[論文レビュー] AuDroid: Preventing Attacks on Audio Channels in Mobile Devices

Giuseppe Petracca, Yuqiong Sun+2 more|arXiv (Cornell University)|Apr 1, 2016

Advanced Malware Detection Techniques参考文献 10被引用数 10

ひとこと要約

AuDroid は、動的に作成された音声通信チャネル上で格子に基づく情報フロー政策を強制することで、Android のセキュリティ拡張機能であり、マイクおよびスピーカーを介した盗聴および混乱した支配者攻撃を防ぐ。SELinux と統合されており、特権アプリの解決にコールバックを用い、信頼できるユーザー経路を提供し、17 つの実世界アプリで 6 つの攻撃シナリオを最小限のパフォーマンス影響でブロックする。

ABSTRACT

Voice control is a popular way to operate mobile devices, enabling users to communicate requests to their devices. However, adversaries can leverage voice control to trick mobile devices into executing commands to leak secrets or to modify critical information. Contemporary mobile operating systems fail to prevent such attacks because they do not control access to the speaker at all and fail to control when untrusted apps may use the microphone, enabling authorized apps to create exploitable communication channels. In this paper, we propose a security mechanism that tracks the creation of audio communication channels explicitly and controls the information flows over these channels to prevent several types of attacks.We design and implement AuDroid, an extension to the SELinux reference monitor integrated into the Android operating system for enforcing lattice security policies over the dynamically changing use of system audio resources. To enhance flexibility, when information flow errors are detected, the device owner, system apps and services are given the opportunity to resolve information flow errors using known methods, enabling AuDroid to run many configurations safely. We evaluate our approach on 17 widely-used apps that make extensive use of the microphone and speaker, finding that AuDroid prevents six types of attack scenarios on audio channels while permitting all 17 apps to run effectively. AuDroid shows that it is possible to prevent attacks using audio channels without compromising functionality or introducing significant performance overhead.

研究の動機と目的

• モバイルデバイスにおけるマイクおよびスピーカーへのアクセスを悪用する音声ベースの攻撃の増加する脅威に対処すること。
• システムアプリおよびサードパーティアプリが作成する音声チャネルを通じた不正な情報フローを防ぐこと。
• 情報フロー違反の解決を損なわず、セキュリティを損なわない柔軟で拡張可能なアクセス制御メカニズムを設計すること。
• 音声リプレイ、コvertチャネル、不正なコマンドインジェクションを含む攻撃の検出および緩和を可能にすること。
• 音声 I/O リソースにおける強力なセキュリティポリシーを強制しながら、アプリケーションの機能を維持すること。

提案手法

• SELinux のリファレンスマネージャーを拡張し、リアルタイムで音声通信チャネルの作成および削除を追跡する。
• データの出どころおよび機密性に基づいて音声チャネルにセキュリティラベルを付与し、格子に基づく機密性および整合性ポリシーを強制する。
• 情報フロー違反の許容可能な解決策を提示するために、特権を持つシステムアプリおよびサービスにコールバックを用いる。
• 潜在的に危険な音声フローの承認を求めるために、デバイス所有者への信頼できるパスを採用する。
• ロード可能なモジュールを介して Android のセキュリティフレームワークと統合し、後方互換性および拡張性をサポートする。
• カーネルレベルでの動的ポリシー強制により、マイクおよびスピーカーリソースへのアクセスを仲介する。

実験結果

リサーチクエスチョン

• RQ1 Android において、マイクおよびスピーカーチャネルを悪用する音声ベースの攻撃を、体系的かつ効果的に検出および防止するにはどうすればよいか？
• RQ2 アプリケーションの機能を損なわず、動的に作成された音声チャネルに対して情報フロー制御を強制するメカニズムは何か？
• RQ3 情報フロー違反が発生した場合、特にシステムの重要なコンponentsにおいて、セキュリティポリシーを柔軟に解決するにはどうすればよいか？
• RQ4 自動解決とユーザー主導の承認の両方をサポートするセキュリティフレームワークを設計できるか？
• RQ5 実世界の Android アプリケーションにおいて、細かく粒度の細かい音声チャネルのセキュリティを強制する場合のパフォーマンスおよび互換性のオーバーヘッドは何か？

主な発見

• AuDroid は、17 つの広く使われている Android アプリケーションで、6 種類の異なる音声チャネルベースの攻撃を成功裏に防止した。
• 評価された 17 つのすべてのアプリケーションが、AuDroid の下でも正しく機能し、高い互換性と最小限の機能的劣化を示した。
• 実世界のワークロードを用いた評価により、フレームワークがほとんど無視できるパフォーマンスオーバーヘッドをもたらしたことが確認された。
• 特権アプリの解決にコールバックを用いることで、システムサービスにおける情報フロー違反の安全な処理が可能になった。
• 信頼できるユーザー経路により、デバイス所有者が危険な音声フローを承認でき、セキュリティを弱めることなく使いやすさが向上した。
• SELinux との統合により、アプリケーションコードの変更なしに、音声 I/O に対して強力で義務的なアクセス制御が可能になった。