🔬 applied physics

Reflecthernet: Exfiltrating 100BASE-TX Ethernet Traffic Using a Retroreflector Hardware Trojan

본 논문은 자체 신호를 방출하지 않고 MLT-3 인코딩 신호를 은밀하게 변조 및 복원하기 위해 전파 주파수 후방 반사를 활용하는 소형 수동형 하드웨어 트로이 목마를 설계 및 구현함으로써 100BASE-TX 패스트 이더넷 트래픽을 유출하는可行性을 입증한다.

원저자: Pierre Granier, Matthieu Davy, Philippe Besnier, François Sarrazin

게시일 2026-05-05

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Pierre Granier, Matthieu Davy, Philippe Besnier, François Sarrazin

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

"Reflecthernet" 논문을 쉬운 언어와 일상적인 비유로 설명합니다.

핵심 아이디어: 네트워크 케이블 속의 "침묵하는 스파이"

방 안에서 비밀스러운 대화가 오가고 있다고 상상해 보세요. 보통 엿듣기 위해서는 매우 가까이 다가가고, 초고감도 마이크가 필요하며, 벽이 충분히 얇아 소리가 들리기를 기대해야 합니다. 이것이 컴퓨터 네트워크에서 전통적인 "도청"이 작동하는 방식입니다. 해커들은 케이블에서 새어 나오는 미약한 우연한 전파를 포착하려 합니다.

하지만 만약 케이블 안에 말을 전혀 하지 않는 작고 보이지 않는 장치를 설치할 수 있다면 어떨까요? 대신 그것은 거울처럼 행동합니다.

이 논문은 후방 반사기 하드웨어 트로이라고 불리는 새로운 유형의 스파이 장치를 소개합니다. 이를 무선 송신기가 아니라 이더넷 케이블 안에 숨겨진 지능형 거울로 생각하세요.

공격의 작동 원리: 손전등과 거울

이 논문은 공격자와 표적 사이의 "손전등 태그" 게임 세 단계로 설명합니다:

손전등 (공격자): 공격자는 방 밖에 서서 강력한 무선 "손전등"(신호 발생기) 을 들고 있습니다. 그들은 이 보이지 않는 빛을 표적의 컴퓨터 케이블에 비춥니다.
지능형 거울 (임플란트): 케이블 내부에는 두 개의 작은 다이오드와 몇 개의 저항으로만 구성된 배터리가 없는 작은 장치 (트로이) 가 있습니다. 그것은 너무 작아 아무도 눈치채지 못한 채 케이블의 차폐막 안에 들어갑니다.
- 컴퓨터가 케이블을 통해 "0"이나 "1"을 보낼 때, 이 장치는 공격자의 손전등 빛을 반사하는 방식을 즉시 바꿉니다.
- 마치 "0"일 때는 약간 왼쪽으로, "1"일 때는 약간 오른쪽으로 기울어지는 거울과 같습니다. 그것은 자체 소음을 내지 않고, 비밀 데이터 패턴에 맞춰 공격자의 빛을 반사할 뿐입니다.
포착 (수신기): 공격자는 특수 수신기로 반사된 빛을 포착합니다. 빛이 어떻게 반사되어 돌아왔는지 분석함으로써, 케이블을 통해 이동하던 비밀 데이터를 재구성할 수 있습니다.

과제: 거울의 속도 높이기

이전 버전의 이 "거울" 공격은 오래된 키보드나 비디오 케이블 같은 느린 것들에서는 잘 작동했습니다. 하지만 이 논문은 훨씬 더 빠르고 MLT-3이라는 복잡한 언어를 사용하는 **Fast Ethernet(100BASE-TX)**을 다룹니다.

