秘密チャネル

コンピュータセキュリティにおいて、隠れチャネルとは、コンピュータセキュリティポリシーによって通信が許可されていないプロセス間で情報オブジェクトを転送する機能を作成する攻撃の一種です。1973年にバトラー・ランプソンによって考案されたこの用語は、「サービスプログラムのシステム負荷への影響など、情報転送をまったく意図していない」チャネルとして定義され、 COMPUSECによるアクセス制御の対象となる正当なチャネルと区別しています。^[1]

隠れチャネルは、コンピュータ システムの正当なデータ転送メカニズム (通常は読み取りと書き込み) を使用しないため、安全なオペレーティング システムのアクセス制御メカニズムから隠されており、安全なオペレーティング システムの基盤となるセキュリティ メカニズムによって検出または制御できないことから、このように呼ばれています。隠れチャネルは、実際のシステムにインストールするのが非常に難しく、システム パフォーマンスを監視することで検出できる場合がよくあります。さらに、信号対雑音比が低く、データ レートも低い (通常は 1 秒あたり数ビット程度) という問題もあります。また、十分に確立された隠れチャネル分析戦略によって、安全なシステムから手動で確実に削除することもできます。

隠れチャネルは、ステガノグラフィーなどのスキームや、禁止されたオブジェクトを正当な情報オブジェクト内に隠すそれほど洗練されていないスキームを使用して、保証度の低い疑似セキュア システムを攻撃する正当なチャネルの悪用とは異なり、しばしば混同されます。ステガノグラフィーによる正当なチャネルの悪用は、特に隠れチャネルの形式ではありません。^[要出典]

隠れチャネルは安全なオペレーティング システムを通り抜けることができ、制御には特別な手段が必要です。隠れチャネルの分析は隠れチャネルを制御する唯一の実証済みの方法です。^[要出典] 対照的に、安全なオペレーティング システムは正当なチャネルの悪用を簡単に防ぐことができるため、両者を区別することが重要です。正当なチャネルの隠されたオブジェクトの分析は、正当なチャネルの悪用に対する唯一の有効な対策であると誤解されることがよくあります。これは大量のソフトウェアの分析に相当するため、1972 年にはすでに非実用的であることが示されていました。^[2] このことを知らされていないため、分析によってこれらの正当なチャネルの「リスクを管理」できると誤解している人もいます。

信頼できるコンピュータ セキュリティ評価基準( TCSEC) は、米国国家安全保障局が管理する機関である国立コンピュータ セキュリティ センターによって確立された一連の基準であり、現在は廃止されています。

ランプソンの隠れチャネルの定義は、TCSEC ^[3]で言い換えられ、特に、より高い分類の区画からより低い分類の区画に情報を転送する方法を指すようになりました。共有処理環境では、あるプロセスを別のプロセスが動作環境に及ぼす影響から完全に分離することは困難です。隠れチャネルは、受信プロセスが検出できる何らかの条件 (空き領域、サービスの可用性、実行の待機時間など) を調整する送信プロセスによって作成されます。

TCSEC では、2 種類の秘密チャネルが定義されています。

• ストレージ チャネル - ハード ドライブなどの「ストレージの場所」を変更して通信します。
• タイミング チャネル- 受信機によって観測される「実際の応答時間」に影響する操作を実行します。

TCSEC（オレンジブックとも呼ばれる）^[4]では、秘密ストレージチャネルの分析はB2システムとして分類され、秘密タイミングチャネルの分析はクラスB3の要件となっています。

コンピュータネットワークを介して送信されるパケット間の遅延の使用は、秘密通信のためにGirling ^[5]によって最初に研究されました。この研究は、秘密通信を確立または検出し、そのようなシナリオの基本的な制限を分析するための他の多くの研究に影響を与えました。

ファイルの存在や計算に使用された時間など、ありふれたものが、秘密チャネルが通信するための媒体となってきました。秘密チャネルは、非常に多く、頻繁に使用されるため、見つけるのは容易ではありません。

潜在的な隠れチャネルを見つけるための標準として、比較的古い 2 つの手法が今も使われています。1 つはシステムのリソースを分析する手法で、もう 1 つはソース コード レベルで機能します。

秘密チャネルの可能性は排除できないが^[2]、慎重な設計と分析によって大幅に減らすことはできる。

隠れチャネルの検出は、正当なユーザーが制御または検査することのない正当なチャネルの通信媒体の特性を利用することで、より困難にすることができます。たとえば、あるプログラムが特定のタイミング パターンでファイルを開いたり閉じたりし、それを別のプログラムが検出すると、そのパターンがビットの文字列として解釈されて隠れチャネルが形成されます。正当なユーザーがファイルの開閉操作のパターンを確認する可能性は低いため、このタイプの隠れチャネルは長期間検出されないままになる可能性があります。

同様のケースとして、ポート ノッキングがあります。通常の通信では、リクエストのタイミングは重要ではなく、監視もされません。しかし、ポート ノッキングでは、それが重要になります。

ハンデルとサンドフォードは、ネットワーク通信プロトコルの一般的な設計における隠れたチャネルを研究する研究を発表しました。^{[6]彼らは開発の基礎として}OSI モデルを採用し、データ隠蔽に使用できる可能性のあるシステム要素を特徴付けています。採用されたアプローチは、特定のネットワーク環境やアーキテクチャに反する標準が考慮されるため、これらよりも優れています。

彼らの研究は、絶対確実なステガノグラフィ方式を提示することを目的としているわけではありません。むしろ、7 つのOSI 層のそれぞれにおけるデータ隠蔽の基本原理を確立することを目指しています。上位ネットワーク層でのプロトコル ヘッダーの予約フィールド (簡単に検出可能) の使用を提案するほか、物理層での CSMA/CD 操作を含むタイミング チャネルの可能性も提案しています。

