エアギャップなネットワークとは物理的および論理的にパブリックなネットワークから隔離され、分離されているネットワークである。例えば軍事、（高機密を有する）産業、金融などのネットワークがあげられる。そのようなシステムへ侵入することの事項可能性が近年実演されているが、エアギャップなネットワーク（からの/への）通信は、攻撃者にとってチャレンジングなものであり、また、守る側に対してもより（攻撃が発生すれば）難しい脅威となる。エアギャップなネットワークと通信を行うあらたな手法が近年現れており、いくぶんか高度なものになっており、対応が難しいものとなっている。新たに顕在化した脆弱性は、物理環境やネットワークセキュリティを考えるうえで必要かつ、広く影響を与えるものである。 しかしながら、エアギャップなネットワーク（からの／への）情報を密かに盗み出そうとする試みは休みなく行われ続けている。よって、そららの攻撃手法を公表するだけでなく対応策と実行可能性の検証を行うことは重要なことである。 本講演では、攻撃者がエアギャップなネットワークにアクセスするために必要なステップについての概略をのべる。熱、無線、音響などを活用した最先端の攻撃手法をレビューするとともに、その対応策と検証を行う。本講演における多くの攻撃手法はユバル・イロビィチ教授の監督のもと、当ラボの研究員であるモルデチャイ・グリによって発見されている。 --- モルデチャイ・グリ Mordechai Guri モルデチャイ・グリはコンピュータ科学者ならびにセキュリティ専門家として二十年以上の実践的な経験を有している。エルサレムのヘブライ大学コンピューターサイエンス学科にて学士及び修士号を得た。その後、ベングリオン大学（BGU)サイバーリサーチセンターにおける主任研究員およびラボ部長をつとめるともに、IBMのPhDインターナショナルフェローシップ (2015-2016)を獲得している。官民の様々な機関に対してサイバーセキュリティに関する多様な面からの学術的な研究を指導している。過去数年間にわたり多くの革新的なサイバーセキュリティ研究に従事し、(関連したいくつかの論文は)世界中で出版されている。研究分野はサイバーアタックおよびサイバー防御における最先端の手法に焦点をあてている。そして、現在の枠組みを深く調べ、最近のサイバー環境におけるセキュリティ問題への対処方法を改善するための新しい手法を開発し�

1. Air-Gapされたネットワークをブリッジする
Primary Author: Mordechai Guri
Presenter co-author: Yisroel Mirsky
Supervisor: Prof. Yuval Elovici

2. Air-Gapなネットワークとは？

3. ネットワークの典型的なセキュリティ確保

4. Air-Gapなアプローチ
定義：
Air-gapとは、コンピューターネットワークのセ
キュティ確保のために他のネットワーク、公のイ
ンターネット、セキュアでは無いネットワークと物
理的に隔離するサイバーセキュティ策を指す。

5. Air-Gapなネットワーク インターネット
Air Gap

6. Air-gapなネットワークの例：
• 軍事的防衛システム
• 金融系システム (株式市場)
• 工業系制御システム (SCADA…)
• 重要基幹インフラ
• 電力発電所
• 精製所
• 交通コントロール-空港
• 指令センター
• コンピュータ制御系医療器具
• …など

7. Air-Gapなネットワーク
…完璧な策ではない

8. 攻撃主体にようる攻撃モデル
初期感染
Infection
攻撃の展開

9. 初期感染
悪意のある・騙された
インサイダー
サプライチェーン攻撃

10. 攻撃の展開
• 機密情報の搾取
• 制御系システムの改
変
• 記録の削除
• サブシステムの停止
• DDoS
• 自滅

11. 初期感染後、air-gapをどうする？
Air-gapなネットワーク インターネット
Air Gap
アウトバウンド
インバウンド

12. インバウンド・アウトバウンドチャンネルの使い方Channels
インバウンド
• コマンドの送信
• 攻撃の制御の柔軟性を持つ
• “いつ”攻撃を展開するか
• マルウェアの更新
• 新しいモジュール
• 改修…
• 暗号キーの変更
アウトバウンド
• 搾取
• 記録された情報の受信
• レポート
• コマンドの受信確認
• ネットワーク内での動きの進
捗情報

