🔬 applied physics

Reflecthernet: Exfiltrating 100BASE-TX Ethernet Traffic Using a Retroreflector Hardware Trojan

Questo articolo dimostra la fattibilità dell'esfiltrazione del traffico Fast Ethernet 100BASE-TX mediante la progettazione e l'implementazione di un Troiano hardware compatto e passivo che utilizza la retroriflessione a radiofrequenza per modulare e recuperare in modo occulto segnali codificati MLT-3 senza emettere propri segnali.

Autori originali: Pierre Granier, Matthieu Davy, Philippe Besnier, François Sarrazin

Pubblicato 2026-05-05

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Pierre Granier, Matthieu Davy, Philippe Besnier, François Sarrazin

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

L'idea principale: La "spia silenziosa" nel tuo cavo di rete

Immagina di avere una conversazione segreta che avviene all'interno di una stanza. Di solito, per origliare, devi essere molto vicino, possedere un microfono super-sensibile e sperare che le pareti siano abbastanza sottili da poter sentire attraverso di esse. È così che funziona la tradizionale "intercettazione" sulle reti informatiche: gli hacker cercano di catturare le deboli onde radio accidentali che fuoriescono dai cavi.

Ma cosa succederebbe se potessi installare un minuscolo dispositivo invisibile nel cavo che non parla affatto? Invece, agisce come uno specchio.

Questo documento introduce un nuovo tipo di gadget spia chiamato Trojan Hardware Retro-riflettore. Non pensarlo come un trasmettitore radio, ma come uno specchio intelligente nascosto all'interno del tuo cavo Ethernet.

Come funziona l'attacco: La torcia e lo specchio

Il documento descrive un gioco in tre parti di "Palla avvelenata con la torcia" tra l'attaccante e il bersaglio:

La Torcia (L'attaccante): L'attaccante si trova fuori dalla stanza con una potente "torcia" radio (un generatore di segnali). Dirige questa luce invisibile verso il cavo del computer del bersaglio.
Lo Specchio Intelligente (L'impianto): All'interno del cavo c'è un minuscolo dispositivo senza batteria (il Trojan) composto da solo due piccoli diodi e un paio di resistori. È così piccolo che si adatta all'interno della schermatura del cavo senza che nessuno se ne accorga.
- Quando il computer invia uno "0" o un "1" attraverso il cavo, questo dispositivo cambia istantaneamente il modo in cui riflette la torcia dell'attaccante.
- È come uno specchio che si inclina leggermente a sinistra per uno "0" e leggermente a destra per un "1". Non produce il proprio rumore; rimbalza semplicemente la luce dell'attaccante indietro in un pattern che corrisponde ai dati segreti.
La Cattura (Il Ricevitore): L'attaccante cattura la luce riflessa con un ricevitore speciale. Analizzando come la luce è rimbalzata indietro, possono ricostruire i dati segreti che stavano viaggiando attraverso il cavo.

La Sfida: Accelerare lo Specchio

Le versioni precedenti di questo attacco "a specchio" funzionavano bene su cose lente come vecchi tastiere o cavi video. Ma questo documento affronta la Fast Ethernet (100BASE-TX), che è molto più veloce e utilizza un linguaggio complesso chiamato MLT-3.

L'Analogia: Immagina che un cavo normale utilizzi un semplice interruttore della luce "Acceso/Spento" (come un punto o una linea del codice Morse). Gli specchi vecchi potevano copiarlo facilmente.
Il Problema: La Fast Ethernet utilizza una danza a tre passi: Alto, Medio, Basso. È come un semaforo che cambia colore. Se metti semplicemente uno specchio semplice lì, si confonderebbe e perderebbe il messaggio.
La Soluzione: I ricercatori hanno costruito un nuovo "specchio" che guarda la differenza tra i fili. Trasforma efficacemente la complessa danza a tre passi in un semplice segnale "Si sta muovendo o no?", permettendo allo specchio di tenere il passo con l'alta velocità.

Il Decodificatore: Correggere il Disturbo

Poiché il segnale deve viaggiare attraverso l'aria, rimbalzare su un minuscolo specchio e tornare indietro, diventa confuso (come cercare di sentire un sussurro in una tempesta ventosa). Il documento descrive una sofisticata pipeline software per pulire il rumore:

Trovare il Pattern: Il software sa che i computer inviano specifici pattern di "idle" (inattività) quando non stanno parlando. Utilizza questi pattern noti per sincronizzare il proprio orologio, come un direttore d'orchestra che trova il battito di una canzone.
La Mappa delle "Zone Calde": Il software guarda il segnale in arrivo e raggruppa i punti dati in due "folla" (una per gli 0, una per gli 1). Anche se i dati sono sfocati, può dire a quale folla appartiene un punto.
Correzione degli Errori: Il sistema conosce le regole del linguaggio Ethernet (codifica 4B/5B). Se vede una parola che non esiste nel dizionario (un codice non valido), indovina la parola corretta più probabile basandosi sui dati circostanti, molto come il correttore automatico che risolve un errore di battitura.

