안녕하세요~
이번에는 빔포밍 피드백 과정에서 발생하는 개인정보 유출에 관한 논문을 읽어보도록 하겠습니다.
해당 논문은 NDSS 2025에서 발표된 논문이고, 빔포밍이 무엇인지 먼저 알아보고 논문 리뷰를 해보겠습니다.
빔포밍, CSI, BFI에 대한 기초 지식이 있으신 분들은 part 2만 읽으셔도 충분합니다
우선 빔포밍에 대해 알아보기 전에 한 가지 질문을 먼저 살펴보겠습니다.
무선 통신에서 여러 개의 안테나를 사용하는 이유는 뭘까요?
무선 통신에서 여러 개의 안테나를 사용하는 이유는 크게 세 가지입니다.
- 신호를 더 안정적으로 받기 위해 (Diversity)
- 더 많은 데이터를 보내기 위해 (Spatial MIMO)
- 원하는 사용자에게 신호를 집중해서 보내기 위해 (Beamforming)
아래 그림에서는 SNR과 Capacity Efficiency가 다중 안테나 사용의 목적으로 나타나있으며
각각의 목적에 따라 동작 방식도 구분된다는 것을 확인할 수 있습니다.
1. 신호를 더 안정적으로 받기 위한 방법 (다이버시티, Diversity)
무선 신호는 벽이나 물체에 반사되면서 약해지거나 끊길 수 있습니다.
이때 여러 개의 안테나를 사용하면 같은 신호를 여러 경로로 받거나 보내서 더 좋은 신호를 선택할 수 있는데,
이를 Diversity라고 합니다.
- Tx Diversity: 송신기에서 여러 안테나로 신호를 전송
- Rx Diversity: 수신기에서 여러 안테나로 신호를 수신
그런데 송신 안테나를 늘리면 RF 회로와 전력 증폭기(PA)가 추가되어 비용과 전력 소모가 크게 증가한다는 단점이 있습니다.
반면 수신 안테나를 늘리는 것은 비교적 저렴하면서도 신호 품질을 효과적으로 개선할 수 있습니다.
그래서 실제 무선 시스템에서는 Rx Diversity가 널리 사용됩니다.
2. 더 많은 데이터를 보내기 위한 방법 (MIMO)
여러 안테나를 사용하면 단순히 신호를 안정적으로 만드는 것뿐 아니라,동시에 여러 데이터 스트림을 전송할 수도 있습니다.
이를 MIMO (Multiple Input Multiple Output) 라고 합니다.
MIMO를 사용하면 같은 시간, 같은 주파수에서 더 많은 데이터를 보낼 수 있어 전송 속도가 증가하게 됩니다.
예를 들어,
- 안테나 2개 → 2개 데이터 스트림
- 안테나 4개 → 4개 데이터 스트림
을 동시에 전송할 수 있어 전송 속도가 증가하게 되는 것입니다.
하나의 사용자에게 여러 스트림을 보내는 방식을 SU-MIMO(Single User MIMO)라고 하며,
다중경로(Multipath)를 활용하여 공간적으로 데이터를 분리하므로 Spatial MIMO라고도 한다.
3. Beamforming : 원하는 방향으로 신호를 집중하기
여러 안테나를 사용하면 단순히 신호를 여러 개 보내는 것이 아니라,
각 안테나의 신호 위상을 조절하여 특정 방향에서 신호가 강해지도록 만들 수 있습니다.
이 기술을 Beamforming이라고 합니다.
위 사진에서 표현된 것 처럼 Beamforming은 손전등처럼 전파를 특정 사용자 방향으로 집중시키는 기술입니다.
따라서 사용자는 더 강한 신호를 받고, 다른 사용자에게는 간섭을 줄일 수 있는 효과를 누릴 수 있습니다.
이러한 빔포밍 기술을 SU-MIMO에 적용할 경우에는 각 안테나로 다른 스트림을 보내 전송 속도를 높일 수 있습니다. 또한 AP가 여러 안테나로 같은 데이터 스트림을 보내되 각 안테나의 위상과 크기를 조절해서 특정 단말 위치에서 신호가 강해지도록 전송하여 SNR을 향상할 수 도 있습니다.