비유: 일반 케이블은 간단한 "켜기/끄기" 전등 스위치 (모스 부호의 점이나 대시와 같은) 를 사용한다고 가정해 보세요. 이전 거울들은 이를 쉽게 복사할 수 있었습니다.
문제: Fast Ethernet 은 "높음, 중간, 낮음"의 세 단계 춤을 춥니다. 신호등이 색을 바꾸는 것과 같습니다. 만약 거기에 단순한 거울을 그냥 두면 혼란을 겪고 메시지를 잃게 됩니다.
해결책: 연구자들은 선 간의 "차이"를 보는 새로운 "거울"을 만들었습니다. 이는 효과적으로 복잡한 세 단계 춤을 "움직이고 있는지 아닌지?"라는 단순한 신호로 변환하여 거울이 고속에 맞춰갈 수 있게 합니다.

디코더: 정적 잡음 제거

신호는 공기를 통과하고 작은 거울에 반사되어 돌아와야 하므로, 바람이 세게 부는 폭풍 속에서 속삭임을 듣는 것처럼 혼란스러워집니다. 논문은 노이즈를 정화하기 위한 정교한 소프트웨어 파이프라인을 설명합니다:

패턴 찾기: 소프트웨어는 컴퓨터가 대화하지 않을 때 특정 "유휴(idle)" 패턴을 보낸다는 것을 알고 있습니다. 이는 지휘자가 노래의 박자를 찾는 것처럼, 알려진 패턴을 사용하여 자신의 시계를 동기화합니다.
"핫스팟" 지도: 소프트웨어는 들어오는 신호를 살펴보고 데이터 포인트를 두 개의 "군집"(0 을 위한 군집과 1 을 위한 군집) 으로 그룹화합니다. 데이터가 흐릿하더라도 어떤 군집에 속하는지 구분할 수 있습니다.
오류 수정: 시스템은 이더넷 언어의 규칙 (4B/5B 인코딩) 을 알고 있습니다. 사전에 존재하지 않는 단어 (무효 코드) 를 보게 되면, 주변 데이터를 기반으로 가장 가능성 있는 올바른 단어를 추측합니다. 이는 자동 교정이 오타를 수정하는 것과 매우 유사합니다.

결과: 얼마나 멀리 볼 수 있는가?

연구자들은 두 곳에서 이를 테스트했습니다:

무반사실 (Anechoic Chamber): 여기서 그들은 고출력으로 개념이 완벽하게 작동함을 증명했습니다.
실제 사무실: 그들은 사무실 책상에 노트북과 라즈베리 파이 (Raspberry Pi) 를 설치했습니다. 3 미터 (약 10 피트) 떨어진 곳에서 두 장치 사이를 흐르는 데이터를 성공적으로 가로채는 데 성공했습니다.

그들은 훨씬 더 강력한 "손전등"(더 많은 전력) 을 사용한다면 이 범위를 크게 확장할 수 있을 것으로 계산했지만, 너무 많은 전력은 자신의 수신기를 실명시킬 수 있다고 지적했습니다.

왜 이것이 중요한가 (논문에 따르면)

이 논문은 우리가 인터넷 트래픽을 암호화 (HTTPS 사용 등) 하지만, 많은 내부 네트워크 (사무실이나 공장의 네트워크 등) 는 여전히 암호화되지 않은 데이터를 전송한다고 주장합니다. 이 공격은 케이블이 안전하고 차폐된 것처럼 보이더라도, 케이블 내부에 작고 보이지 않는 "거울"을 심어 네트워크에 연결하거나 장치를 전원에 연결하지 않고도 원거리에서 데이터를 훔칠 수 있음을 증명합니다.

간단히 말해: 그들은 네트워크 케이블에 숨길 수 있는 작고 수동적인 거울을 만들어, 몇 미터 떨어진 곳에서 무선 빔을 비추는 것만으로도 고속 연결을 통해 흐르는 데이터를 공격자가 "읽을" 수 있게 했습니다.

