RAMBO arXiv 2409.02292: RAM無線信号によるエアギャップデータ漏洩
RAMBOは、RAMとメモリバスから無線信号を放射させることで、隔離されたコンピュータからデータを漏洩させる概念実証型のエアギャップ攻撃です。Mordechai Guriによる論文arXiv:2409.02292は、ネットワークハードウェアを持たないマシンでも、マルウェアが実行されると低帯域幅の無線送信機として機能し得ることを示す点で重要です。
RAMBOが実証すること
RAMBOは、エアギャップされたコンピュータが、追加のネットワークハードウェアなしで低帯域幅の無線送信機になり得ることを実証します。論文によると、侵害されたコンピュータ上のマルウェアは、メモリバスから無線信号を生成し、ファイル、画像、キーロギングデータ、生体情報、暗号鍵などの機密情報をエンコードできます。攻撃者は、ソフトウェア定義無線（SDR）ハードウェアと簡単な市販アンテナを使用して、離れた場所から生の無線信号を傍受し、それをデコードしてバイナリ情報に変換できます。
この研究は、2023年にNordic Conference on Secure IT Systemsで受理されました。arXiv v1は2024年9月3日に提出されました。アブストラクトでは、攻撃の実証と防御的警告の両方として貢献を位置づけており、設計、実装、関連研究、評価結果、そして「帯域外エアギャップ脅威」を軽減するための対策を提示しています。
RAMBO攻撃の仕組み
RAMBO攻撃には2つの側面があります。エアギャップされたコンピュータで実行されるマルウェアと、外部のSDR受信機です。マルウェアは、専用の無線送信機ではなく、ソフトウェア生成の放射を使用して、コンピュータのメモリバスから無線信号を生成します。受信機はアンテナとSDRハードウェアでこれらの放射を捕捉し、攻撃者は信号をバイナリデータにデコードします。
アブストラクトでは、変調方式やメモリバスアクティビティを整形するための正確なソフトウェアルーチンは指定されていません。それは、影響と漏洩経路を説明しています。侵害されたソフトウェアがRAMとメモリバスの放射を引き起こし、それを近くで受信してデコードできるというものです。したがって、この攻撃は従来の意味でのネットワーク接続を生成しません。デジタル電子機器が通常の動作中に無線周波数エネルギーを放射するために存在する、秘密の物理チャネルを生成します。
データレートと範囲
RAMBOの主要なデータレートは毎秒1,000ビットですが、範囲と信頼性は信号の送信速度に依存します。アブストラクトでは、エアギャップされたコンピュータから毎秒1000ビットでデータを漏洩させるための高速変調方法を提示していると述べています。Hacker Newsのコメント投稿者は、論文の範囲とレートのトレードオフを次のように要約しました。
低速伝送レート（t = 10ms）では、700 cm離れた場所で伝送が維持されます。中速伝送レート（t = 5ms）では、450 cm離れた場所で伝送が維持され、BERは3%-4%です。高速伝送レート（t = 1ms）では、300 cm離れた場所で伝送が維持され、BERは2%-4%です。
1ビットあたり10ミリ秒の場合、生のレートは毎秒100ビットです。1ビットあたり1ミリ秒の場合、毎秒1,000ビットです。したがって、最長距離モードは主要なレートよりもはるかに遅く、エラー訂正により実効スループットはさらに低下します。別のコメント投稿者は、実用的なレートを、明確な見通し線で7メートルで毎秒100ビットと特徴づけました。これは、引用された評価の最も遅いモードと一致しています。
脅威モデルと実用的限界
RAMBOは、攻撃者がすでにエアギャップされたコンピュータでマルウェアを実行しており、数メートル以内に明確な見通し線でSDRアンテナを設置できることを前提としています。この脅威モデルが、Hacker Newsの議論で懐疑的な見方の主な原因です。あるコメント投稿者は次のように書いています。
攻撃が実用的でなくても、クールな論文です。マルウェアをコンピュータに導入し、影響を受けるコンピュータから7メートル以内に明確な見通し線でSDRアンテナを設置して、毎秒100ビット（エラー訂正後はそれ以下）を得る必要があります。両方を実行できるシナリオは想像しにくいですが、USBを差し込んだり、PCを掴んだり、画面を直接録画したりできないシナリオも同様です。
別のコメント投稿者は、ビットレートが低すぎて重要ではなく、人的および手続き上のリスクが支配的であると主張しました。
