[論文レビュー] Capturing Information Flows inside Android and Qemu Environments

Marco Sironi, Francesco Tisato|arXiv (Cornell University)|Feb 20, 2013

Advanced Data Storage Technologies参考文献 2被引用数 3

ひとこと要約

この論文では、AndroidおよびQEMU仮想化環境内の情報フローを把握・分析する手法を提示している。両者のログインfra構造を活用し、トレースベースのインストルメンテーションとログ相関を用いて、制御可能で観察可能な方法でデータがシステムコンポONENT間をどのように伝播するかを詳細に分析した。特にAndroidの起動プロセスを事例として取り上げ、その動的挙動を解明した。

ABSTRACT

The smartphone market has grown so wide that it assumed a strategic relevance. Today the most common smartphone OSs are Google's Android and Apple's iOS. The former is particularly interesting due to its open source nature, that allows everyone to deeply inspect every aspect of the OS. Android source code is also bundled with an hardware emulator, based on the open source software Qemu, that allows the user to run the Android OS without the need of a physical device. We first present a procedure to extract information flows from a generic system. We then focus on Android and Qemu architectures and their logging infrastructures. Finally, we detail what happens inside an Android device in a particular scenario: the system boot.

研究の動機と目的

• 一般のコンピューティングシステムにおける情報フローの抽出および分析のための体系的プロシージャの開発。
• AndroidおよびQEMUのログメカニズムを調査し、トレースベースの情報フロー分析を可能にする。
• 具体的なシステムシナリオ（Androidの起動プロセス）にこの手法を適用し、データ伝播ダイナミクスを理解する。
• 仮想化モバイル環境において、機密データがコンポONENT間をどのように伝播するかを観察可能な方法で示す。
• 将来的なセキュリティ分析の基盤を提供する。具体的には、Androidおよびエミュレータ環境における漏洩やサイドチャnel露出の検出を想定する。

提案手法

• システムレベルのログとトレース収集に基づく、汎用的な情報フロー抽出フレームワークの設計。
• Androidのネイティブログインfra（logd、logcat）とQEMUの組み込みトレース機能を活用し、実行時イベントを収集する。
• タイムスタンプとプロセスIDを用いて、カーネル、ユーザー空間、エミュレータといった複数のソースからのログを相関させる。
• Android起動プロセスをインストルメント化し、初期起動段階から完全なシステム初期化に至るまでのデータ伝播を追跡する。
• システムコンポONENT間のログエントリの順序と文脈を分析することで、情報フローのマッピングを実施する。
• 制御されたQEMUエミュレーテッドAndroid環境で、データフローの再構築を通じて手法の妥当性を検証する。

実験結果

リサーチクエスチョン

• RQ1 AndroidやQEMUのような複雑な仮想化システムにおいて、情報フローを体系的に捉え、相関付けるにはどうすればよいか？
• RQ2 Android起動プロセスにおける主要なデータ伝播経路は何か。また、既存のログメカニズムを用いてそれらをどのようにトレースできるか？
• RQ3 AndroidおよびQEMUの既存ログインfraは、細粒度な情報フロー分析をどの程度サポートできるか？
• RQ4 提案手法は、仮想化環境において、システムレイヤーを跨いで機密データの伝播を検出・再構築できるか？
• RQ5 モバイル仮想化における情報フロー追跡にログベースのアプローチに依存する際の限界と課題は何か？

主な発見

• AndroidおよびQEMUのログインfraは、システムコンポONENT間を横断する情報フローを再構築するのに十分な低レベルのテレメトリを提供している。
• Androidの起動プロセスは、カーネルレベルの初期化からユーザー空間サービスに至る複数の段階を経て、ログエントリを通じて観察可能な伝播を示している。
• カーネル、init、zygote、システムサーバーといった異なるシステムレイヤーのログを相関させることで、エンドツーエンドの情報フローパスの再構築が可能になる。
• 本手法は、初期起動コンポONENTからハイレベルなシステムサービスに至るまでのデータ伝播を明確に特定でき、実世界のシナリオでも実現可能であることを示した。
• 仮想化環境であっても、機密データは予測可能なログパターンを通じて追跡可能であることが判明し、サイドチャnel分析の潜在的攻撃面を浮き彫りにした。
• 既存のログシステムは情報フロー追跡を目的として設計されていないが、適切な相関技術を用いることで、このような分析に効果的に再利用可能であることが確認された。