I Risultati: Quanto lontano possono vedere?

I ricercatori hanno testato questo in due luoghi:

Una Camera Anecoica (Camera insonorizzata): Qui hanno dimostrato che il concetto funziona perfettamente con alta potenza.
Un Ufficio Reale: Hanno sistemato un laptop e un Raspberry Pi su tavoli da ufficio. Stando a 3 metri (circa 10 piedi) di distanza, hanno intercettato con successo i dati che fluivano tra di loro.

Hanno calcolato che se avessero usato una "torcia" molto più potente (più potenza), avrebbero probabilmente potuto estendere significativamente questo raggio, anche se hanno notato che troppa potenza potrebbe accecare il loro stesso ricevitore.

Perché questo è importante (Secondo il Documento)

Il documento sostiene che, sebbene crittografiamo il nostro traffico internet (come usando HTTPS), molte reti interne (come quelle negli uffici o nelle fabbriche) inviano ancora dati non crittografati. Questo attacco dimostra che anche se un cavo sembra sicuro e schermato, un minuscolo "specchio" invisibile può essere piantato all'interno per rubare dati a distanza, senza mai dover collegarsi alla rete o alimentare il dispositivo.

In breve: Hanno costruito un minuscolo specchio passivo che può essere nascosto in un cavo di rete, permettendo a un attaccante di "leggere" i dati che viaggiano attraverso di esso illuminandolo con un raggio radio da pochi metri di distanza, anche su connessioni ad alta velocità.

Riepilogo Tecnico: Reflecthernet

Enunciato del Problema
L'intercettazione elettromagnetica (TEMPEST) è una minaccia nota, tuttavia gli attacchi passivi sono spesso limitati da segnali deboli e rumorosi e da dipendenze ambientali. Sebbene i Trojan Hardware (HT) offrano un vettore di esfiltrazione più controllato, gli impianti attivi richiedono alimentazione e sono facilmente rilevabili. Gli Attacchi a Retroflettore a Radiofrequenza (RFRAs) affrontano questo problema utilizzando impianti passivi e privi di alimentazione che modulano la retrodiffusione di un segnale esterno in base ai dati target. Tuttavia, le precedenti dimostrazioni accademiche di RFRAs sono state limitate a interfacce analogiche (ad es. VGA) o collegamenti digitali a bassa velocità (ad es. USB, PS/2, 10BASE-T) con codifiche binarie semplici e velocità di simbolo generalmente inferiori a 50 MBd. I collegamenti digitali ad alta velocità, in particolare 100BASE-TX Ethernet (Fast Ethernet), che utilizzano una complessa codifica Multi-Level Transmit-3 (MLT-3) e velocità di simbolo più elevate, non sono stati finora presi di mira con successo da questa tecnica.

Metodologia
Gli autori presentano "Reflecthernet", un framework progettato per esfiltrare il traffico Ethernet 100BASE-TX utilizzando un HT retroflettore personalizzato e una pipeline di interrogazione ad alta velocità.

Architettura dell'Impianto:
- L'HT è un impianto passivo incorporato nella coppia differenziale di un cavo Ethernet Cat-5 (o superiore).
- A differenza dei precedenti impianti mirati al binario, questo progetto affronta la codifica a tre livelli MLT-3 (–1, 0, +1). Impiega due diodi Schottky (BAT63-02V) di polarità opposta collegati alle linee differenziali ( $D+$ e $D-$ ) tramite resistori in serie (620 $\Omega$ ).
- Questa configurazione consente all'impianto di condurre quando $|D+ - D-| \neq 0$ , convertendo efficacemente il segnale MLT-3 a tre livelli in una variazione di impedenza binaria (conduttivo vs non conduttivo) che modula il coefficiente di riflessione della schermatura del cavo (utilizzata come dipolo improvvisato).
- L'impianto è fisicamente piccolo (circa 2mm x 0,9mm x 1,25mm per il package del diodo) e può essere nascosto all'interno della schermatura del cavo.
Configurazione di Interrogazione:
- L'attacco utilizza una scheda di valutazione RF System-on-Chip (RFSoC) (ZCU111) capace di velocità di gigacampioni al secondo (GSa/s), superando i limiti di banda delle tipiche Radio Definite via Software (SDR).
- La configurazione include un percorso di trasmissione ad alta potenza (fino a ~17 dBm) e un percorso di ricezione sensibile con amplificatori a basso rumore (LNA) e filtraggio passa-alto per sopprimere la fuoriuscita della portante.
- L'illuminazione e la ricezione avvengono a frequenze comprese tra 300 MHz e 1 GHz, con una velocità di campionamento di 1,6 Gsp/s per catturare la velocità di simbolo di 125 MBd del collegamento target.
Pipeline di Recupero Dati:
- Demodulazione: Il sistema recupera la tensione differenziale assoluta $|D+ - D-|$ analizzando la distanza dei campioni ricevuti rispetto a "punti caldi" nel piano complesso (utilizzando la Stima della Densità di Probabilità con Kernel Gaussiano) o tramite un Classificatore a Vettori di Supporto (SVC) addestrato.
- Sincronizzazione: Una sequenza a Registro a Spostamento a Feedback Lineare (LFSR) (polinomio $x^{11} - x^9 - 1$ ) viene utilizzata per lo scrambling. Gli autori sincronizzano il ricevitore sfruttando lo stato "IDLE" noto (sequenza continua di '1') trasmesso durante gli spazi inter-pacchetto (IPG) per ricostruire lo stato dello scrambler.
- Decodifica: La pipeline inverte la codifica MLT-3, descramba il flusso di bit e applica la decodifica 4B/5B.
- Correzione degli Errori: Una pipeline personalizzata rileva codici 4B/5B non validi (che si verificano a causa del rumore del canale radio) e tenta di correggerli mappandoli sul vicino valido più prossimo basato su metriche di confidenza derivate dalle distanze dei campioni.

