Exploring IoT security vulnerabilities in LPWANS : the IPVC BIRA bicycle use case

Abstract

Due to its pervasive nature, the Internet of Things (IoT) is demanding for Low Power Wide Area Networks (LPWAN) since wirelessly connected devices need battery-efficient and long-range communications. By using LPWAN technologies, the IoT devices are less dependent on common infrastructures, can operate using small batteries (up to 10 years), and can be easily deployed within wide areas (above 2 km). On the other hand, LPWANbased IoT applications need to be secure since its data could contain confidential users’ information. This work provides a systematic overview regarding the security vulnerabilities that exist in LPWANs, followed by a literature review with the main goals of substantiating an attack vector analysis specifically designed for the IoT ecosystem. With the knowledge from the systematic overview, a secure LoRa-based tracking system for the BIRA bicycle was proposed. The system consists of BIRA bicycles equipped with low-cost Global Positioning (GPS) trackers. Lastly, an experimental setup was developed with a focus on hacking the Radio Frequency (RF) physical layer with Software Defined Radio (SDR) techniques, performing GPS Spoofing, Replay Attacks, Denial-of-Service (DoS) and Jamming, in an environment that relies on LoRaWAN networks. Results have shown that LPWANs contains security vulnerabilities that can lead to irreversible harm. Also, the conception and implementation of up-to-date defenses are relevant to protect systems, networks, and data. It was possible to verify that depending on the type of activation method used between the devices and the LoRaWAN server, the communications and the devices can be compromised.

Devido à sua natureza pervasiva, a Internet das Coisas (IoT) necessita de Redes de Baixo Consumo e Longo Alcance (LPWAN) uma vez que os dispositivos sem fios necessitam de comunicações de longo alcance e eficientes em termos de bateria. Ao utilizar as tecnologias LPWAN, os dispositivos IoT ficam menos dependentes de infra-estruturas existentes, podem funcionar com baterias pequenas (até 10 anos), e podem ser facilmente instalados em áreas amplas (acima de 2 km). Trabalhar em ambientes IoT baseados em LPWAN, faz com que aplicações críticas necessitem de ser seguras, visto que os seus dados podem conter informações confidenciais dos utilizadores. Neste trabalho é apresentada uma revisão sistemática sobre as vulnerabilidades desegurança existentes em LPWANs, seguida de uma revisão da literatura com o principal objectivo de sustentar uma análise de vetores de ataque especificamente concebida para o ecossistema IoT. Com os conhecimentos da revisão sistemática, foi proposto um sistema de localização seguro para a bicicleta BIRA, baseado em tecnologia de comunica- ções LoRaWAN. O sistema consiste em bicicletas BIRA equipadas com localizadores GPS de baixo custo. Por fim, foi implementado um conjunto de testes com foco na exploração da camada física de Rádiofrequência (RF) através de técnicas de Rádio Definido por Software (SDR), tendo sido executados vários tipos de ataques, nomeadamente GPS Spoofing, Replay Attacks, DoS and Jamming, considerando uma infraestrutura LoRaWAN de comunicações. Os resultados demonstram que as LPWAN contêm vulnerabilidades de segurança que podem levar a danos irreversíveis. Além disso, a conceções e implementação de defesas atualizadas são relevantes para proteger sistemas, redes, e dados. Foi possível verificar que, dependendo do tipo de modo de activação utilizado entre os dispositivos e o servidor LoRaWAN, as comunicações e os dispositivos podem ser comprometidos.