Beamforming과 MU-MIMO의 관계
MU-MIMO(Multi User MIMO)는 여러 사용자에게 동시에 데이터를 전송하는 기술입니다.
예를 들어 AP가
- 사용자 A
- 사용자 B
- 사용자 C
에게 같은 시간에 데이터를 전송하려면 각 사용자 방향으로 신호를 구분해서 보내야 간섭 없이 품질 좋은 신호를 전송할 수 있게 되겠죠?
그래서 MU-MIMO에서는 빔포밍 기술이 단순히 성능 향상을 위한 기술이 아닌,
다중 사용자에게 데이터를 전송하는 상황에서 사용자 간 간섭을 분리하는 핵심 수단으로 동작하게 됩니다.
그래서 이때 신호를 집중시키는 기술인 Beamforming을 이용하면 각 신호가 각각의 사용자에게 적절하게 전송될 수 있습니다.
- A 방향에는 A 신호
- B 방향에는 B 신호
- C 방향에는 C 신호
그래서 정리하자면~
빔포밍은 무선 통신에서 여러 개의 안테나를 사용하는 상황에서,
여러 스트림을 여러 사용자에게 전송하려는 목적을 가질 때 ( MU-MIMO )
전파를 특정 사용자 방향으로 집중 시켜 사용자가 다른 신호의 간섭을 받지 않으면서,
자신이 받아야하는 신호를 더 강하게 받을 수 있도록 하는 것입니다.
SU-MIMO = 여러 스트림을 한 사용자에게 전송
MU-MIMO = 여러 스트림을 여러 사용자에게 전송
Beamforming = MU-MIMO를 효과적으로 구현하기 위한 핵심 기술
이제 그럼 드디어 본론으로 들어갈 수 있는 지식을 갖춘 상태입니다~
이제 리뷰할 논문의 주제를 살펴보도록 하겠습니다.
1. 와이파이 신호만으로 집에 사람이 있는지 알 수 있다면?
집 밖에 있는 누군가가 와이파이 비밀번호도 모르는 상태에서, 집 안에 사람이 있는지 알아낼 수 있다면 어떨까요?
심지어 카메라를 설치하거나 네트워크에 침입할 필요도 없습니다. 노트북과 무선 패킷 분석 도구만으로 집 밖에서 와이파이 신호를 수집하면, 실내에 사람이 있는지, 움직이고 있는지, 혹은 가만히 앉아 있는지까지 추론할 수 있습니다.
허허... 참말로 공포스러운 상황이 아니겠습니까. 근데 이 논문이 그러한 공격이 가능하다는 것을 입증한 논문입니다.
사람이 움직이면 주변 무선 신호의 전달 경로도 함께 달라집니다.
기존의 와이파이 센싱 연구는 이러한 변화를 분석하여 사람의 움직임이나 위치를 파악해 왔습니다.
그러나 센싱 기술이 정당한 사용자뿐 아니라 외부 공격자에게도 활용된다면,
이는 침입 전 정찰이나 스토킹과 같은 프라이버시 위협으로 이어질 수 있습니다.
이 논문에서 제안된 LeakyBeam은 와이파이 빔포밍 과정에서 교환되는
BFI(Beamforming Feedback Information)를 이용해 실내 거주자의 존재를 탐지하는 공격입니다.
핵심은 통신 품질을 높이기 위해 주고받는 정보가, 의도하지 않게 사람의 움직임과 호흡을 드러내는 부채널이 될 수 있다는 점입니다. 더 나아가 이 논문은 이러한 공격을 막으면서도 기존 빔포밍 성능을 유지할 수 있는 방어 방법까지 함께 제안합니다.
그렇다면 BFI는 정확히 무엇이며, 왜 이 정보만으로 집 안의 상황을 추론할 수 있을까요?
2. 먼저 알아야 할 개념: CSI, 빔포밍, BFI
LeakyBeam이 어떤 정보를 이용하는지 이해하려면 먼저 와이파이 환경에서 빔포밍이 어떻게 이루어지는지를 더 구체적으로 살펴봐야 합니다.
