MACアドレス重複環境下におけるアドレス解決プロトコルの不成功を利用した悪性アクセスポイント検知手法

• Item type: SIG Technical Reports(1)
• 公開日: 2021-07-12
• タイトル: MACアドレス重複環境下におけるアドレス解決プロトコルの不成功を利用した悪性アクセスポイント検知手法
• タイトル / 言語: en
• タイトル: Rogue Access Point Detection by Using ARP Failure under the MAC Address Duplication
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: ISEC
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 慶應義塾大学理工学部情報工学科
• 著者所属: 慶應義塾大学理工学部情報工学科
• 著者所属: 慶應義塾大学理工学部情報工学科
• 著者所属(英): en
• 著者所属(英): Dept. of Information and Computer Science, Faculty of Science and Technology, Keio University
• 著者所属(英): en
• 著者所属(英): Dept. of Information and Computer Science, Faculty of Science and Technology, Keio University
• 著者所属(英): en
• 著者所属(英): Dept. of Information and Computer Science, Faculty of Science and Technology, Keio University
• 著者名: 五十嵐, 幸佑; 加藤, 広野; 笹瀬, 巌
• 著者名(英): Kosuke, Igarashi; Hiroya, Kato; Iwao, Sasase
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 公衆無線 LAN における悪性アクセスポイント（RAP）の検知は，安心してサービスを利用するために必須の課題である．本稿では，実環境での高精度の検知を実現すべく，MAC アドレス重複環境下におけるアドレス解決プロトコル（ARP）に基づいた RAP の検知手法を提案する．本提案では，ユーザ端末からのパケットが RAP と正規アクセスポイント（LAP）の二つの端末を経由してゲートウェイまで送られるという攻撃時のトポロジに着目する．これは攻撃者によって設置された RAP が，LAP を経由して公衆無線 LAN と同一のゲートウェイを介することで，ユーザ端末にインターネット接続を提供するためである．この考えに基づき，攻撃時にユーザ端末が通信を行うアクセス ポイント（AP）とゲートウェイ間に介在する LAP を，そのビーコン信号から得られる MAC アドレスを探索することで，ユーザ端末が利用している AP を RAP と識別する．この MAC アドレスの探索を行う際に，ゲートウェイとユーザ端末の同一通信経路上に MAC アドレスが重複する場合に，ゲートウェイからの ARP 応答パケットがユーザ端末の元まで届かなくなる状況を利用する．ユーザ端末の MAC アドレスを意図的に周囲の MAC アドレスと重複させ，ゲートウェイからの ARP 応答パケットが届かなくなる状況を観測することで，ユーザ端末が利用する AP とゲートウェイの間に介在する LAP の存在を割り出す．このとき，ユーザ端末が利用する AP を RAP と識別する．この手法により，実環境を想定した実験にて 96.5% の検知精度を実現した．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Detecting a Rogue Access Point (RAP) in Wi-Fi network is imperative. In this paper, we propose RAP detection by using Address Resolution Protocol (ARP) failure under the Media Access Control (MAC) address duplication. Our main idea is that the traffic is relayed via a RAP and a LAP on the LAN path between a client and a gateway under the attack. This is because the RAP must be established between a client and a LAP to provide Internet connection. On the basis of this idea, the proposed scheme reveals that the Access Point (AP) with which a client connects is a RAP by discovering the MAC address of a LAP on the path. In order to find the MAC address, we leverage the phenomenon that a client cannot receive ARP reply packets in the situation where its MAC address and that of a AP are duplicated on the path. By doing this, the presence of a LAP is revealed, which can judge that the connected AP is a RAP. In our evaluation, the proposed scheme achieves accuracy of 96.5% even in unstable traffic environment.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AA11235941
• 書誌情報: 研究報告コンピュータセキュリティ（CSEC）; 巻 2021-CSEC-94, 号 5, p. 1-7, 発行日 2021-07-12
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8655
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会