13. Air-Gapな
ネットワークの
ブリッジ方法
温系
チャンネル
無線系
チャンネル
音響系
チャンネル
光学系
チャンネル

14. 温系
チャンネル

16. HVACKerの紹介
• 最近のPCには温度センセーが組み込まれてい
• これらのセンサーは環境の温度変化を検知するため
に使われている
• 隔離されたネットワークの室温を変えることでPCとの
通信が可能になる

17. Q: どのようにして室温を変えること
が可能？
A: 空調システムをハック!
• Air-gapされたネットワークとセキュアでは
無いネットワークが重なり合っている可能
性はある。
• 例としてHVAC(空調管理システム）があげ
られる。

18. 多くのHVACはリモート管理のため
のポータルを提供している。
例：Tridium Niagara AX platform
There are
• 36,287 の
Niagara ウェブ
ポータルが公開
されている
• うち、269だけが
HTTPSで守られ
ている。

20. 攻撃モデル
インバウンド
隔離されたネッ
トワーク
インターネット
Air Gap

21. 通信プロトコル L1/L2

22. 高次元プロトコル例

23. 実験条件
• 小さなオフィスシ
ナリオ
• 40 bits/hour
内部干渉は？

24. 内部干渉は？

25. HVACKER -対策
• HVAC系ウェブポータルの停止・セ
キュリティ確保を行う
• 環境温度の監視
• マルウェアの署名

28. Bitwhisperの紹介
• コンピュータは環境へ熱を放出す
• コンピュータは環境温度の変化を検知が出来る。
…隣同士にあるコンピュータ間で双方
向な通信チャンネルを確立しよう。

29. でもなぜ？...
• 時としてAir-gapされたコンピュータの近辺につながった端末が
ある場合がある
例: 共有コンピュータ空間
• ２つのエンドポイントをつないだ温系チャンネルを使って攻撃者
は指令の送信と情報の受信が可能
• VM内からの実行が可能

30. 攻撃モデル
隔離されたネッ
トワーク
インターネット
Air Gap
インバウンド
アウトバウンド

31. 熱伝導プロセス

32. 我々が実験した環境

33. テストを行ったThermal Line の
エンコーディング

34. BitWhisper - 対策
• Air-gap端末は他のネットワークから
距離を持って隔離する
• 強めの空調
• マルウェア署名 (API calls…)
• 環境の感知

35. ビデオデモ

37. Air-Gapな
ネットワークの
ブリッジ方法
温系
チャンネル
無線系
チャンネル
音響系
チャンネル
光学系
チャンネル

38. 音響系
チャンネル

40. 概要
隠れた音響メッシュネットワーク
発信器: スピーカー - 超音波
受信機: マイク
(ラップトップ、スマートフォン…)

42. 攻撃モデル
Air Gap
インバウンド
アウトバウンド

43. 音響メッシュ - 対策
• 超音波ノイズ発信
• 厳密はゾーンポリシー

44. 音響
チャンネル

46. 概要
Fansmitter: スピーカーの無い、Air-gapされ
た端末から音響系データ搾取を行う
発信器:
PCの冷却ファン –
(電源サプライ、CPU、ケース
…)
受信機:
マイク–
(ラップトップ, スマートフォン…)

47. なぜ、 Fansmitterは興味深いのか?
スピーカーの無い端末も音響系発信器
としてのエキスプロイトが可能！

48. 攻撃モデル
アウトバウンド
Air Gap

49. 変調
ケーパビリティ:
８メートルの距離にお
いて毎分15 ビット

50. 搬送波周波数は２つの要素に依存：
1) ファンの回転速度 (rpm)
2) 翼通過周波数(bpf)
通常の７刃ファンのRPM-BPF関係

52. プログラムとしては
• Bios レベルのRootkit
• ドライバー/ OS API – (より現実的)
e.g., WMI – Windows management
interface

