기술 요약: StateFi – 상태 전이를 통한 Wi-Fi 장치의 효과적인 식별

1. 문제 정의

Wi-Fi 장치는 발견, 인증 및 연결을 위해 암호화되지 않은 관리 프레임을 지속적으로 방출합니다. 이러한 프레임은 연결성을 위해 필수적이지만, 장치 핑거프린팅과 추적을 가능하게 하는 구조화된 행동 패턴을 유출합니다. 이를 완화하기 위해 현대 운영체제는 MAC 주소 무작위화를 채택하며, 프로브 기반 발견 과정에서 로컬 관리 MAC을 빈번하게 교체합니다.

그러나 기존 문헌에 따르면, 무작위화는 식별자를 모호하게 만들 뿐, 관리 프레임의 시퀀스, 타이밍 및 재시도 역학에 인코딩된 근본적인 행동 로직을 차단하지는 못합니다. MAC 무작위화를 무력화하려는 기존의 시도들은 정보 요소(IE), 시퀀스 번호(SEQ) 또는 RSSI 상관관계에서 파생된 구문적 특징(syntactic features)에 의존해 왔습니다. 이러한 방법들은 다음과 같은 심각한 한계를 가집니다:

• 취약성(Brittleness): 높은 혼잡도, 이동성 및 이질적인 액세스 포인트(AP) 배포가 특징인 실제 환경에서 판별력이 급격히 저하됩니다.
• 희소성(Sparsity): 프로브 활동은 본질적으로 희소하고 변동성이 커서, 구문적 시그니처의 안정성을 제한합니다.
• 은닉성(Obfuscation): 필드 수준의 식별자(예: IE)는 OS 업데이트에 의해 쉽게 은닉되거나 변경될 수 있습니다.

결과적으로, 무작위화된 식별자는 행동 기반 재식별에 대해 불완전한 보호만을 제공하며, 이는 콘텐츠 기반 특징에서 행동 역학으로의 전환이 필요함을 시사합니다.

2. 방법론: StateFi 프레임워크

StateFi는 장치 행동을 유한 상태 머신(FSM)으로 모델링하는 핑거프린팅 프레임워크를 도입합니다. 개별 프레임 유형이나 메타데이터 필드를 독립적으로 분석하는 대신, StateFi는 관리 평면 상호작용의 완전한 구조와 타이밍을 포착합니다.

2.1 FSM을 통한 행동 모델링

핵심 통찰은 관리 평면의 행동이 칩셋 및 펌웨어 설계 선택(예: 스캔 전략, 연결 시퀀스, 백오프 타이밍)에서 비롯되며, 이는 MAC 무작위화 이벤트 발생 시에도 안정적으로 유지된다는 점입니다.

• 상태 정의: 상태 집합($Q$)은 관리 프레임의 서브타입(예: ProbeReq, Auth, AssocReq)에 대응합니다.
• 전이(Transitions): 전이 함수($\delta$)는 하나의 "버스트"(동일한 MAC에서 방출된 패킷들의 시퀀스로, 패킷 간 간격이 1초를 초과하지 않는 경우) 내에서 관찰된 연속적인 서브타입 간의 전이를 기록합니다.
• 시간 논리(Temporal Logic): 모델은 구조적 전이(예: 재시도, 자기 전이)뿐만 아니라, 상태 간 지연 시간 및 스캔 페이싱과 같은 시간적 실행 로직을 포착합니다.

2.2 두 가지 운영 체제

StateFi는 위협 모델에 따라 두 가지 모드로 작동합니다.

1. 전체 관리 FSM(Full-Management FSMs): 장치가 네트워크에 연결되어 있을 수 있는 네트워크 내부 설정에서 사용됩니다. 이 FSM은 프로브 트래픽, 인증/연결 교환, 재연결 시도 및 인증 해제 로직을 포함한 전체 상호작용 스펙트럼을 포착합니다.
2. 프로브 전용 FSM(Probe-Only FSMs): 장치가 무작위 MAC을 방출하는 적대적 사전 연결 설정에서 사용됩니다. 이 FSM은 프로브 요청(Probe Request)과 응답(Response)만을 사용하여 구축됩니다. 알파벳(사용 가능한 기호)의 범위는 줄어들지만, IE 순서, 스캐닝 패턴 및 칩셋 특유의 재시도 역학에 관한 풍부한 행동 구조를 유지합니다.

2.3 특징 임베딩 및 분류

FSM 그래프를 직접 비교하는 것은 그래프 동형성(graph isomorphism) 요구 사항 때문에 계산 비용이 많이 듭니다. 확장 가능한 분석을 위해, StateFi는 각 FSM을 압축된 실수형 특징 벡터로 임베딩합니다.

