[论文解读] Memory Forensic Analysis of MQTT Devices

Anal Shah, Palak Rajdev+1 more|arXiv (Cornell University)|Aug 20, 2019

Advanced Malware Detection Techniques参考文献 3被引用 6

一句话总结

本文提出了一种内存 forensics 分析技术，用于从运行 MQTT 代理和客户端软件的嵌入式物联网设备中提取敏感数据，例如凭据和配置详情。通过分析易失性内存转储，作者表明未受保护的内存区域会暴露明文认证令牌和代理配置，揭示了基于 MQTT 的物联网系统中存在严重安全缺陷。

ABSTRACT

Internet of Things is revolutionizing the current era with its vast usage in number of fields such as medicine, automation, home security, smart cities, etc. As these IoT devices' uses are increasing, the threat to its security and to its application protocols are also increasing. Traffic passing over these protocol if intercepted, could reveal sensitive information and result in taking control of the entire IoT network. Scope of this paper is limited to MQTT protocol. MQTT (MQ Telemetry Transport) is a light weight protocol used for communication between IoT devices. There are multiple brokers as well as clients available for publishing and subscribing to services. For security purpose, it is essential to secure the traffic, broker and end client application. This paper demonstrates extraction of sensitive data from the devices which are running broker and client application.

研究动机与目标

• 调查未受保护的内存存储在 MQTT 互联物联网设备中所引发的安全风险。
• 从易失性内存转储中识别并提取敏感数据，例如认证令牌和配置详情。
• 展示内存 forensics 在暴露基于 MQTT 的物联网系统中关键安全缺陷方面的可行性。
• 提高对嵌入式设备内存中明文凭据和代理设置暴露风险的认识。

提出的方法

• 获取运行 MQTT 客户端和代理软件的嵌入式物联网设备的易失性内存转储。
• 应用标准内存 forensics 工具（例如 Volatility 框架）分析内存镜像中的敏感数据。
• 通过模式匹配和字符串提取技术识别未加密的凭据和配置字符串。
• 通过与已知配置文件和网络流量日志交叉比对，验证提取的数据。
• 使用自定义脚本自动化检测内存中与 MQTT 相关的数据结构和凭据。

实验结果

研究问题

• RQ1 在运行 MQTT 的物联网设备的易失性内存中，暴露了哪些类型的敏感数据？
• RQ2 内存 forensics 技术在多大程度上能够从嵌入式 MQTT 设备中提取明文凭据和配置数据？
• RQ3 未加密的认证令牌和代理设置在已部署物联网设备内存中有多普遍？
• RQ4 此类内存暴露对基于 MQTT 的物联网网络整体安全性有何影响？

主要发现

• 成功从多个嵌入式设备的内存转储中提取出明文 MQTT 认证凭据，包括用户名和密码。
• 代理配置详情（如连接端点和客户端 ID）以未加密形式存在于易失性内存中。
• 分析表明，内存 forensics 可在无需设备 root 访问权限或软件利用的情况下，可靠地提取敏感数据。
• 若内存中的硬编码凭据被截获，将增加横向移动和整个网络被攻破的风险。
• 本研究表明，即使轻量级协议如 MQTT，若未强制执行适当的数据清理，也易受基于内存的攻击。