[论文解读] Crushing the Wave -- new Z-Wave vulnerabilities exposed

Noureddine Boucif, Frederik Golchert+3 more|arXiv (Cornell University)|Jan 23, 2020

Advanced Malware Detection Techniques参考文献 1被引用 9

一句话总结

本文揭示了针对Z-Wave协议的两种新型拒绝服务（DoS）攻击，攻击者通过伪造恶意数据包，利用未加密的命令——Nonce Get/S2 Nonce Get 和 Find Nodes In Range——来淹没Z-Wave网关，从而导致整个智能家居网络瘫痪。这些攻击隐蔽、高效，且无法通过标准的信号强度干扰检测手段发现，因为其行为模仿了合法网关的通信模式。

ABSTRACT

This paper describes two denial of service attacks against the Z-Wave protocol and their effects on smart home gateways. Both utilize modified unencrypted packets, which are used in the inclusion phase and during normal operation. These are the commands Nonce Get/S2 Nonce Get and Find Nodes In Range. This paper shows how both can be manipulated and used to block a Z-Wave gateway's communication processing which in turn disables the whole Z-Wave network connected to it

研究动机与目标

• 识别并利用Z-Wave协议中此前未知的漏洞，实现远程拒绝服务攻击。
• 分析Z-Wave网关在设备配对和正常运行期间对未加密命令处理机制中的安全缺陷。
• 展示攻击者如何通过仅针对中心网关而非单个节点的方式，破坏整个Z-Wave智能家居网络。
• 使用软件定义无线电（SDR）和开源工具评估此类攻击的可行性与隐蔽性。
• 通过向供应商和研究社区披露漏洞，推动协议加固。

提出的方法

• 使用HackRF One SDR收发器发送和接收Z-Wave无线信号。
• 采用GNU Radio和Scapy-radio Python模块解码并伪造Z-Wave数据包。
• 针对两个未加密命令：Nonce Get/S2 Nonce Get 和 Find Nodes In Range，这些命令通常在设备配对过程中使用。
• 向网关发送格式错误或伪造的数据包，包括发往不存在或自身地址的节点的Nonce Report响应。
• 通过反复发送Find Nodes In Range数据包，触发网关过载。
• 在受控环境中模拟攻击，观察网关行为及网络中断影响。

实验结果

研究问题

• RQ1 未加密的Z-Wave命令（如Nonce Get和Find Nodes In Range）是否可被滥用，以对网关发起拒绝服务攻击？
• RQ2 攻击者仅针对网关而非单个节点时，能以多高效率破坏整个Z-Wave网络？
• RQ3 使用标准干扰检测技术（如RSSI监控）在多大程度上可检测到此类攻击？
• RQ4 为何网关是Z-Wave网络中的关键单点故障？这些攻击如何利用该弱点？
• RQ5 这些漏洞对智能家居安全和用户隐私的实际影响是什么？

主要发现

• Routed Noncense攻击仅需256个特殊构造的数据包即可成功阻断Z-Wave网关，持续约20分钟的中断。
• NOPe攻击需每两分钟左右发送一次Find Nodes In Range数据包，以维持网关中断状态。
• 两种攻击均无法通过基于接收信号强度指示（RSSI）的标准干扰检测手段发现，因为恶意数据包看似源自网关本身。
• 攻击导致网关停止处理命令、事件及智能手机应用交互，从而完全瘫痪整个Z-Wave网络。
• 漏洞源于网关在处理Nonce Report和Find Nodes In Range响应时输入验证不当，允许对不存在或自身地址的节点发送伪造响应。
• Silicon Labs已确认发现结果，发布了修补后的协议规范，并更新其实现以修复已识别的缺陷。