53. Fansmitter - 対策

55. 音響系
チャンネル

57. 概要
スピーカーを内蔵しないAir-gap端末からハードディ
スクノイズを使って秘密裏に情報搾取を行う
発信器: ハードドライブ
受信機: マイク–
(ラップトップ, スマートフォン… etc)

58. 攻撃モデル
アウトバウンド
Air Gap

59. どのように行われるか?
音響ソース
• モータ
• アクチュエータ

60. スペクトグラム
The write and seek operations generate the best
signal

61. 変調
レート: 180 bits/毎分
距離: 2 メートル

62. Diskfiltrator - 対策

64. 音響系
チャンネル

65. Air-Gapな
ネットワークの
ブリッジ方法
温系
チャンネル
無線系
チャンネル
音響系
チャンネル
光学系
チャンネル

66. 光学系
チャンネル

68. 概要
インジケータライトは
情報を流している!
発信器: デバイスのLED
受信機: カメラ, センサー,…
光の発散による情報漏えい
JOE LOUGHRY, and DAVID A. UMPHRESS
LEDを能動的に
使ってデータの搾
取を行ったら?

69. 攻撃モデル
Air Gap
アウトバウンド

70. 画像トラッキングのた
めにCVを開始する

73. Tempest - 対策
• ゾーンポリシー
• マルウェアの署名 (OS API経由なら)
• テープを貼る!

74. 光学系
チャンネル

76. 概要
スキャナーを使ってAir-gapをブリッジする
オフィススキャナーは光の発受信が可能…
…これを使ってエキスプロイトできるか?

77. 攻撃モデル
Air Gap

78. 光学系
チャンネル

80. 概要
光学系チャンネルを使って秘
密裏に情報搾取を行う
発信器: LCD/LED スクリーン
受信機: ビデオレコーダ: 電話,
Google グラス…

81. 攻撃シナリオ
OR
OR
OR
…
OR
…
Air Gap
アウトバウンド

83. 実験条件
40名のボランティアが”
不可視境界値”を検知
ビデオデバイス:
Simple DSLR
Pro DSLR
GoPro
Webcam
Smartphone
Google Glass

85. VisiSploit - 対策
• ゾーンポリシー (誰、どのデバイスが何処へアクセス
が可能か)
• Malware 署名(DLLの検知を行う!)

87. Air-Gapな
ネットワークの
ブリッジ方法
温系
チャンネル
無線系
チャンネル
音響系
チャンネル
光学系
チャンネル

88. 無線系
チャンネル

90. AirHopper の紹介
• 多くの仕事場はBYODポリシーを持つ
• スマートフォンを使っての無線信号の受信が可能
• 通常のPCに無線信号の発信を可能にすればア
ウトバウンドなチャンネルの構築が可能

91. 攻撃モデル
Air Gap
アウトバウンド

92. 最大の課題

93. アンテナの原理とは?
• アンテナは端末からの電圧の発振よって電波を発
生する。
• 電波は周波数（電気振動 Hz)と振幅（電圧レベル値
dBm)で表される

94. 電波の発生の仕方は…
…ディスプレイからケー
ブルに対して特定の信
号を発振させる

95. バイナリーデータのアナログFM
への変調

96. 実験結果

97. AirHopper - 対策
• 厳密なゾーン規制: ディスプレイがあるAir-gapなコンピュータ
の近く２０メートル以内でのスマートフォンの禁止
• 絶縁: ディスプレイのケーブルをよりよく遮蔽する.
• ジャミング: 87.5-108 MHz バンドでの電波ノイズを派生する。
• 署名:関連するグラフィック改変のスキャンを行う

101. GSMem - 紹介
• フィーチャーフォン (wifi,bluetoothなどの機能の無い携帯
…) は規制されたエリアへの持ち込みが可能.
• フィーチャーフォンを使えば移動体通信系の電波等の
受信が可能.
• 通常のコンピュータのCPUメモリバスをエキスプロイト
することで移動体通信系の信号の発振が可能