핵심 개념은 CSI, steering matrix, 그리고 BFI입니다.
2.1. CSI: 무선 신호가 지나온 환경의 흔적
와이파이 신호는 공유기에서 기기로 곧장 전달되지만은 않습니다. 벽과 가구에 반사되거나, 사람의 몸에 부딪히면서 여러 경로를 거쳐 수신기에 도착합니다.
이러한 무선 전달 환경을 나타내는 정보가 CSI(Channel State Information)입니다.
쉽게 말하면 CSI는 다음 질문에 대한 답이라고 볼 수 있습니다.
공유기에서 보낸 신호가 이 공간을 지나 기기에 도착하는 동안 어떻게 변했을까?
CSI에는 신호의 크기에 해당하는 진폭(amplitude)과 신호의 진행 상태를 나타내는 위상(phase) 정보가 포함됩니다.
사람이 움직이면 신호가 반사되는 경로도 달라지므로 CSI 역시 변합니다. 심지어 가만히 앉아 있더라도 호흡에 따른 미세한 움직임이 무선 채널에 작은 변화를 남길 수 있습니다.
2.2. 빔포밍: 채널 상태에 맞춰 신호를 조정하는 기술
공유기가 무선 채널의 특성을 알면 여러 안테나에서 보내는 신호를 적절히 조정하여 수신 기기에 더 효율적으로 전달할 수 있습니다.
이를 빔포밍(beamforming)이라고 합니다.
일반적인 와이파이 환경에서는 공유기인 AP가 신호를 보내는 빔포머(beamformer) 역할을 하고,
노트북이나 스마트폰 같은 클라이언트가 빔포미(beamformee) 역할을 합니다.
그런데 AP가 신호를 적절하게 조정하려면 현재 무선 채널의 상태를 알아야 합니다.
이때 필요한 과정이 채널 측정(channel sounding)입니다.
그림의 과정을 순서대로 정리하면 다음과 같습니다.
- AP가 채널 측정을 알리는 NDP Announcement를 전송합니다.
- AP가 측정용 신호인 NDP(Null Data Packet)를 보냅니다.
- 클라이언트는 NDP에 포함된 알려진 신호*를 바탕으로 CSI를 추정합니다.
- 추정한 CSI에서 빔포밍에 필요한 steering matrix를 계산합니다.
- 클라이언트는 이 정보를 압축하여 BFI 형태로 AP에 전달합니다.
- AP는 전달받은 정보를 이용해 이후의 데이터 전송에 빔포밍을 적용합니다.
*알려진 신호 : AP가 NDP에 포함된 VHT-LTF(802.11ac)라는 미리 정의된 훈련 신호를 전송하면,
클라이언트는 송신된 원래 신호를 알고 있으므로 수신 신호와 비교해 채널 행렬 H_k를 추정합니다.
2.3. Steering matrix: AP가 신호를 조정하는 데 필요한 정보
클라이언트가 측정한 CSI에는 무선 채널에 관한 다양한 정보가 들어 있습니다.
하지만 AP가 빔포밍을 수행하기 위해 그 정보를 전부 그대로 받을 필요는 없습니다.
논문에서는 특정 서브캐리어 k의 채널 상태를 다음과 같이 나타냅니다.
이 식은 CSI 행렬 H_k를 특이값 분해(SVD, Singular Value Decomposition)한 것입니다.
2.4. BFI 빔포밍에 필요한 정보를 담은 피드백
CSI 원본은 생각보다 많은 데이터를 포함합니다.
예를 들어 송신 안테나와 수신 안테나가 각각 4개라면, 하나의 서브캐리어에 대해 4×4 크기의 채널 행렬이 만들어집니다. 여기에 수백 개의 서브캐리어까지 고려하면 전송해야 할 정보량은 빠르게 증가합니다.
따라서 와이파이 기기는 CSI 전체를 그대로 보내기보다는, 빔포밍에 필요한 steering matrix를 계산한 뒤 이를 압축·양자화하여 전달합니다.
이렇게 전송되는 정보가 BFI(Beamforming Feedback Information)입니다.
전체 흐름을 한 줄로 정리하면 다음과 같습니다.
