[论文解读] Exfiltration of Data from Air-gapped Networks via Unmodulated LED Status Indicators

Zhengwen Zhou, Zhang, Weiming+2 more|arXiv (Cornell University)|Nov 9, 2017

Internet Traffic Analysis and Secure E-voting参考文献 12被引用 3

一句话总结

本文提出了一种利用空气隔离网络中键盘上未调制的LED状态指示灯建立隐蔽光通信信道的方法，采用二进制频移键控（B-FSK）实现人眼不可察觉的数据外泄。该方法通过标准IP摄像头实现高达5.08米的可靠、不可见数据传输，相较于传统的开关键控（OOK）方式显著提升了隐蔽性。

ABSTRACT

The light-emitting diode(LED) is widely used as an indicator on the information device. Early in 2002, Loughry et al studied the exfiltration of LED indicators and found the kind of LEDs unmodulated to indicate some state of the device can hardly be utilized to establish covert channels. In our paper, a novel approach is proposed to modulate this kind of LEDs. We use binary frequency shift keying(B-FSK) to replace on-off keying(OOK) in modulation. In order to verify the validity, we implement a prototype of an exfiltration malware. Our experiment show a great improvement in the imperceptibility of covert communication. It is available to leak data covertly from air-gapped networks via unmodulated LED status indicators.

研究动机与目标

• 解决现有隐蔽信道依赖调制LED或可见闪烁的问题，这些现象可能被用户察觉。
• 证明未调制的LED指示灯（I类）可被重新用于隐蔽通信，且不会引起用户怀疑。
• 设计并实现一种实用的攻击模型（KLONC），利用标准硬件（IP摄像头、键盘LED）实现数据外泄。
• 通过B-FSK调制最小化可见闪烁，降低可检测性，从而提升隐蔽性，优于传统OOK方式。
• 在真实环境下评估不同角度和距离下的有效传输距离与信号质量。

提出的方法

• 提出B-FSK调制，通过两种不同的闪烁频率分别表示'1'和'0'，替代传统OOK以降低人眼感知度。
• 设计恶意软件原型（KLONC），通过软件控制键盘LED状态以生成调制光信号。
• 使用标准IP摄像头作为接收端，捕获并解码来自LED的调制光信号。
• 结合理论建模与实验验证，确定基于发射角度和亮度的有效传输距离上限。
• 应用亮度模型：$ B = \frac{1.77}{d^2} \times \text{cos}(\theta) $，其中$ d $为距离，$ \theta $为发射角度，用于估算信号强度。
• 对比B-FSK与OOK在闪烁频率和可检测性方面的表现，结果表明B-FSK具有更低的闪烁值，隐蔽性更优。

实验结果

研究问题

• RQ1 未调制的LED状态指示灯（I类）能否在不被用户察觉的情况下有效建立隐蔽光通信信道？
• RQ2 与传统OOK相比，B-FSK调制在未调制LED中如何提升数据外泄的隐蔽性？
• RQ3 从键盘LED到远程放置的IP摄像头，隐蔽信号的最大有效传输距离是多少？
• RQ4 信号亮度如何随距离和角度变化？可靠检测的实际上限是什么？
• RQ5 针对此类基于LED的隐蔽信道，最有效的程序与技术防护措施是什么？

主要发现

• 所提出的B-FSK调制方法显著低于OOK的闪烁值，降低了感知度，增强了隐蔽性。
• KLONC原型成功实现从空气隔离网络向远程IP摄像头传输数据，最远距离达5.08米，发射角度为62.66°。
• 在4.02米处的信号亮度仅为1.77米处的约10%，证实了光信号随距离迅速衰减。
• 实验结果表明，人类视觉无法分辨所选B-FSK频率下的闪烁，验证了该方法的隐蔽性。
• 信号亮度与距离及角度关系的理论模型与实验观测高度吻合，可准确预测传输极限。
• 使用光学传感器监控LED状态的防护措施具有较高的检测潜力，但受硬件限制和事件发生概率低的影响，实际有效性有限。