102. 攻撃モデル
隔離されたネットワーク
アウトバウンド

103. GSMem の挙動
発信器 受信機

104. 信号の発信
• 観察 1: CPU-RAM間の大量な通信
によって発振する電圧が発生. –キャッ
シュをバイパス
• 観察 2: バスはFBS速度で転送を行
い800MHzの周波数を発生させる

105. ビットを送る (変調)
ビットを送信するにはB-ASKの変種
を使う:
Send(“0”):
T秒間は何も行わない
Send(“1”):
振幅をT秒間上げる
すべてのビットをフレーム内に収納する

106. 発信器の属性
• たった４KBのメモリー上のでの負荷
• root/admin が不要
• APIは使わない
• Intel とAMD 環境が対象…
• Windows/Linuxで動く…

107. 信号の受信
素の信号（我々の変調）を読み取るためにはベース
バンドチップのファームウェアの改修が必要。
しかし、モチベーションが高く才能のある脅威主体にはこの
ことは決して抑止力にはならない
…過去にも例が有るよ
うに.
我々のテストではオープンソースの
ベースバンドソフト(OsmocomBB)と
互換性があるMotorola C123 GSM携帯を使った。
高度な分析のためには Universal Software Radio
Peripheral (USRP B210) を使用した。

108. ビットの受信など：
とても簡単なアプローチ:
1. ”最良”の周波数で待つ
2. プリアンブル‘1010’ の検索を行う(各ビットはT秒間)
• 閾値に基づく (ダイナミックに変わる)
3. プリアンブルが見つかれば１２ビットのペイロードを抽出

109. 実験結果
• チャンネルの数だけ力が増える!
• 向きによって結果が変わる

111. GSMem - 対策
• 干渉
• 遮蔽
• 厳密なゾーン規則
• 署名

115. 概要
USBから発生す電磁波を使った秘密
裏なAir-gapチャンネル
2014: Edward Snowden によって
NSAの COTTONMOUTHが漏えい

117. USBee: 追加ハードウェア不要の
秘密裏なUSB通信

118. 攻撃モデル
Air
アウトバウンド

119. USBデバイスに対して’0’ビットのシーケンスを送る
と240MHzと480MHzの間で検知可能な
信号が発振される。
USBee はB-FSK
エンコーディング
を使ってデータの
変調を行う
バイナリーに関し
てはNRZIエン
コーディングで
USBデバイスに書
き込まれる
Host上のマルウェアはUSBへの特殊な権限
を必要としない!

120. 実験結果
距離:
ケーブル有り – 9m
ケーブル無し – 4m
データレート:毎秒 80バイト

121. USBee - 対策
• 電磁波遮断
• 距離を置くポリシー
• 妨害
• マルウェア検知 : /

124. Air-Gapな
ネットワークの
ブリッジ方法
温系
チャンネル
無線系
チャンネル
音響系
チャンネル
光学系
チャンネル

126. このような”斬新”な攻撃に関して心配
しなければいけない状況とは?
“切羽が詰まった状況では思い切った手法が必要”
Air-gapネットワークが…
• APTの攻撃対象になりうる場合
• 内部犯による活動
• 規制対象エリアに訪問者が考えられう場合

127. もっとも現実性が高い攻撃
電磁波による情報搾取: GSMem, AirHopper,
USBee
検知が難しく、攻撃者に取っては容易に
実装と実行が可能

128. 結論要約:
• Air-gapをブリッジする４つのタイプのチャンネルの可能性を指
摘しました。
• 注意点: 前提条件として対象ネットワークは以前にすでに侵
害されている!
要点:
• Air-gapされているからとしても必ずしも隔離されているとは言
えない。
• すべての人が標的とは言えない!
• ネットワークの機密性から標的になりうるとするならば、用心
すべき（ゾーニング等）

129. ご清聴ありがとうございました!
質問?