CSI 측정 → SVD로 steering matrix 도출 → steering matrix 압축·양자화 → BFI 전송 → AP의 빔포밍 수행
여기서 중요한 점은 SVD와 압축이 서로 다른 단계라는 것입니다.
SVD는 CSI에서 빔포밍에 필요한 steering matrix를 구하는 과정이고, 압축은 그 결과를 효율적으로 전송하기 위해 정보량을 줄이는 과정입니다. 그런데 문제가 있습니다. BFI는 통신 효율을 높이기 위해 생성된 정보이지만, 그 바탕이 되는 CSI에는 사람의 움직임으로 달라진 무선 채널의 특성이 반영되어 있습니다.
즉, BFI는 CSI 원본은 아니지만 실내 환경과 사람의 움직임에 관한 정보를 여전히 포함할 수 있습니다.**
그리고 이 피드백이 평문으로 전달된다면, 원래 AP만 활용해야 할 정보를 외부 공격자도 읽을 수 있게 됩니다.
**여기서 표현이 다소 확정적인데
이어서 다룰 논문에서는 이 부분에 대한 새로운 발견도 포함되어 있으니 같이 보시는 걸 추천 드려요 ㅎ 굉장히 흥미로움.
3. 기존 CSI 기반 공격의 한계와 BFI가 더 위험한 이유
앞서 살펴본 것처럼 BFI는 CSI 원본을 그대로 담은 정보는 아닙니다. 그러나 CSI에서 빔포밍에 필요한 부분을 추출해 만든 정보이므로, AP와 클라이언트 사이의 무선 채널 특성이 여전히 반영되어 있습니다.
그렇다면 공격자가 직접 CSI를 측정하는 기존 방식과 BFI를 수집하는 방식은 무엇이 다를까요?
3.1. 기존 CSI 기반 센싱 공격
기존의 CSI 기반 센싱에서는 공격자가 자신이 수신한 무선 신호를 이용해 채널 상태를 직접 추정합니다.
예를 들어 공격자가 피해자의 집 밖에 있다면, 공격자가 측정하는 CSI는 다음 경로의 채널을 나타냅니다.
실내 송신기 → 벽과 외부 공간 → 공격자의 수신기
문제는 공격자가 피해 공간에서 멀어질수록 신호가 약해지고, 벽이나 장애물을 통과하면서 실내 사람의 움직임이 만들어낸 미세한 변화도 희석된다는 점입니다.
더 근본적으로는 공격자가 측정한 채널과 실제 AP–클라이언트 사이의 채널이 서로 다릅니다. 공격자가 얻는 CSI는 송신기에서 공격자까지의 채널 정보이지, 실내 AP와 클라이언트 사이에서 측정된 채널 정보 자체는 아닙니다.
따라서 외부에서 직접 측정한 CSI만으로 실내 사람의 움직임이나 호흡을 안정적으로 찾아내는 데에는 거리와 벽, 장치 위치 등의 물리적 제약이 따릅니다.
3.2. BFI는 실내에서 측정된 채널 정보를 밖으로 전달한다
BFI 기반 공격은 접근 방식이 다릅니다.
클라이언트는 실내에서 AP가 보낸 NDP를 수신하고, VHT-LTF와 같은 알려진 훈련 신호를 이용해 AP–클라이언트 사이의 채널을 추정합니다. 이후 해당 CSI에서 steering matrix를 계산하고, 이를 압축·양자화한 BFI를 AP로 전송합니다.
즉, BFI에는 피해 공간 내부에서 이미 측정된 AP–클라이언트 채널의 특성이 들어 있습니다.
외부 공격자는 이 채널을 직접 측정할 필요 없이, 클라이언트가 전송하는 BFI 프레임을 수집하여 그 안에 담긴 정보를 확보할 수 있습니다.
