RFとSDRの基礎

無線周波数（RF）は、現代のあらゆる環境を取り巻く、目に見えない攻撃対象領域です。キーフォブ、ガレージドア、建物のアクセスカード、ワイヤレスセンサー、ドローン、医療テレメトリ、IoTデバイスなど、すべてが無線で通信します。

ネットワークケーブルとは異なり、RFは物理的に閉じ込められません。通信範囲内に受信機を持つ人なら誰でも傍受できます。また、多くのシステムはセキュリティが優先される前に設計されました。

• 多くのRFプロトコルはデータを平文で送信します。
• リプレイ対策が存在しないか、あっても脆弱です。
• レガシーな産業機器やアクセス制御機器には、パッチが適用されることがほとんどありません。

実務者としてRFを理解すれば、従来のネットワークツールでは完全に見逃してしまうリスクを評価できます。

無線信号は、次の3つの基本特性で表される電磁波です。

• 周波数 — 1秒あたりの周期数で、ヘルツ（Hz）で測定します。一般的な対象は315 MHz、433 MHz、868 MHz、915 MHz、2.4 GHzなどです。
• 振幅 — 波の強さまたは高さです。
• 位相 — 基準に対する波のタイミングのずれです。

変調では、これらの特性のいずれかを変化させてデータを符号化します。復調はその処理を逆に行い、元のビットを復元します。

対象がどのようにデータを変調しているかを認識することが、送信をキャプチャして解釈するための第一歩です。

現場では、次のような変調方式のグループを繰り返し目にすることになります。

• ASK / OOK（Amplitude/On-Off Keying） — 搬送波の有無でビットを表します。安価な433 MHzリモコンで非常によく使われています。
• FSK（Frequency Shift Keying） — 搬送波の周波数を変化させてビットを表します。多くのセンサーやBLEで使われています。
• PSK（Phase Shift Keying） — 位相を変化させてビットを表します。より高速なリンクで使われています。
• GFSK — Bluetoothで使われる、ガウスフィルター処理を施したFSKの一種です。

変調方式を特定すると、キャプチャを解析する際に適用すべきデコーダーが分かります。

ソフトウェア無線（SDR）は、信号処理を固定ハードウェアからソフトウェアに移します。1つの周波数と1つのプロトコル専用のチップを使う代わりに、SDRは広いスペクトル範囲をデジタル化し、ソフトウェアで復調します。

この柔軟性こそが、SDRをRF研究の汎用ツールにしています。

• 1台のデバイスで、ガレージリモコン、ページャー、ADS-Bなどを解析できます。
• 新しいプロトコルには、ハードウェアを購入するのではなくコードを書くことで対応できます。
• 受信だけでなく、対応ハードウェアがあれば送信も可能です。

その代わり複雑さが増すため、サンプリング、フィルタリング、復調を自分で理解する必要があります。

SDRハードウェアには、安価な受信機からフルトランシーバーまで幅広い種類があります。

• RTL-SDR — 約20 USD、受信専用で、およそ24 MHzから1.7 GHzに対応します。学習や受信に最適です。
• HackRF One — 送受信に対応し、1 MHzから6 GHzまで、半二重で動作します。研究でよく使われる主力ツールです。
• bladeRF / USRP — 全二重、高いサンプルレートに対応し、本格的なプロトコル作業で使われます。

一般的な構成では、SDRに適切なアンテナを組み合わせます。送信には法的な認可が必要であり、ハードウェアの損傷や干渉を避けるために適切なアンテナを使用しなければなりません。

SDRはアナログRFをデジタルサンプルのストリームに変換します。サンプルレートによって、一度に観測できる帯域幅が決まります。

ナイキストの定理によると、キャプチャしたい信号の帯域幅の少なくとも2倍のレートでサンプリングする必要があります。2 Mspsで動作するSDRは、約2 MHzの帯域幅を忠実に表現できます。

• サンプルレートが低すぎると信号がエイリアス化し、キャプチャが破損します。
• 高すぎるとUSBのスループットやCPUに負荷がかかり、サンプルの欠落が発生します。