Contributi Chiave

Primo RFRA su Ethernet: Questo lavoro dimostra il primo attacco a retroflettore riuscito su un collegamento Ethernet 100BASE-TX, estendendo l'applicabilità degli RFRAs a una velocità di simbolo di 125 MBd, un ordine di grandezza superiore rispetto ai precedenti attacchi a collegamenti digitali.
Nuova Architettura HT: La progettazione di una struttura a due diodi capace di discriminare e modulare la segnalazione MLT-3 senza richiedere alimentazione o logica complessa.
Interrogazione ad Alta Banda: L'uso di una piattaforma RFSoC per supportare le elevate velocità di campionamento richieste da Fast Ethernet, andando oltre le capacità delle tipiche SDR utilizzate nella letteratura precedente.
Correzione degli Errori Consapevole del Protocollo: Lo sviluppo di una pipeline di demodulazione e decodifica che sfrutta la struttura specifica del protocollo 100BASE-TX (codifica 4B/5B e pattern IDLE) per ricostruire lo stato dello scrambler e correggere gli errori di bit, consentendo un recupero dati affidabile nonostante il rumore del canale radio.

Risultati

Prestazioni: In un ambiente controllato di camera anecoica, il sistema ha raggiunto un recupero dati quasi completo a una distanza di 4 metri con potenze trasmesse fino a 17 dBm.
Validazione nel Mondo Reale: L'attacco è stato replicato con successo in un ambiente ufficio standard a una distanza di 3 metri con una potenza di illuminazione di 13 dBm. In queste condizioni, il Tasso di Errore di Bit (BER) è stato mantenuto al di sotto di 0,1.
Recupero Dati: La pipeline ha ricostruito con successo frame Ethernet completi a livello MAC, inclusi intestazioni IP e payload (dimostrato utilizzando richieste echo ICMP con riempimento specifico). Sebbene alcuni errori a livello di byte siano rimasti, informazioni essenziali come indirizzi MAC, indirizzi IP e pattern del payload erano chiaramente leggibili.
Stima della Portata: Utilizzando l'equazione del radar, gli autori stimano che raddoppiare la portata da 3 metri a 6 metri richiederebbe un aumento di 12 dB della potenza trasmessa (circa 25 dBm), limitato principalmente dalla dinamica e dalla saturazione del ricevitore.

Significato
Il documento afferma che Reflecthernet dimostra la fattibilità degli attacchi a retroflettore contro collegamenti digitali complessi e ad alta velocità precedentemente considerati resistenti a tali tecniche. Colpendo con successo il 100BASE-TX, il lavoro evidenzia che anche le moderne interfacce di rete ad alta velocità sono vulnerabili a impianti hardware passivi e privi di alimentazione se è possibile l'accesso fisico (ad es. compromissione della catena di approvvigionamento o attacchi "evil maid"). Gli autori notano che, sebbene la crittografia (TLS, MACsec) protegga il contenuto del payload, i protocolli legacy non crittografati (ad es. HTTP, NFS, DNS) e i metadati a livelli inferiori rimangono esposti. Lo studio conclude che la combinazione della diffusione dell'implementazione Ethernet e della capacità di esfiltrare dati a 125 MBd espande significativamente la superficie di attacco per gli RFRA, rendendo necessaria una rivalutazione delle ipotesi di sicurezza fisica per l'infrastruttura di rete.