두 방식의 차이를 정리하면 다음과 같습니다.
| 구분 | 기존 CSI 기반 공격 | BFI 기반 공격 |
| 분석 대상 | 공격자가 직접 측정한 CSI | 클라이언트가 생성한 BFI |
| 반영된 채널 | 송신기–공격자 사이의 채널 | AP–클라이언트 사이의 채널 |
| 정보 생성 위치 | 공격자의 수신 위치 | 피해 공간 내부의 클라이언트 |
| 주요 제약 | 벽, 거리, 외부 채널에 따른 신호 감쇠 | BFI 프레임을 정상적으로 수신할 수 있어야 함 |
| 공격자가 얻는 정보 | 외부에서 관측한 채널 변화 | 내부 채널에서 계산된 압축 피드백 |
핵심 차이는 BFI가 벽의 영향을 받지 않는다는 것이 아닙니다.
BFI 프레임도 무선 신호로 전송되므로, 공격자에게 도달하는 과정에서 벽과 거리의 영향을 받고 패킷 손실도 발생합니다.
다만 공격자가 프레임을 정상적으로 수신하고 복호화할 수 있다면, 그 안에서 읽는 BFI 값은 외부 공격자 위치의 채널을 측정한 결과가 아니라 실내 AP–클라이언트 채널을 기반으로 계산된 정보입니다.
따라서 다음과 같이 표현하는 것이 정확합니다.
BFI 기반 공격은 외부에서 약화된 실내 채널 변화를 직접 측정하는 대신, 실내 클라이언트가 이미 계산해 디지털 프레임으로 전송한 채널 관련 정보를 수집한다.
3.3. 평문 BFI가 만드는 프라이버시 문제
BFI는 AP의 빔포밍을 돕기 위한 제어 정보이지만, IEEE 802.11ac와 802.11ax 환경에서 무선 구간에 평문으로 노출될 수 있습니다.
따라서 공격자는 피해자의 와이파이 비밀번호를 모르더라도, 무선 인터페이스를 모니터 모드로 설정하고 Wireshark와 같은 패킷 분석 도구를 이용해 주변의 BFI 프레임을 수집할 수 있습니다.
이때 공격자는 다음과 같은 작업을 할 필요가 없습니다.
- 피해자의 와이파이 네트워크에 접속할 필요가 없습니다.
- AP나 클라이언트를 해킹할 필요가 없습니다.
- 피해자의 기기에 악성 프로그램을 설치할 필요가 없습니다.
- 피해자에게 별도의 공격 패킷을 전송할 필요가 없습니다.
즉, LeakyBeam은 시스템에 직접 침입하거나 신호를 변조하는 공격이 아니라, 정상적인 빔포밍 과정에서 전송되는 정보를 수동적으로 수집하는 passive eavesdropping attack입니다.
물론 BFI 패킷을 읽는 것만으로 사람의 존재가 즉시 드러나는 것은 아닙니다. BFI는 압축·양자화된 steering matrix이기 때문에 원본 CSI와 형태가 다르고, 측정 과정에서 발생하는 위상 오프셋과 고정된 실내 환경의 영향도 섞여 있습니다.
따라서 LeakyBeam이 실제로 사람의 움직임과 호흡을 탐지하려면, 평문 BFI에서 이러한 방해 요소를 제거하고 사람에 의해 발생한 채널 변화만 추출해야 합니다.
그렇다면 공격자는 구체적으로 어떤 조건에서 BFI를 수집하며, 피해 공간 밖에서 어떻게 재실 여부를 추론할까요?
4. LeakyBeam의 공격 시나리오와 위협 모델
LeakyBeam의 공격자는 피해자의 와이파이 네트워크를 해킹하지 않습니다. 정상적인 빔포밍 과정에서 무선 구간으로 전송되는 BFI 프레임을 외부에서 수동적으로 수집합니다.
공격 상황을 구성하는 주체는 크게 세 가지입니다.
- AP(beamformer): 여러 송신 안테나를 이용해 빔포밍을 수행하는 공유기
- 클라이언트(beamformee): AP가 보낸 NDP로 채널을 측정하고 BFI를 반환하는 노트북·스마트폰 등의 기기
- 공격자(eavesdropper): 피해 공간 밖에서 BFI 프레임을 수집하고 사람의 존재를 추론하는 외부 관찰자
4.1. 공격은 어떻게 진행되는가?
AP와 클라이언트가 explicit beamforming을 수행하면 다음 과정이 반복됩니다.
- AP가 NDP Announcement와 NDP를 전송합니다.