기술 요약: Reflecthernet

문제 제기
전자기 도청 (TEMPEST) 은 알려진 위협이지만, 수동 공격은 약하고 잡음이 많은 신호 및 환경적 의존성으로 인해 종종 제한됩니다. 하드웨어 트로이 (HT) 는 더 통제된 유출 경로를 제공하지만, 능동적 임플란트는 전력이 필요하며 쉽게 탐지됩니다. 무선 주파수 후방 반사기 공격 (RFRAs) 은 대상 데이터에 기반하여 외부 신호의 후방 산란을 변조하는 수동적이고 무전원 임플란트를 사용하여 이 문제를 해결합니다. 그러나 이전의 RFRAs 에 대한 학술적 시연은 아날로그 인터페이스 (예: VGA) 나 단순 이진 인코딩을 사용하는 저속 디지털 링크 (예: USB, PS/2, 10BASE-T) 에 제한되었으며, 심볼 속도는 일반적으로 50 MBd 미만이었습니다. 복잡한 Multi-Level Transmit-3(MLT-3) 인코딩과 더 높은 심볼 속도를 사용하는 고속 디지털 링크, 특히 100BASE-TX 이더넷 (Fast Ethernet) 은 이 기법으로 성공적으로 표적화된 바가 없습니다.

방법론
저자들은 맞춤형 후방 반사기 하드웨어 트로이와 고속 질의 파이프라인을 사용하여 100BASE-TX 이더넷 트래픽을 유출하도록 설계된 "Reflecthernet"을 제시합니다.

임플란트 아키텍처:
- HT 는 Cat-5(또는 그 이상) 이더넷 케이블의 차동 쌍 내에 내장된 수동 임플란트입니다.
- 이전의 이진 표적 임플란트와 달리, 이 설계는 3 레벨 MLT-3 인코딩 (-1, 0, +1) 을 다룹니다. 이는 직렬 저항 (620 $\Omega$ ) 을 통해 차동 라인 ( $D+$ 및 $D-$ ) 에 연결된 반대 극성의 두 개의 쇼트키 다이오드 (BAT63-02V) 를 사용합니다.
- 이 구성은 $|D+ - D-| \neq 0$ 일 때 임플란트가 전도되도록 하여, 3 레벨 MLT-3 신호를 전도 대 비전도와 같은 이진 임피던스 변화로 효과적으로 변환하며, 케이블 차폐 (임시 다이폴 안테나로 사용됨) 의 반사 계수를 변조합니다.
- 임플란트는 물리적으로 작습니다 (다이오드 패키지의 경우 약 2mm x 0.9mm x 1.25mm) 및 케이블 차폐 내부에 숨겨질 수 있습니다.
질의 설정:
- 이 공격은 표준 소프트웨어 정의 무선 (SDR) 의 대역폭 제한을 극복하는 기가샘플/초 (GSa/s) 속도가 가능한 RF 시스템 온 칩 (RFSoC) 평가 보드 (ZCU111) 를 활용합니다.
- 설정에는 최대 약 17 dBm 의 고출력 송신 경로와 반송파 누설을 억제하기 위한 저잡음 증폭기 (LNA) 와 고역 통과 필터링이 포함된 민감한 수신 경로가 포함됩니다.
- 조명과 수신은 300 MHz 에서 1 GHz 사이의 주파수에서 발생하며, 대상 링크의 125 MBd 심볼 속도를 포착하기 위해 1.6 Gsp/s의 샘플링 속도를 사용합니다.
데이터 복구 파이프라인:
- 복조: 시스템은 복소 평면의 "핫스팟"까지의 수신 샘플 거리를 분석 (가우시안 커널 밀도 추정을 사용) 하거나 훈련된 서포트 벡터 분류기 (SVC) 를 통해 절대 차동 전압 $|D+ - D-|$ 를 복구합니다.
- 동기화: 선형 피드백 시프트 레지스터 (LFSR) 시퀀스 (다항식 $x^{11} - x^9 - 1$ ) 가 스캐램블링에 사용됩니다. 저자들은 패킷 간 간격 (IPG) 동안 전송되는 알려진 "IDLE"상태 (연속적인 '1') 를 이용하여 수신기를 동기화하고 스캐램블러 상태를 재구성합니다.
- 디코딩: 파이프라인은 MLT-3 인코딩을 역으로 수행하고, 비트스트림을 디스캐램블하며, 4B/5B 디코딩을 적용합니다.
- 오류 수정: 커스텀 파이프라인은 무선 채널 잡음으로 인해 발생하는 잘못된 4B/5B 코드를 감지하고, 샘플 거리에서 유도된 신뢰도 지표를 기반으로 가장 가까운 유효한 이웃에 매핑하여 이를 수정하려고 시도합니다.

