[論文レビュー] A Systematic Security Evaluation of Android's Multi-User Framework

E. Paul Ratazzi, Yousra Aafer+4 more|arXiv (Cornell University)|Oct 28, 2014

Advanced Malware Detection Techniques参考文献 23被引用数 13

ひとこと要約

本論文は、Androidのマルチユーザーフレームワークの体系的セキュリティ評価を提示し、構造化された脅威モデリングと標的型実験を通じて、深刻なアクセス制御の欠陥を特定している。研究では、不完全なアクセス制御の実装による重大な脆弱性が明らかとなり、ユーザーのプライバシー漏洩や特権昇格のリスクが生じており、フレームワークが本格的なマルチユーザ環境には不適切であると結論づけている。

ABSTRACT

Like many desktop operating systems in the 1990s, Android is now in the process of including support for multi-user scenarios. Because these scenarios introduce new threats to the system, we should have an understanding of how well the system design addresses them. Since the security implications of multi-user support are truly pervasive, we developed a systematic approach to studying the system and identifying problems. Unlike other approaches that focus on specific attacks or threat models, ours systematically identifies critical places where access controls are not present or do not properly identify the subject and object of a decision. Finding these places gives us insight into hypothetical attacks that could result, and allows us to design specific experiments to test our hypothesis. Following an overview of the new features and their implementation, we describe our methodology, present a partial list of our most interesting hypotheses, and describe the experiments we used to test them. Our findings indicate that the current system only partially addresses the new threats, leaving the door open to a number of significant vulnerabilities and privacy issues. Our findings span a spectrum of root causes, from simple oversights, all the way to major system design problems. We conclude that there is still a long way to go before the system can be used in anything more than the most casual of sharing environments.

研究の動機と目的

• Androidのマルチユーザーフレームワークのセキュリティを、ユーザーのデータ保護およびアクセス制御の実装状況の観点から評価すること。
• 不正なデータアクセスや特権昇格を引き起こす可能性のある、アクセス制御メカニズムにおける体系的欠陥を同定すること。
• マルチユーザ環境が引き起こす脅威を十分に緩和できているか、現在の実装の有効性を評価すること。
• ユーザーのプライバシーやシステム整合性に影響を及ぼす設計上の欠陥および実装上の見落としに関する実行可能なイン sight を提供すること。

提案手法

• システム意思決定における主体と対象の関係を分析することで、重要なアクセス制御のギャップを特定する体系的アプローチを構築した。
• マルチユーザ相互作用の脅威モデリングに基づき、欠落または誤設定されたアクセス制御に関する仮説を策定した。
• 特定されたアクセス制御の欠陥に起因する仮想の攻撃の実現可能性を検証するため、標的型の実験を設計および実施した。
• ユーザー隔離および権限の実装に焦点を当て、Androidのマルチユーザコンponentsに対する静的および動的解析を実施した。
• マルチユーザ環境下でのシステムサービスおよびプロセス間通信（IPC）メカニズムの挙動を評価した。
• 脅威モデリングを用いて潜在的な攻撃ベクトルをマッピングし、テストの優先順位を高リスクのコンポーネントに設定した。

実験結果

リサーチクエスチョン

• RQ1 Androidのマルチユーザーフレームワークにおいて、重要なアクセス制御メカニズムが欠落している、または誤って実装されている箇所はどこか？
• RQ2 システム意思決定におけるユーザーアイデンティティおよびオブジェクト所有権の不完全な実装によって、どのような仮想の攻撃が生じ得るか？
• RQ3 現在の設計は、クロスユーザデータ漏洩および特権昇格を防ぐのにどの程度効果的か？
• RQ4 同定された脆弱性の背後にある根本的原因（設計上の欠陥、見落とし、または設定ミス）は何か？

主な発見

• Androidのマルチユーザーフレームワークは、共有デバイス利用に伴う新規の脅威に対して部分的にしか対応しておらず、重大なセキュリティギャップを残している。
• 特にシステムサービスおよびIPCチャネルにおいて、複数の重要なアクセス制御メカニズムが欠落している、または正しく実装されていない。
• 特にバックグラウンドプロセスおよびシステムデーモンにおいて、ユーザープロファイル間の隔離が不十分であるため、クロスユーザデータ漏洩が可能である。
• アクセス制御意思決定における主体および対象の識別が弱いため、特権昇格攻撃が可能である。
• 本研究では、小さな見落としと深刻なアーキテクチャ上の欠陥の両方が、ユーザーのプライバシーとシステム整合性を損なっていると特定した。
• 本フレームワークは、強固なユーザーアイデンティティ隔離やデータ機密性を要する環境への導入には不適切である。