- 클라이언트가 NDP의 VHT-LTF 등을 이용해 AP–클라이언트 채널의 CSI를 추정합니다.
- 클라이언트가 CSI에서 steering matrix를 계산합니다.
- 계산한 정보를 압축·양자화하여 BFI 프레임으로 AP에 전송합니다.
- 공격자가 무선 구간에서 해당 BFI 프레임을 수집합니다.
- 공격자는 시간에 따른 BFI의 변화를 분석해 실내 사람의 움직임이나 호흡을 탐지합니다.
여기서 중요한 점은 5번까지가 모두 정상적인 와이파이 통신 과정이라는 것입니다.
공격자는 AP나 클라이언트의 동작을 바꾸지 않습니다. 클라이언트가 정상적으로 전송한 피드백을 옆에서 수집할 뿐입니다.
따라서 LeakyBeam은 패킷을 위조하거나 피해자에게 전송하는 능동 공격(active attack)이 아니라, 정상적으로 전송되는 정보를 관찰하는 수동 도청 공격(passive eavesdropping attack)에 해당합니다.
4.2. 공격자가 할 수 있는 일
공격자는 피해자의 집이나 사무실과 같은 공간 밖에 위치한다고 가정합니다. 공격자는 모니터 모드를 지원하는 무선 인터페이스를 이용해 주변의 IEEE 802.11 프레임을 수집할 수 있습니다.
수집한 프레임 중에서 압축 빔포밍 피드백을 식별하고, 해당 프레임에 포함된 BFI를 시간 순서대로 추출합니다.
공격자에게 필요한 능력은 다음과 같습니다.
- 피해 공간 근처에서 무선 프레임을 수신할 수 있습니다.
- 무선 인터페이스를 모니터 모드로 설정할 수 있습니다.
- Wireshark와 같은 도구로 BFI 프레임을 식별하고 수집할 수 있습니다.
- 수집한 BFI를 분석해 시간에 따른 채널 변화를 추출할 수 있습니다.
마지막 항목은 단순한 패킷 수집을 넘어서는 부분입니다. BFI 값을 그대로 보는 것만으로 사람의 존재가 바로 드러나는 것은 아니므로, 공격자는 별도의 신호 처리 과정을 거쳐 사람과 관련된 변화를 찾아야 합니다.
4.3. 공격자가 하지 않아도 되는 일
LeakyBeam의 위협성이 큰 이유는 공격에 요구되는 권한이 낮기 때문입니다.
공격자는 다음과 같은 작업을 하지 않아도 됩니다.
- 피해 공간 내부에 직접 들어갈 필요가 없습니다.
- 피해자의 와이파이 비밀번호를 알 필요가 없습니다.
- 피해자의 네트워크에 접속하거나 인증받을 필요가 없습니다.
- AP나 클라이언트의 취약점을 이용해 기기를 장악할 필요가 없습니다.
- 피해자의 기기에 프로그램을 설치할 필요가 없습니다.
- 패킷을 위조하거나 피해자에게 능동적으로 전송할 필요가 없습니다.
즉, 공격자가 피해 네트워크의 정상 사용자인지보다 외부에서 BFI 프레임을 안정적으로 수신할 수 있는지가 공격 성립에 더 중요합니다.
4.4. 공격이 성립하기 위한 조건
그렇다고 모든 와이파이 환경에서 LeakyBeam 공격이 항상 가능한 것은 아닙니다. 다음과 같은 조건이 충족되어야 합니다.
첫째, AP와 클라이언트가 explicit beamforming을 사용해야 합니다. 클라이언트가 CSI를 기반으로 BFI를 생성하고 AP에 반환하는 과정 자체가 존재해야 하기 때문입니다.
둘째, AP는 여러 안테나를 사용하는 빔포머여야 합니다. LeakyBeam은 BFI에 포함된 안테나 간 공간적 관계를 이용하므로, 단일 송신 안테나만 사용하는 환경에는 그대로 적용할 수 없습니다.
셋째, 공격자는 BFI 프레임을 충분히 안정적으로 수집해야 합니다. 공격자와 피해 네트워크 사이의 거리가 지나치게 멀거나 벽과 장애물로 패킷 손실이 커지면, 분석에 필요한 시간적 연속성이 깨질 수 있습니다.
