[论文解读] Men-in-the-Middle Attack Simulation on Low Energy Wireless Devices using Software Define Radio

TajDini, Mahyar, Sokolov, Volodymyr+1 more|arXiv (Cornell University)|Jun 25, 2019

Bluetooth and Wireless Communication Technologies被引用 1

一句话总结

本文提出了一种基于软件定义无线电（SDR）的框架，利用经济实惠的SDR硬件（如HackRF One）和GNU Radio，对蓝牙低能耗（BLE）和ZigBee设备进行中间人（MitM）攻击的仿真。该方法实现了BLE和ZigBee流量的实时嗅探、数据包捕获及欺骗攻击，通过在商用设备上的实验验证，揭示了低能耗无线协议中的关键安全漏洞，且在信噪比（SNR）高于22 dB时实现了高成功率的数据包恢复。

ABSTRACT

The article presents a method of organizing men-in-the-middle attack and penetration test on Bluetooth Low Energy devices and ZigBee packets using software define radio with sniffing and spoofing packets, capture and analysis techniques on wireless waves with the focus on Bluetooth. The paper contains the analysis of the latest scientific work in this area, provides a comparative analysis of SDRs and the rationale for the choice of hardware, gives the sequence of actions for collecting wireless data packets and data collection from ZigBee and BLE devices, and analyzes ways to improve captured wireless packet analysis techniques. For the study collected experimental setup, the results of which are analyzed in real time. The collected wireless data packets are compared with those sent. The result of the experiment shows the weaknesses of local wireless networks.

研究动机与目标

• 开发一种低成本、基于软件的框架，利用SDR对BLE和ZigBee无线协议进行渗透与分析。
• 通过实时数据包嗅探与欺骗攻击，识别并演示BLE和ZigBee设备的实际安全漏洞。
• 评估SDR工具在真实环境下捕获与分析低能耗无线流量的有效性。
• 通过集成静音检测与基于汉明距离的解码技术，改进无线数据包分析方法。
• 使用苹果iPad mini、Polar H7和德州仪器CCTAG等真实商用设备对系统进行验证。

提出的方法

• 采用HackRF One SDR硬件，最大带宽为20 MHz，ADC分辨率为8位，以25 Msps的采样率实现射频信号的宽带捕获。
• 在GNU Radio中实现信号处理链，包括静音检测、基于能量的阈值判定以及BLE数据包的符号解码。
• 应用汉明距离计算，将候选数据包与已知的访问地址和固定头模式进行匹配，有效数据包恢复的阈值设定为小于3。
• 采用56符号的解码窗口，前40个符号直接处理，后16个符号进行去扰，作为PDU头部分，实现准确的数据包重构。
• 在2406.25 MHz频点捕获真实射频信号，时间窗口为1秒，使用USRP将信号流式传输至文件，随后进行离线分析。
• 采用多通道接收机制，检测并解码BLE的广告信道与数据信道，实现在未知连接参数条件下对连接状态的分析。

实验结果

研究问题

• RQ1 像HackRF One这样的经济型SDR硬件能否有效实现实时捕获与解码BLE和ZigBee数据包？
• RQ2 仅依靠访问地址和信号能量阈值，SDR工具在多大程度上能够检测并重建BLE数据包？
• RQ3 基于汉明距离的匹配度量在区分有效BLE数据包与误报方面有多高效？
• RQ4 射频环境对数据包恢复准确率有何影响，特别是在低信噪比条件下？
• RQ5 该系统能否在不事先掌握连接参数的情况下检测并分析已连接BLE设备的通信流量？

主要发现

• 在SNR为22.3 dB的条件下，系统成功从Polar H7心率监测器中恢复出64个数据包中的27个，同时产生37个误报。
• 对于德州仪器CCTAG设备，在SNR为34.7 dB的条件下，从38个数据包中恢复出5个，产生33个误报，表明其对信号质量更为敏感。
• 汉明距离阈值小于3有效减少了误报，同时确保了有效BLE帧的准确恢复。
• 基于信道内与信道外能量比的静音检测机制成功实现了自动解码触发，提升了检测可靠性。
• 宽带捕获方法使系统在无需事先知晓连接参数的情况下检测到BLE通信，前提是射频条件理想。
• 该实现表明，基于SDR的工具能够有效模拟对BLE和ZigBee的中间人攻击，暴露了低能耗无线网络在协议层的安全缺陷。