(A) new side channel attack on digital door lock with vibration signal analysis : the longer password does not guarantee higher security level

국문 초록 (Abstract)

디지털 도어락 시스템은 전세계에서 널리 사용되는 물리적 보안 시스템 중 하나이다. 이 장치는 비인가자의 접근을 제한하고 사용자의 자산이나 특정 영역을 보호하는 기능을 제공한다. 그러나 비인가자에게 디지털 도어락의 비밀번호가 노출된다며, 이 장치의 기능을 무용지물이 된다. 따라서 본 논문에서는 사용자가 어떠한 수상한 낌새를 알아차리지 못한 채, 디지털 도어락 비밀번호를 알아낼 수 있는 새로운 공격방법에 대해 말해보고자 한다. 우리들은 도어락 사용자가 비밀번호를 입력을 위한 버튼을 누를 때 필연적으로 발생하는 진동신호에 주목하였다. 이는 매우 자연적인 현상으로 이를 이용하여 디지털도어락 비밀번호 해독을 시도하였다.
이 공격은 부채널 공격 혹은 APT 공격과 유사한 특성을 가진 공격 형태로 간주할 수 있다. 또한 실험을 통해 흥미로운 점은 사람들이 보안 영역에서 일반적인 생각하는 가설이 우리의 공격 모델에 적용 할 수 없었다는 것이다. 여기서 말하는 가설이란 비밀번호가 길수록 더 높은 보안 수준을 보장할 것이라는 것이다. 그러나, 우리의 공격 모델에서 비밀번호 유추는 비밀번호의 길이보다 버튼의 숫자에 더 많은 영향을 받는 것으로 나타났다.
본 논문에서 제시하는 공격에 대한 대응방안으로 랜덤 노이즈 발생기를 사용할 것을 제시하며, 이외에 ID card, 지문 등과 같은 추가 인증절차를 추가할 것을 권장한다.

다국어 초록 (Multilingual Abstract)

Digital door lock system is one of the widely used physical security systems around the world. It restricts unauthorized access and protects assets or personal space. However, once the password is exposed to unauthorized people, its function becomes useless. In this paper, we propose a novel attack model, which enables to crack digital door lock password without giving any notice. We noted that when people press button, no matter he or she is intentional or not, most of them generate different vibrations depending on the place of the pressed button. The natural phenomenon, vibration, is applied to our model to infer password.

This noble attack model might be regarded as side channel or APT as they share similar characteristics. During the experiment, we found that one of common ideas in security area is not applicable to our attack model. We believe that longer password guarantees higher security level. However, under our attack model, inferring the password depends on the number of distinguishable button rather than the length of password. To mitigate the risk we verified, we suggest using random noise generator to avoid the proposed attack only. More commonly, setting additional authentication method can be the solution such as the system using ID card or fingerprint identification. However this is a little bit different concept as it accepts the risk caused by our attack model, but restricts the risk with other authentication method.

목차 (Table of Contents)

• 1. Introduction
• 2. Related Work
• 3. Background
• 3.1 Digital door lock
• 3.2 Password cracking using side channel attack
• 3.3 Advanced Persistent Threat (APT) attack
• 4. Attack Model
• 5. Experiment
• 5.1 Data Collection
• 5.2 Feature Extraction
• 5.3 Classifiers
• 5.4 Experiment Results
• 5.4.1 Data classification
• 5.4.2 Applying hierarchical approach to classifier
• 5.4.3 n-digit password classfication
• 5.4.4 Proposed APT attack against n-digit password
• 6. Discussion
• 6.1 The longer password does not guarantee higher security level
• 6.2 Defenses
• 7. Conclusion