Etnet2015.slide

ETNET2015 (c) 2015 kiyotaka@ka-lab.jp 1
M2M ネットワークのための
脆弱性診断システムの試作
ETNET2015(2015/3/5-6)
　　からぼ
渥美　清隆

お願い
● スライドはSlideShareで公開します．
●
本発表の脆弱性診断システムのエンジン部分は
https://github.com/kalab1998e/ka-mitm
で公開されています．(まだαバージョン)
●
口頭で説明した内容については機微な情報も含ま
れるため，不要な口外をご遠慮願います．

本日の発表内容
●
背景，課題
●
これまでの診断システムの構成
●
提案する提案システム
●
動作例
●
課題

●
背景，課題
●
●
●
動作例
●
課題

プロジェクト概要
● 経済産業省の補助金による，1大学，2社による1年
間の共同プロジェクト
●
ある会社の製造デバイスを念頭に，様々なデバイス
に応用可能な脆弱性診断システムの開発
●
脆弱性診断エンジンにかかる部分はオープンソー
ス開発で合意
●
プロジェクト終了と共に雇用契約終了
●
現在は個人研究事業者
●
秘密保持契約により詳細は省略

M2Mネットワークの現在
● MCUの高性能化(ちょっと前のパソコン並み)
● USB, Ethernet, ZigBee, Bluetooth, Wifiなどの
ネットワーク到達性
●
ブラックボックス，グレーボックスなファームウェア，ソ
フトウェア
● M2Mネットワーク，機械同士が自動的にネットワー
クを構築，更新，拡張，回復
●
弱い相互認証

用語整理
●
統合テスト
– 全てのMCU(センサーユニット)の接続テスト
– 推移可能なあらゆる状況への推移テスト
– 仕様書の行間を含めた仕様書通りの動作をするかどうか
を調べる．
● 脆弱性テスト(可用性・完全性・機密性テスト)
– ノイズの混入，通信遮断
– 通信の耐タンパ性
– 悪意あるコードの注入
本研究は特に両者を区別しないこととする．

テストの課題
●
全ての状態推移を定義不可
●
推移可能数が多く網羅的テスト不可
●
実装の一部または全部がブラックボックス
●
単純な振る舞い模倣で再現しない問題
(Metasploitが使いづらい)
● Ethernet protocol外による外乱

今回の診断対象(外観)
Target1(host) Target2(device)
USB有線接続
外部
ネットワークへ

外部
今回の診断対象(ソフトウェア構造)
画像表示
AV管理
状態管理
など
管理アプリ
ナビアプリ
その他の
アプリ
Target1 Target2

今回の診断対象
● Target1, Target2はTCP/IP on USBで接続
● Target1, Target2の両方でサービス提供
● Target2のサービスの少なくとも1つはサービスポー
トが動的に変化
● TCP/IP以外のLayer1/2で並列に通信
● 全ての通信はTarget1の管理アプリが仲介
● 主にTarget2に対して脆弱性診断を実施

●
背景，課題
●
●
●
動作例
●
課題

診断システム構成例１
(Metasploitなど)
画像表示
AV管理
状態管理
など
Target1 Target2
汎用脆弱性
スキャナ

診断システム構成例１の問題
● 脆弱性スキャナがTarget1(管理アプリ)を模倣不能
●
互いの状態に応じた適応が困難
●
予め決まった脆弱性診断だけがほとんど

外部
診断システム構成例２
(USBProxyなど)
画像表示
AV管理
状態管理
など
管理アプリ
ナビアプリ
その他の
アプリ
Target1 Target2
USB MitM
Controller

診断システム構成例２の問題
●
ソフトウェアによる中継
(30Mbps → 2Mbps)
● 多様なUSBコンフィグレーションへの追従困難
特にスマートフォンはUSBバスリセットで全く別のデ
バイスに変化
● USBのリセットなど電気的振る舞いまで模倣が必
要

●
背景，課題
●
●
●
動作例
●
課題

外部
今回の診断システム構成
画像表示
AV管理
状態管理
など
管理アプリ
ナビアプリ
その他の
アプリ
Target1 Target2
ka-mitm
iptables

ka-mitmとiptables
● Target1とka-mitmはWifiにより接続
● ka-mitmは汎用Proxyのように振る舞い，データの
観察，変更が可能
● iptablesの設定を，特定portのみka-mitmが透過
Proxyとなるように設定
(機能的にはNAPTやWAFと似ている)

ka-mitmの利点
●
通過するデータを入出力とするチューリングマシン
として振る舞える．
●
複数のプロトコルの複合的振舞にも適応できる．
●
観察だけなら簡単にできる．
● 転送速度が速い．(但しWifi実効性能1/4以下)
● M2Mの自動回復機能とMitM側の切断接続の繰り
返しにより，自動的に何度パラメータを変えて検査
できる．

ka-mitmの欠点
●
自由度が高すぎる．適切なシナリオの定義法がな
い．
● TCP/IPのみ．
● Target1にiptables相当を設定しなければならな
い．
● TCPだけのリセットではM2Mの回復機能が働かな
い場合がある．

