平台模組（TPM）在防禦發生於作業系統層以上的使用者空間環境中之攻擊時的限制。
• 在 ROS 2 測試系統上進行概念驗證攻擊，以驗證所識別漏洞的可行性與影響力。

实验结果

研究问题

• RQ1 攻擊者如何透過修改安全設定檔來偽裝有效憑證，從而繞過 ROS 2 的 DDS 安全機制？
• RQ2 OpenSSL 探針程序在多大程度上能截取並記錄 ROS 2 使用者空間通訊中的敏感加密資料？
• RQ3 為何目前的緩解機制（如 TPM）對完全發生在 ROS 2 系統使用者空間內的攻擊無效？
• RQ4 ROS 2 的信任模型中存在哪些關鍵架構弱點，使得安全關鍵元件可在執行時被操控？
• RQ5 可實施哪些實務性的緩解策略，以保護 ROS 2 系統免受憑證導向與探針導向攻擊？

主要发现

• 攻擊者可透過修改 DDS 安全設定檔以指向惡意憑證，成功執行憑證偽裝，進而未經授權存取安全的 ROS 2 主題。
• OpenSSL 探針程序可截取並記錄使用者空間中的 TLS/DTLS 握手資料，包括私鑰與憑證，顯示出關鍵資訊洩漏的攻擊向量。
• DDS 安全堆疊假設作業系統及其依賴是可信的，但未執行執行時完整性檢查，導致系統易受操控。
• 信任平台模組（TPM）無法有效防禦這些攻擊，因為攻擊發生於作業系統層以上，不在可信執行環境內。
• 目前的緩解技術，包括標準加密庫與系統層硬體加固，不足以防禦 ROS 2 系統中這些特定的使用者空間攻擊。
• 研究確認 ROS 2 系統因缺乏對安全關鍵元件的執行時驗證，而面臨線上與離線威脅。