[論文レビュー] Checking Interaction-Based Declassification Policies for Android Using Symbolic Execution

Kristopher Micinski, Jonathan Fetter-Degges+3 more|arXiv (Cornell University)|Jan 1, 2015

Advanced Malware Detection Techniques参考文献 13被引用数 6

ひとこと要約

本稿では、Androidアプリにおける感覚的データの解放タイミングとそのトリガーとなるユーザー操作を指定する、インタラクションベースの脱機密化ポリシーを提案する。シンボリック実行を用いてDavlikバイトコードを解析し、著者らはLTL形式のイベントトレースを用いてこれらのポリシーを検証するClickReleaseというツールを導入した。このツールは、最小限の入力深さで実際のアプリケーションにおいてもセキュリティ違反を正しく検出できる。

ABSTRACT

Mobile apps can access a wide variety of secure information, such as contacts and location. However, current mobile platforms include only coarse access control mechanisms to protect such data. In this paper, we introduce interaction-based declassification policies, in which the user's interactions with the app constrain the release of sensitive information. Our policies are defined extensionally, so as to be independent of the app's implementation, based on sequences of security-relevant events that occur in app runs. Policies use LTL formulae to precisely specify which secret inputs, read at which times, may be released. We formalize a semantic security condition, interaction-based noninterference, to define our policies precisely. Finally, we describe a prototype tool that uses symbolic execution to check interaction-based declassification policies for Android, and we show that it enforces policies correctly on a set of apps.

研究の動機と目的

• Androidにおける粗い粒度のアクセス制御の限界を是正し、ユーザー主導の細粒度の感覚的データの脱機密化を可能にする。
• 脱機密化後に観察可能なプログラム動作が決定的であることを保証する、形式的セキュリティモデル「インタラクションベース非干渉性（IBNI）」を定式化する。
• Androidアプリがユーザー定義の脱機密化ポリシーに準拠しているかどうかを検証する実用的な静的解析ツールを開発する。
• 入力深さが低い（≤5イベント）シンボリック実行を用いることで、実アプリケーションにおいてポリシー違反を効率的に検出できることを実証する。

提案手法

• 論文では、GUI操作、シークレット入力、ネットワーク出力などのセキュリティ関連イベントのシーケンスを用いたLTL式により、脱機密化ポリシーを定義する。
• 脱機密化後に観察可能な動作が決定的であることを保証するセマンティック的セキュリティ条件「インタラクションベース非干渉性（IBNI）」を導入する。
• ClickReleaseはSymDroidを用いてDavlikバイトコードをシンボリック実行し、設定可能な深さ（n個のGUIイベントまで）のイベントトレースを生成する。
• ツールはIBNI条件を符号化した論理式を合成し、Z3 SMTソルバを用いてその充足可能性を検証する。
• ポリシーはφ ⊢ Sの形で指定され、φはイベント上のLTL式、Sは感度レベルを表し、シークレット入力がいつ解放可能かを示す。
• 本手法は4つのAndroidアプリ（安全版と不正版を含む）に対して評価され、低い入力深さでポリシー準拠性が検証された。

実験結果

リサーチクエスチョン

• RQ1 LTLを用いてユーザー操作に基づくインタラクションベースの脱機密化ポリシーを定義することで、Androidアプリにおける実際のセキュリティ意図を効果的にモデル化できるか？
• RQ2 インタラクションベース非干渉性（IBNI）条件は、対話型Androidアプリケーションにおける安全な情報フローを正しく捉えているか？
• RQ3 入力深さが低い（≤5イベント）シンボリック実行を用いることで、実Androidアプリケーションにおいてポリシー違反を高精度に検出できるか？
• RQ4 ソースコードのアノテーションを必要とせず、実行時タンタックトラッキングに依存しない静的解析ツール（例：ClickRelease）は、脱機密化ポリシーをどの程度効率的に検証できるか？

主な発見

• ClickReleaseは、評価対象の4つのアプリの不正版において正しくポリシー違反を特定した一方で、安全版では正常に通過した。
• 全テスト対象アプリにおいて、最大5つのGUIイベントの入力深さで、いかなるポリシー違反も検出可能であった。これは、極めて高い効率性を示している。
• 最小必須深さでの解析は、1アプリあたり数秒で完了したため、実用的なスケーラビリティを示している。
• ClickReleaseは、シンボリック実行とSMTソルバを用いてIBNIを検証することで、脱機密化ポリシーを効果的に強制した。このことから、本手法が実世界のAndroidアプリに適用可能であることが証明された。
• 評価により、低深さでのシンボリック実行が、全トレース列挙の指数的爆発を避けるために十分な動作を捉えられることを確認した。
• 本手法は、従来の手法に比べ、ソースコードのアノテーションを必要とせず、実行時タンタックトラッキングにも依存しない。代わりに、ユーザー操作をポリシーのトリガーとして用いる。