넷째, 일정 시간 동안 충분한 수의 BFI 표본이 확보되어야 합니다. BFI 수신 빈도가 지나치게 낮으면 사람의 움직임이나 호흡에 따른 연속적인 변화를 포착하기 어려워집니다.
이를 정리하면 다음과 같습니다.
| Explicit beamforming 사용 | 클라이언트가 BFI를 생성하고 전송해야 하기 때문 |
| 다중 안테나 AP | 안테나 사이의 공간적 관계를 분석에 이용하기 때문 |
| BFI 프레임 수신 가능 | 공격자가 프레임의 디지털 내용을 복호화해야 하기 때문 |
| 충분한 수신 빈도와 관찰 시간 | 움직임과 호흡에 따른 시간적 변화를 분석해야 하기 때문 |
LeakyBeam은 주로 IEEE 802.11ac와 802.11ax의 explicit beamforming 환경을 대상으로 합니다. 다만 해당 표준을 지원한다는 사실만으로 공격이 자동으로 성립하는 것은 아닙니다. 실제 공격 가능성과 성능은 기기의 빔포밍 동작, BFI 생성 빈도, 거리, 장애물 및 패킷 손실에 따라 달라집니다.
결국 LeakyBeam의 위협 모델은 다음과 같이 요약할 수 있습니다.
피해 네트워크에 접속할 권한이 없는 외부 공격자가 정상적인 빔포밍 피드백을 수동적으로 수집하고, 그 안에 남아 있는 채널 변화를 분석하여 실내 사람의 존재를 추론한다.
그렇다면 압축·양자화된 BFI에서 사람의 움직임과 호흡은 어떤 과정을 거쳐 추출될까요? 다음으로 LeakyBeam의 전체 분석 흐름을 살펴보겠습니다.
아 넘 기네요 이제 빠르게 진행하겠습니다
5. LeakyBeam은 BFI에서 사람의 흔적을 어떻게 찾는가?
BFI를 수집했다고 해서 사람의 존재가 바로 드러나는 것은 아닙니다. BFI는 원본 CSI가 아니라 압축·양자화된 정보이며, 사람의 움직임뿐 아니라 고정된 벽과 가구의 영향, 측정 오차도 함께 포함하기 때문입니다.
LeakyBeam은 다음 과정을 거쳐 사람과 관련된 변화를 추출합니다.
- 무선 구간에서 BFI 프레임을 수집합니다.
- 비정상적이거나 불완전한 패킷을 제거합니다.
- BFI에서 steering matrix와 스트림 이득 정보를 복원합니다.
- 안테나 사이의 상대적 관계를 이용해 불필요한 위상 오프셋을 줄입니다.
- 벽과 가구가 만드는 정적 성분을 제거하고 시간에 따라 달라지는 성분을 남깁니다.
- 여러 서브캐리어의 정보를 결합해 사람에 의한 변화를 강조합니다.
- 진폭 변화로 움직이는 사람을 탐지합니다.
- 위상 변화로 가만히 있는 사람의 호흡을 탐지합니다.
움직임과 호흡 중 하나라도 검출되면 해당 공간에 사람이 있는 것으로 판단합니다.
즉, LeakyBeam은 단순히 평문 패킷을 읽는 공격이 아닙니다. BFI에 남아 있는 채널의 시간적 변화를 복원하고, 그중 사람의 움직임과 호흡에 해당하는 패턴을 찾아내는 신호 분석 시스템입니다.
여기까지가 1편의 내용입니다. 다음 2편에서는 LeakyBeam이 BFI의 위상 오프셋을 어떻게 제거하는지, 움직이는 사람과 정지한 사람을 어떻게 구분하는지 살펴본 뒤, 공격을 무력화하기 위해 논문이 제안한 AP 기반 난독화 방법까지 이어서 설명하도록 하겠습니다.
하다 보니 너무 친절해져서 이번엔 논문 리뷰를 넘어 논문 씹어먹기가 되었네요.. 분량 이슈로 2편에 계속,,!!