• 특징 벡터: 구조적 특징(고유 상태 수, 총 전이 수, 자기 전이 수), 시간적 특징(전이율, 버스트 간 시간 간격, 시퀀스 번호 간격) 및 프로브 요청 IE의 이진 인코딩을 포함합니다.
• 분류: 프레임워크는 두 버스트가 동일한 물리적 장치에서 기원했는지 예측하기 위해 지도 학습 파이프라인을 활용합니다. 이는 쌍별 유사성 특징(유클리드 거리, 코사인 유사도, L1 거리 및 IE 중첩)을 추출하여 Random Forest(RF), Support Support Vector Machine(SVM), Logistic Regression(LR)과 같은 표준 분류기에 입력합니다.

3. 평가 및 결과

저자들은 5개의 이질적인 캠퍼스 환경(카페, 실험실, 강의실, 거주지, 식당)과 3개의 대규모 공개 데이터셋(Infocom'21, Cagliari, MITIK)을 포함한 8개의 데이터셋을 통해 StateFi를 평가했습니다.

3.1 인 네트워크 핑거프린팅

네트워크 내부 설정(연결 후)에서, StateFi는 전체 관리 FSM을 사용하여 5개 캠퍼스 환경에서 94–97%의 정확도를 달s성했습니다. Random Forest가 SVM 및 Logistic Regression보다 일관되게 우수한 성능을 보였습니다. 이는 전체 관리 FSM이 MAC 주소가 세션 단위로만 안정적일 때도 행동 무결성 모니터링 및 침입 탐지를 위한 안정적이고 고도로 차별화된 시그니처를 제공함을 입증합니다.

3.2 MAC 무작위화 무력화

무작위 MAC이 존재하는 적대적 사전 연결 설정에서, StateFi는 프로브 전용 FSM을 사용하여 장치를 재식별했습니다.

• 100만 개 이상의 프레임을 포함하는 3개의 대규모 공개 데이터셋 전반에서, StateFi는 92–97%의 정확도를 달성했습니다.
• 최신 기술인 Infocom'21 프레임워크의 판별 정확도 지표를 기준으로, StateFi는 **93–98%**에 도달했습니다.
• 이는 가장 강력한 기존 시그니처(IE+SEQ+RSSI)의 86% 대비 최대 17 퍼센트 포인트 향상된 수치입니다.
• 성능 격차는 더 긴 시간 창(time window)에서 더 커졌는데, 이는 구문적 시그니처가 버스트 경계 및 채널 혼잡에 민감한 반면, FSM 기반의 행동 모델링은 견고함을 유지했음을 강조합니다.

4. 주요 기여

본 논문은 다음과 같은 구체적인 기여를 합니다:

• FSM을 통한 행동 모델링: 유한 상태 머신 모델링을 사용하여 구조적 및 시간적 관리 프레임 역학을 모두 포착하는 최초의 핑거프린팅 프레임워크를 도입했습니다.
• 압축 및 확장 가능한 임베딩: 직접적인 그래프 비교의 계산 비용을 피하면서, 거리 기반 매칭 및 지도 학습 분류를 지원하는 효율적인 벡터 표현을 도출했습니다.
• 포괄적인 실세계 평가: 다양한 환경에서 MAC 무작위화 하에서도 높은 정확도로 인 네트워크 핑거프린팅 및 재식별을 수행함을 입증하여, 기존 기술 대비 최대 17%의 성능 향상을 보여주었습니다.
• 행동 사이드 채널의 규명: MAC 무작위화가 구현 수준의 행동 핑거프린트를 은닉하는 데 실패한다는 점을 밝혀내어, 향후 무선 표준에서 행동 기반 은닉(behavioral obfuscation)의 필요성을 제기했습니다.

5. 의의 및 주장

본 논문은 FSM 수준의 행동 역학이 강력하고 거의 완화되지 않은 사이드 채널을 형성한다고 주장합니다. 쉽게 무작위화되거나 은닉될 수 있는 구문적 특징과 달리, 상태 전이 및 타이밍에 인코딩된 행동 로직은 펌웨어 및 칩셋 설계에 깊이 뿌리박고 있어, 네트워크 성능(예: 지연 시간 또는 전력 소비 증가)을 해치지 않고는 마스킹하기 어렵습니다.

StateFi는 공격적인 MAC 무작위화가 존재하는 상황에서도 정밀하고 견고한 장치 식별이 가능하다는 것을 보여줍니다. 저자들은 현재의 프라이버시 방어책이 식별자 무작위화에 집중하고 있지만, 이는 행동 기반 재식별에 대해서는 불충분하다고 결론짓습니다. 향 $\text{후}$ Wi-Fi 네트워크에서 사용자의 익명성을 효과적으로 보호하기 위해서는 FSM 수준의 행동 시그니처 유출 문제를 다루는 행동 기반 은닉이 반드시 필요합니다.