彼らの研究では、次のような秘密チャネルのメリットが特定されています。

• 検出可能性: 隠れたチャネルは、意図した受信者のみが測定できる必要があります。
• 識別不能: 隠れたチャネルには識別が存在しない必要があります。
• 帯域幅: チャネル使用あたりのデータ隠蔽ビット数。

彼らの隠れチャネル分析では、これらのデータ隠蔽技術と他のネットワーク ノードとの相互運用性、隠れチャネル容量の推定、複雑さと互換性の観点から見たデータ隠蔽のネットワークへの影響などの問題が考慮されていません。さらに、OSI モデル自体が機能システムには存在しないため、これらの技術の一般性は実際には完全に正当化できません。

Girling は、まずネットワーク環境における秘密チャネルを分析します。彼の研究は、3 つの明白な秘密チャネル (2 つのストレージ チャネルと 1 つのタイミング チャネル) が特定されるローカル エリア ネットワーク (LAN) に焦点を当てています。これは、LAN における単純な秘密チャネルの帯域幅の可能性の実際の例を示しています。特定の LAN 環境について、著者は、LAN 上の特定の送信機の活動を監視する盗聴者という概念を導入しました。秘密通信を行う当事者は、送信機と盗聴者です。Girling によると、秘密情報は、次の明白な方法のいずれかで通信できます。

1. 送信者がアクセスするアドレスを観察することによって。送信者がアクセス可能なアドレスの総数が 16 の場合、秘密メッセージ用に 4 ビットを持つ秘密通信の可能性があります。著者は、この可能性は送信される内容 (つまり、送信者がアクセスするアドレス) に依存するため、秘密ストレージ チャネルと呼んでいます。
2. 同様に、他の明らかなストレージ秘密チャネルは、送信者が送信したフレームのサイズによって異なります。 256 通りのサイズがある場合、フレームの 1 つのサイズから解読される秘密情報の量は 8 ビットになります。 このシナリオも秘密ストレージ チャネルと呼ばれています。
3. 提示された 3 番目のシナリオでは、メッセージの有無を使用します。たとえば、メッセージの時間間隔が奇数の場合は「0」、偶数の場合は「1」です。

このシナリオでは、秘密情報を「送信時」戦略で送信するため、タイミング秘密チャネルと呼ばれます。データ ブロックの送信時間は、ソフトウェア処理時間、ネットワーク速度、ネットワーク ブロック サイズ、プロトコル オーバーヘッドの関数として計算されます。さまざまなサイズのブロックが LAN 上で送信されると仮定して、ソフトウェア オーバーヘッドを平均的に計算し、秘密チャネルの帯域幅 (容量) を推定する新しい時間評価も提示されます。この作業は、将来の研究への道を開きます。

Craig Rowland が発表した記事では、TCP/IP プロトコル スイートの IP ヘッダーと TCP ヘッダーに焦点を当て、IP 識別フィールド、TCP 初期シーケンス番号、確認シーケンス番号フィールドを利用して適切なエンコードおよびデコード手法を考案しています。^[7]これらの手法は、バージョン 2.0 カーネルを実行する Linux システム用に作成されたシンプルなユーティリティに実装されています。

Rowland は、TCP/IP プロトコル スイートを使用して秘密チャネルを利用するための概念実証と実用的なエンコードおよびデコード手法を提供します。これらの手法は、ファイアウォール ネットワーク アドレス変換などのセキュリティ メカニズムを考慮して分析されます。

しかし、これらの秘密通信技術の非検出性には疑問があります。たとえば、TCP ヘッダーのシーケンス番号フィールドが操作された場合、同じアルファベットが秘密通信されるたびに同じシーケンス番号でエンコードされるようなエンコード方式が採用されます。

さらに、シーケンス番号フィールドと確認応答フィールドの使用法は、両方のフィールドが特定のネットワーク パケットに関連するデータ バイトの受信を考慮しているため、提案されているように英語のアルファベットの ASCII コーディングに特定することはできません。

ローランドの後、学術界の何人かの著者が、TCP/IPプロトコルスイートの隠れチャネルに関するさらなる研究を発表し、統計的アプローチから機械学習に至るまでのさまざまな対策を取り上げました。^{[8] [9] [10] [11]}ネットワーク隠れチャネルの研究は、後に登場したネットワークステガノグラフィーの領域と重複しています。

• コンピュータとネットワークの監視 – コンピュータまたはネットワークのアクティビティの監視
• サイドチャネル攻撃 – コンピュータシステムの実装から得られた情報に基づく攻撃
• ステガノグラフィー – 他のメッセージの中にメッセージを隠す
• サブリミナルチャネル – 秘密の暗号チャネル
• ワイヤデータ – 送信されるネットワーク情報の形式

• タイミング チャネルは、 Multicsのタイミング チャネルの初期の活用です。
• 秘密チャネル ツールが IPv6 でデータを隠す、SecurityFocus、2006 年 8 月 11 日。
• ラゴ、マイケル、ホズマー、チェット (2012)。 『データ ハイディング: マルチメディア、オペレーティング システム、モバイル デバイス、ネットワーク プロトコルに隠されたデータの公開』Syngress Publishing。ISBN 978-1597497435。
• Lakshmanan, Ravie (2020-05-04)。「新しいマルウェアは、電源をスピーカーに変えてエアギャップデバイスに侵入する」。
• 秘密チャネルに関するオープンオンラインクラス (GitHub)

• Gray-World - オープンソース研究チーム: ツールと論文
• Steath ネットワーク オペレーション センター - 秘密通信サポート システム