[论文解读] NFCGate: Opening the Door for NFC Security Research with a Smartphone-Based Toolkit

Steffen Klee, Alexandros Roussos+2 more|arXiv (Cornell University)|Aug 10, 2020

User Authentication and Security Systems参考文献 18被引用 5

一句话总结

NFCGate 是一款基于智能手机的工具包，通过支持飞行中流量分析、中继攻击、重放攻击以及设备端流量捕获，将市售的 Android 设备转变为强大的 NFC 安全研究平台。该工具允许研究人员分析并利用 NFC 协议——包括与 Android 原生协议栈不兼容的协议——并通过一个案例研究揭示了一款企业级 NFC 锁中的关键漏洞，已负责任地向厂商披露。

ABSTRACT

Near-Field Communication (NFC) is being used in a variety of security-critical applications, from access control to payment systems. However, NFC protocol analysis typically requires expensive or conspicuous dedicated hardware, or is severely limited on smartphones. In 2015, the NFCGate proof of concept aimed at solving this issue by providing capabilities for NFC analysis employing off-the-shelf Android smartphones. In this paper, we present an extended and improved NFC toolkit based on the functionally limited original open-source codebase. With in-flight traffic analysis and modification, relay, and replay features this toolkit turns an off-the-shelf smartphone into a powerful NFC research tool. To support the development of countermeasures against relay attacks, we investigate the latency incurred by NFCGate in different configurations. Our newly implemented features and improvements enable the case study of an award-winning, enterprise-level NFC lock from a well-known European lock vendor, which would otherwise require dedicated hardware. The analysis of the lock reveals several security issues, which were disclosed to the vendor.

研究动机与目标

• 解决 NFC 协议分析领域缺乏可访问、经济实惠且不引人注目的工具的问题。
• 克服 Android NFC 协议栈的限制，该限制限制了对原始 APDU 流量的访问，并阻止了对专有或非标准协议的分析。
• 仅使用市售智能手机，实现对基于 NFC 系统的主动攻击，如中继和重放攻击。
• 评估该工具包在真实攻击场景中引入的延迟开销。
• 通过在一款商用、荣获安全奖项的 NFC 锁上的真实案例研究，证明该工具包的有效性。

提出的方法

• 在原始 NFCGate 概念验证基础上扩展功能，包括对捕获的 NFC 流量进行重放以及在设备端进行全系统流量捕获。
• 实现基于 Python 的插件系统，以支持在运行时对 NFC 流量进行实时分析和修改。
• 在 Android 上使用函数钩子技术，在系统级别拦截 NFC 通信，绕过 Android 对 NFC 流量访问的默认限制。
• 钩住关键的 Android NFC 服务方法，如 NfcService.sendData 和 HCE 的 onHostEmulationData，以捕获双向 APDU 流量。
• 支持多种 NFC 技术（NFC-A/B/F/V），并通过在设备间转发流量实现类似虫洞的中继攻击能力。
• 使用 pcapng 格式导出捕获的流量，以便使用 Wireshark 等工具进行离线分析，或使用 libfreefare 进行协议逆向工程。

实验结果

研究问题

• RQ1 基于智能手机的工具包能否在不依赖昂贵或显眼硬件的情况下，有效实现对 NFC 协议的主动分析？
• RQ2 NFCGate 的运行在真实 NFC 通信场景中引入的延迟程度如何？
• RQ3 NFCGate 是否可用于分析和利用与 Android 标准 NFC 协议栈不兼容的专有 NFC 协议？
• RQ4 使用该工具包能否在真实世界的企业级基于 NFC 的系统中发现安全漏洞？
• RQ5 该工具包在支持开发针对中继和重放攻击的防御措施方面有多高效？

主要发现

• NFCGate 有效实现了对一款与 Android NFC 协议栈原生不兼容的企业级 NFC 锁的分析，证明了其能够绕过系统级限制。
• 该工具包在锁的协议中发现了多个安全缺陷，包括其修改后的 DESFire AES 认证机制中的弱点，已负责任地向厂商披露。
• NFCGate 的中继模式可捕获并转发锁与应答器之间的 NFC 流量，从而实现对锁机制的远程操控。
• 重放模式支持重新传输捕获的 APDU 序列，证明了对目标系统的重放攻击可行性。
• 测量显示，NFCGate 引入的延迟范围为 10ms 至 80ms，具体取决于配置，中继和重放模式下延迟更高，这对实时攻击的可行性具有关键影响。
• Python 插件系统支持动态流量检查与修改，使研究人员能够在实际攻击过程中操控协议行为。