サンプルはI/Qペア（同相成分と直交成分）として保存され、振幅と位相の両方を一緒に符号化します。

実践的なSDRワークフローは、成熟した少数のツール群を利用します。

• GQRX / SDR++ — スペクトルをリアルタイムで確認できるグラフィカルな受信機です。
• GNU Radio — カスタムデモジュレーターを構築するためのフローグラフ環境です。
• Universal Radio Hacker (URH) — デジタルプロトコルを視覚的にキャプチャ、復調、デコードできます。
• rtl_433 — 既知の433 MHzデバイスを数百種類、自動的にデコードします。

まずスペクトルを調査し、その後、より深い解析のためにURHまたはGNU Radioへ進んでください。

何かに取りかかる前に、まず偵察を行います。想定される帯域に合わせ、対象デバイスが送信したときにエネルギーのバーストが現れるウォーターフォール表示を監視します。

例として、RTL-SDRで一般的な433.92 MHzのISM帯を受信し、rtl_433で周辺のデバイスを自動デコードします。

ウォーターフォール表示から中心周波数、帯域幅、バーストのタイミングが分かり、これらすべてが次の手順の指針になります。

RFに関する作業は厳しく規制されており、規則は国によって異なります。一般に、受信は送信より制限が少ないものの、特定の通信を解釈することが違法になる場合もあります。

• 認可なしに免許帯域で送信することは、ほとんどの法域で犯罪です。
• 妨害電波の送信は、テスト目的であってもほぼ例外なく違法です。
• テストするのは、自分が所有しているデバイス、または評価する明示的な許可を得たデバイスだけにしてください。

送信テストでは、信号が現実の環境に漏れないようファラデーシールド環境を使用してください。RFを能動的にテストする前に、許可の範囲を文書化しておきます。

完全な分析パイプラインでは、生のRF信号を意味のあるデータに変換します。

• キャプチャ — 正しい周波数とサンプルレートでI/Qサンプルを記録します。
• 復調 — ASK、FSK、またはPSKのデコードを適用してビットストリームを復元します。
• クロックリカバリ — ビットを正しく揃えるためにシンボルレートを特定します。
• デコード — Manchesterなどのエンコーディングを解釈し、その後プロトコルフレームを解析します。

URHなどのツールを使うと、これらすべてを視覚的に実行できます。プリアンブル、同期ワード、ペイロードが強調表示されるため、独自プロトコルを段階的にリバースエンジニアリングできます。

RFの基礎を理解することは、防御に直接役立ちます。

• あらゆる無線リンクは傍受される可能性があると考え、暗号化および認証されたプロトコルを選択してください。
• 傍受した送信をリプレイできないよう、ローリングコードまたはチャレンジレスポンスを必須にしてください。
• 重要な帯域を監視し、妨害やなりすましを示す可能性のある予期しないエネルギーがないか確認してください。
• 無線デバイスを台帳化してください。従来型の433 MHz機器には、セキュリティがまったく備わっていないものがよくあります。

RF研究の目的は、システムを破ることだけではありません。組織が保有していることを忘れがちな無線の攻撃対象領域を評価し、強化することも目的です。

これで、無線セキュリティの作業に必要なRFとSDRの基礎が身に付きました。

• 無線信号は周波数、振幅、位相によって定義され、ASK、FSK、PSKなどの変調によってデータがエンコードされます。
• SDRはスペクトラムをデジタル化し、ソフトウェアで復調するため、1台のデバイスで多くのプロトコルを分析できます。
• サンプルレートはナイキストの定理に従う必要があり、サンプルはI/Qペアとして保存されます。
• ツールチェーンはGQRX、GNU Radio、URH、rtl_433にまたがり、調査からデコードまでを支えます。
• 送信と妨害電波の送信には法的な制限があります。必ず許可された範囲内で、シールド環境を使用して作業してください。

次は、これらの基礎を具体的なプロトコルに適用し、Bluetoothから始めます。