[论文解读] MAGNETO: Fingerprinting USB Flash Drives via Unintentional Magnetic Emissions

Omar Adel Ibrahim, Savio Sciancalepore+2 more|arXiv (Cornell University)|Feb 14, 2020

Advanced Malware Detection Techniques参考文献 27被引用 7

一句话总结

MAGNETO 是一种非交互式、隐私保护的框架，通过分析USB闪存驱动器在启动过程中产生的无意低频磁辐射，唯一地指纹识别其身份。该框架使用低成本SDR硬件，在识别品牌和型号方面达到98.2%的准确率，在识别单个设备方面达到91.3%的准确率，计算开销可忽略不计，并具备实时性能。

ABSTRACT

Universal Serial Bus (USB) Flash Drives are nowadays one of the most convenient and diffused means to transfer files, especially when no Internet connection is available. However, USB flash drives are also one of the most common attack vectors used to gain unauthorized access to host devices. For instance, it is possible to replace a USB drive so that when the USB key is connected, it would install passwords stealing tools, root-kit software, and other disrupting malware. In such a way, an attacker can steal sensitive information via the USB-connected devices, as well as inject any kind of malicious software into the host. To thwart the above-cited raising threats, we propose MAGNETO, an efficient, non-interactive, and privacy-preserving framework to verify the authenticity of a USB flash drive, rooted in the analysis of its unintentional magnetic emissions. We show that the magnetic emissions radiated during boot operations on a specific host are unique for each device, and sufficient to uniquely fingerprint both the brand and the model of the USB flash drive, or the specific USB device, depending on the used equipment. Our investigation on 59 different USB flash drives---belonging to 17 brands, including the top brands purchased on Amazon in mid-2019---, reveals a minimum classification accuracy of 98.2% in the identification of both brand and model, accompanied by a negligible time and computational overhead. MAGNETO can also identify the specific USB Flash drive, with a minimum classification accuracy of 91.2%. Overall, MAGNETO proves that unintentional magnetic emissions can be considered as a viable and reliable means to fingerprint read-only USB flash drives. Finally, future research directions in this domain are also discussed.

研究动机与目标

• 为应对恶意USB闪存驱动器被用于入侵气隙系统或隔离系统所带来的日益增长的威胁。
• 开发一种轻量级、非交互式的方法，用于验证USB设备的真实性，而无需依赖固件或基于软件的检测。
• 探索利用无意电磁辐射作为USB设备物理层指纹识别机制的可行性。
• 评估在真实世界条件下，多种商业USB闪存驱动器之间磁辐射的可靠性和独特性。
• 在传统安全控制可能失效的关键基础设施环境中，实现对被替换或被破坏的USB驱动器的检测。

提出的方法

• 使用软件定义无线电（SDR），如HackRF One，捕获USB闪存驱动器在启动过程中产生的无意磁辐射。
• 通过频域和时域分析，在定义的时间窗口（最长3.35秒）内从捕获的信号中提取辐射特征。
• 使用提取的辐射特征轮廓训练机器学习分类器，以区分不同品牌的USB、不同型号及具体设备。
• 采用两阶段分类方法：首先识别品牌和型号，然后对特定设备进行细粒度识别。
• 利用USB控制器芯片和PCB布局制造差异导致的电磁辐射物理独特性。
• 将框架扩展至通过扩大观测窗口并分析更多辐射模式，检测空闲状态或文件传输过程中的异常行为。

实验结果

研究问题

• RQ1 USB闪存驱动器在启动过程中产生的无意磁辐射能否作为设备身份识别的稳定且独特的指纹？
• RQ2 制造差异和元件布局变化在多大程度上导致不同USB闪存驱动器产生可区分的辐射特征？
• RQ3 使用低成本SDR硬件基于磁辐射特征对USB设备进行分类，其准确率和效率如何？
• RQ4 MAGNETO能否检测到通过修改固件或延迟有效载荷执行来伪装成合法设备的恶意USB设备？
• RQ5 将观测窗口延长以检测空闲状态或数据传输状态下的异常行为，会产生何种影响？

主要发现

• MAGNETO 在59款来自17个品牌的USB闪存驱动器（包括2019年年中亚马逊畅销产品）中，识别品牌和型号的最低分类准确率达到98.2%。
• 使用更高带宽设备（≥200 MHz）时，MAGNETO 识别单个USB闪存驱动器的最低分类准确率达到91.3%。
• 该框架仅需3.35秒的信号捕获时间，且在标准笔记本电脑上处理时间不足1秒，可实现接近实时操作。
• 误报率极低，仅为0.01%，表明在设备认证方面具有极高的可靠性。
• 该方法对基于固件的攻击具有有效性，因为其依赖物理层特征，不受固件修改的影响。
• 通过延长观测窗口并分析更长时段内的辐射模式，MAGNETO 可扩展用于检测空闲状态或文件传输过程中的恶意行为。