これらの攻撃はすべて信じられないほど非現実的で無意味であり、最も寛大な仮定の下でもビットレートは哀れなほど低いです。しかしそれ以上に、最も重要なリスクである人々を無視しています。
3人目のコメント投稿者は、同じ点をより率直に述べました。
コンピュータにマルウェアがあれば、十分に退屈なら部屋の熱特性を変えることができます。
この論文の貢献は、ターンキー型の漏洩ツールではありません。物理チャネルが存在し、制御された条件下でエンコードされたデータを運ぶことができるというデモンストレーションです。この攻撃には、事前の侵害、近接性、そして忍耐が必要です。その価値は、エアギャップがネットワーク経路を遮断するが、すべての電磁経路を排除するわけではないことを示すことにあります。
防御と緩和策
論文は、帯域外エアギャップ脅威を軽減するための対策を提案していると述べていますが、アブストラクトではそれらを列挙していません。Hacker Newsの議論は、物理的シールドに焦点を当てていました。あるコメント投稿者は次のように書いています。
エアギャップにはファラデーケージを含める必要があります。
別のコメント投稿者は、最新のハードウェアではケースの封じ込め効果が低いため、放射エミッションが達成しやすくなっていると主張しました。
コンピュータはかつて適切なフルメタルケースに収められていました。今はそうではありません。自作PC用の金属ケースを探しても、ほとんどのケースには側面に巨大な穴（ケースウィンドウ）があり、スロットアンテナとして機能します。プラスチックケースのラップトップデザインはさらに悪いです。
ファラデーケージまたはシールドされた筐体は無線信号を減衰させ、物理的検査とエミッションテストが対応する管理策です。議論では、電力線漏洩も関連する問題として提起されました。コンピュータの電源や配線からの信号がエアギャップ環境外に情報を運ぶことができるかどうかです。提供されたコメントは、RAMBO信号が電源を通過して生き残るかどうかを確定していませんが、この質問は、無線経路のみをシールドしてもすべての帯域外チャネルに対処できない可能性があることを示しています。
議論が重要な理由
Hacker Newsのスレッドは、RAMBOを実際の攻撃というよりも、エアギャップが絶対的ではないことを思い出させるものとして扱っています。あるコメント投稿者は、SANSで有名なEd Skoudisを引用しました。
せいぜい、エアギャップは高遅延接続です。
スレッドの歴史的文脈はその点を補強しています。あるコメント投稿者は、2016年のPennAppsデモンストレーションがハッカソンで優勝し、Mordechai Guriの以前の研究に基づいていたと説明しました。
私たちは2016年にPennAppsでこれをデモし、ハッカソンで優勝しました。... 私たちの研究は、同じ著者Mordechai Guriの5ヶ月前の以前の研究に基づいており、GitHubで参照されています（USENIX Security 15、pp. 849-864）。... また、明らかに能力の上限は、11年前と比較してここでは1Kb/sとより大きな距離が実証されています。
他のコメント投稿者は、CRT画面に対する古いエミッション攻撃（マルウェアなしでビデオ出力をキャプチャできる）や、有名なエアギャップ事例としてStuxnetを指摘しました。共通の教訓は、分離はネットワークインターフェースだけでなく、物理的エミッション、サプライチェーン、人々を含むシステム全体の特性であるということです。
背景：長いエアギャップ漏洩研究の系譜
RAMBOは、より広いクラスの帯域外エアギャップ攻撃の1つです。スレッドでは、ビデオ出力に対するVan Eck盗聴、電力線モニタリング、熱特性、Stuxnetが関連例として挙げられています。RAMBOの具体的な貢献は、RAMとメモリバスの放射をソフトウェア制御の無線ソースとして使用し、SDR受信機がメートル単位の距離で信号をデコードすることです。
論文自身の枠組みは防御的です。攻撃を提示し、帯域外エアギャップ脅威を軽減するための対策を提案しています。実用的な要点は、エアギャップされたシステムはネットワーク接続だけでなく、意図しないエミッションについても評価されるべきであるということです。主要な毎秒1,000ビットは論文の高速モードでは現実的ですが、それにはより短い範囲とより高いエラーレートが伴います。最長距離モードははるかに遅いです。そのトレードオフが、RAMBOが簡単な漏洩方法ではなく物理チャネルのデモンストレーションとして扱われる理由です。