주요 기여

이더넷 최초의 RFRA: 이 작업은 125 MBd 심볼 속도로 RFRAs 의 적용 범위를 확장하는 100BASE-TX 이더넷 링크에 대한 최초의 성공적인 후방 반사기 공격을 시연하며, 이는 이전 디지털 링크 공격보다 한 자릿수 높은 속도입니다.
새로운 HT 아키텍처: 전원이나 복잡한 논리가 필요 없이 MLT-3 신호를 식별하고 변조할 수 있는 2 개의 다이오드 구조 설계.
고대역폭 질의: 기존 문헌에서 사용된 일반적인 SDR 의 능력을 넘어선 Fast Ethernet 에 필요한 높은 샘플링 속도를 지원하기 위한 RFSoC 플랫폼의 사용.
프로토콜 인식 오류 수정: 스캐램블러 상태를 재구성하고 비트 오류를 수정하여 무선 채널 잡음에도 불구하고 신뢰할 수 있는 데이터 복구를 가능하게 하는 100BASE-TX 프로토콜의 특정 구조 (4B/5B 인코딩 및 IDLE 패턴) 를 활용하는 복조 및 디코딩 파이프라인 개발.

결과

성능: 제어된 무반사실 환경에서 시스템은 최대 17 dBm 의 전송 전력으로 4 미터 거리에서 거의 완전한 데이터 복구를 달성했습니다.
실제 환경 검증: 이 공격은 13 dBm 조명 전력으로 3 미터 거리에서 표준 사무실 환경에서 성공적으로 재현되었습니다. 이러한 조건에서 비트 오류율 (BER) 은 0.1 미만으로 유지되었습니다.
데이터 복구: 파이프라인은 IP 헤더와 페이로드 (특정 패딩을 사용한 ICMP echo 요청을 사용하여 시연) 를 포함한 전체 MAC 레이어 이더넷 프레임을 성공적으로 재구성했습니다. 일부 바이트 수준의 오류가 남아 있었지만, MAC 주소, IP 주소, 페이로드 패턴과 같은 필수 정보는 명확하게 읽을 수 있었습니다.
거리 추정: 레이더 방정식을 사용하여 저자들은 3 미터에서 6 미터로 거리를 두 배로 늘리려면 수신기 동적 범위 및 포화에 주로 제한되는 약 25 dBm 의 전송 전력 증가 (약 12 dB) 가 필요하다고 추정합니다.

의의
이 논문은 Reflecthernet 이 이전에는 이러한 기법에 저항성이 있는 것으로 간주되었던 고속 복잡한 디지털 링크에 대한 후방 반사기 공격의 타당성을 입증한다고 주장합니다. 100BASE-TX 를 성공적으로 표적화함으로써 이 작업은 물리적 접근 (예: 공급망 침해 또는 "악의적인 숙녀"공격) 이 가능하다면 현대의 고속 네트워크 인터페이스조차 수동적이고 무전원인 하드웨어 임플란트에 취약하다는 점을 강조합니다. 저자들은 암호화 (TLS, MACsec) 가 페이로드 내용을 보호하지만, 암호화되지 않은 레거시 프로토콜 (예: HTTP, NFS, DNS) 과 하위 계층 메타데이터는 여전히 노출되어 있다고 지적합니다. 이 연구는 광범위한 이더넷 배포와 125 MBd 속도로 데이터를 유출할 수 있는 능력의 결합이 RFRA 의 공격 면적을 크게 확장하여 네트워크 인프라에 대한 물리적 보안 가정을 재평가해야 한다고 결론 내립니다.