[論文レビュー] Aware: Controlling App Access to I/O Devices on Mobile Platforms

Giuseppe Petracca, Ahmad Atamli+3 more|arXiv (Cornell University)|Apr 7, 2016

Advanced Malware Detection Techniques参考文献 16被引用数 5

ひとこと要約

Awareは、モバイルプラットフォームにおけるI/Oデバイスアクセスのアプリ要求をユーザーの意図に束縛するセキュリティフレームワークであり、ランタイムインターセプトと明示的ユーザー承認を用いて、カメラ、マイク、スクリーンの不正使用を防止する。意識がなければ不正な攻撃が82%で検知されず、承認がなければすべての攻撃がブロックされ、わずか4.79%の最大パフォーマンスオーバーヘッドで、ユーザーは洗練された社会的工学的攻撃の82%を検知可能である。

ABSTRACT

Smartphones' cameras, microphones, and device displays enable users to capture and view memorable moments of their lives. However, adversaries can trick users into authorizing malicious apps that exploit weaknesses in current mobile platforms to misuse such on-board I/O devices to stealthily capture photos, videos, and screen content without the users' consent. Contemporary mobile operating systems fail to prevent such misuse of I/O devices by authorized apps due to lack of binding between users' interactions and accesses to I/O devices performed by these apps. In this paper, we propose Aware, a security framework for authorizing app requests to perform operations using I/O devices, which binds app requests with user intentions to make all uses of certain I/O devices explicit. We evaluate our defense mechanisms through laboratory-based experimentation and a user study, involving 74 human subjects, whose ability to identify undesired operations targeting I/O devices increased significantly. Without Aware, only 18% of the participants were able to identify attacks from tested RAT apps. Aware systematically blocks all the attacks in absence of user consent and supports users in identifying 82% of social-engineering attacks tested to hijack approved requests, including some more sophisticated forms of social engineering not yet present in available RATs. Aware introduces only 4.79% maximum performance overhead over operations targeting I/O devices. Aware shows that a combination of system defenses and user interface can significantly strengthen defenses for controlling the use of on-board I/O devices.

研究の動機と目的

• カメラ、マイク、スクリーンなどのモバイルI/Oデバイスへの許可されたアクセスを悪用するリモートアクセストロイの木馬（RAT）の増加する脅威に対処すること。
• 現在のモバイルOSがユーザーの承認を実際のデバイス使用に束縛できていないという限界を克服し、静かなるデータ漏洩を可能にする。
• すべてのI/O操作を明示的かつ承認中心にすることで、ユーザーが継続的な監視に依存するのを減らすこと。
• システムレベルの仲介とUIフィードバックの組み合わせが、I/Oデバイスにおける社会的工学的攻撃の検出を著しく改善できるかどうかを評価すること。
• 実際のAndroid環境において、I/O操作の明示的ユーザー承認を強制した際のパフォーマンスオーバーヘッドを測定すること。

提案手法

• アプリのI/Oデバイス（カメラ、マイク、スクリーン）へのすべての要求を、アクセスを仲介するシステムレベルサービスによってインターセプトする。
• 各I/O操作ごとに、アプリに依存しない永続的なユーザープロンプトを表示し、ユーザーの意図を明示的に捉え、なりすましを不可能にする。
• 進行中のI/O操作の可視性を維持し、ユーザーがいつでもそれらを終了できるようにする。
• アプリが承認プロンプトを操作したり隠したりできないように、安全で非対話的なインターフェースを用いる。
• Android 6.0.1_r5にフレームワークを実装し、マイクロベンチマークと74名の参加者によるユーザースタディを用いて評価する。
• パフォーマンスオーバーヘッドを、通常のAndroidとAware対応システムにおける要求から承認までの遅延を比較することで測定する。

実験結果

リサーチクエスチョン

• RQ1 ユーザー承認をI/Oデバイス操作に束縛するシステムレベルのフレームワークは、悪意あるアプリによる静かなるデータ漏洩の成功率を著しく低下させることができるか？
• RQ2 明示的かつ可視的な承認プロンプトが提供された場合、承認済みの要求を乗っ取るような洗練された社会的工学的攻撃を、ユーザーはどの程度検出できるか？
• RQ3 現代のモバイルプラットフォームにおいて、I/Oデバイスアクセスに明示的ユーザー承認を強制した際のパフォーマンスオーバーヘッドはどの程度か？
• RQ4 既存のアクセス制御メカニズムと比較して、ユーザー承認を必要としない攻撃をAwareはどの程度効果的にブロックできるか？
• RQ5 システム強制とUIフィードバックの組み合わせは、モバイルセキュリティにおけるユーザーの疲労と注意の無視（notice blindness）を軽減できるか？

主な発見

• Awareがなければ、74名の参加者のうちたった18%しか、テストされたRATアプリの攻撃を特定できず、静かなるI/O乱用の成功確率の高さが浮き彫りになった。
• Awareでは、ユーザー承認がなければすべての攻撃がブロックされた。これは、不正アクセスの完全な防止を示している。
• Awareを用いることで、承認済みの要求を乗っ取るような洗練された社会的工学的攻撃の82%が検出された。これは、以前に見られなかった攻撃パターンに対しても同様に有効であった。
• Awareが引き起こした最大のパフォーマンスオーバーヘッドは、スクリーンキャプチャ操作で4.79%であり、すべてのI/O操作の平均は2.19%であった。
• マイクロベンチマークの結果から、Awareは1回のI/O要求あたりわずか1〜5μsの遅延しか追加しなかった。これは、システムの応答性にほとんど影響を与えなかった。
• ユーザースタディの結果から、明示的で、永続的かつアプリに依存しない承認プロンプトが、ユーザーのミスを著しく減少させ、悪意ある行動の検出を向上させることを確認した。