動作の仕方
1. 事前にメタシナリオ等を定義する．
2. ka-mitmを通過させるようにした上で，検査対象の
検査機能を一通り実行し，キャプチャデータを得る．
3. メタシナリオとキャプチャデータから個別シナリオを
生成する．
4. 個別シナリオ数分だけ回線リセットを繰り返して，
検査を実施する．
5. 検査結果を得る．

●
背景，課題
●
●
●
動作例
●
課題

シナリオの例1
[
{
"sort": ["VNC", "Handshake"],
"port": "/59[0-9][0-9]/",
"lead": [],
"trigger": ["to_client","/^RFB 003.00[3578]n$/"],
"injections": [ [["RFB 002.008n"], [""]],
[["RFB 003.001n"], [""]],
[["RFB 003.009n"], [""]],
[["RFB 004.008n"], [""]],
[["RFB 003.00800000...00000n"], [""]]],
"enable": true
},...
]

実行例1
(事前条件なし)
Server->Client: RFB003.008nRFB002.008n
(Clientからの応答なし)
(強制停止)
…
(事前条件なし)
Server->Client: RFB003.008nRFB003.008000000...000n
Client->Server: RFB003.008n
(以下，通常動作？)
(強制停止)

シナリオの例2
{
"port": "/59[0-9][0-9]/",
"lead": [["to_client", "/^RFB 003.003n$/"]],
"trigger": ["to_server","/^RFB 003.003n$/"],
"injections": [ [["RFB 002.008n"], [""]],
[["RFB 003.001n"], [""]],
[["RFB 003.007n"], [""]],
[["RFB 003.008n"], [""]],
[["RFB 003.009n"], [""]],
[["RFB 004.008n"], [""]],
[["RFB 003.0030000000000000000000000000000...0n"], [""]]],
"enable": true
},
これは利用されない

シナリオの例3
{
"port": "/59[0-9][0-9]/",
"lead": [["to_client", "/^RFB 003.008n$/"]],
"trigger": ["to_server", "/^RFB 003.00[378]n$/"],
"injections": [ [["RFB 002.008n"], [""]],
[["RFB 003.001n"], [""]],
[["RFB 003.009n"], [""]],
[["RFB 004.008n"], [""]],
[["RFB 003.008000000000000000000000000...00000n"], [""]]],
"enable": true
},

実行例3
Server->Client: RFB003.008n
Client->Server: RFB003.008nRFB002.008n
(Serverからの応答なし)
(強制停止)
…
Server->Client: RFB003.008n
Client->Server: RFB003.008nRFB003.008000000...000n
(以下，通常動作？)
(強制停止)

シナリオの例4
{
"port": "/59[0-9][0-9]/",
"lead": [["to_client", "/^RFB 003.00[78]n$/"],
["to_server", "/^RFB 003.00[78]n$/"]],
"trigger": ["to_server","/^[x01-x05].*$/"],
"injections": [[["x00","x00x00x00x01AAAAAAAAAAAAAAA...A"], [""]],
[["x05x00x01x02x05x06x0F"], [""]],
[["x01x00xFFxFFxFFxFFxFFxFFxFF...xFFxFF"],[""]]],
"enable": true
},

実行例4-1
server->client: RFB 003.008
client->server: RFB 003.008
server->client: ^A^A^M
client->server: x00
client->server:
x00x00x00x01AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAA
server->client: !not supported Authentication Type
(自動的に通信リセット)

実行例4-1続き
server->client:
client->server:
server->client:
client->server:
server->client: � �� TMDesktop
client->server: !��
server->client: ��
client->server: ?
client->server: � �
server->client: enusenus � ��
client->server: enusenus {� �
(通常動作?)
(強制停止)

実行例4-2
server->client:
client->server: x05x00x01x02x05x06x0F
(自動通信リセット)
server->client:
client->server:
server->client:
client->server:
server->client: � �� TMDesktop
(通常動作？)
(強制停止)

実行例4-3
server->client:
client->server:
x01x00xFFxFFxFFxFFxFFxFFxFFxFFxFFxFFxFFxFFxFFxFFxFFx
FFxFFxFFxFFxFFxFFxFFxFxFFxFFxFFxFFxFFxFFxFFxFFxFFx...
server->client:
(通信自動リセット)
server->client:
client->server:
server->client:
(通常動作？)
(強制停止)

●
背景，課題
●
●
●
動作例
●
課題

課題
●
シナリオ表現範囲の不足
●
複数プロトコルの連携に関するシナリオ記述方法
の検討
●
通信リセットの完全実行
● USB有線ケーブルへの直接介入
●
注入後応答の解析方法の確立
以下の場所にソフトウェアを公開しています．
https://github.com/kalab1998e/ka-mitm

Etnet2015.slide

Recommended

Recommended

More Related Content

Similar to Etnet2015.slide

Similar to Etnet2015.slide (20)

Etnet2015.slide