[論文レビュー] Discovering Physical Interaction Vulnerabilities in IoT Deployments.

Muslum Ozgur Ozmen, Xuansong Li+4 more|arXiv (Cornell University)|Feb 3, 2021

Advanced Malware Detection Techniques参考文献 41被引用数 4

ひとこと要約

IoTSeer は、IoT アプリケーションのソースコードをハイブリッド I/O 自動機に変換して物理的挙動をモデル化し、複数のアプリを統合した挙動モデルを構築し、グリッドベースのテストと偽棄法を用いて安全でない物理的相互作用を検出するセキュリティサービスである。不正な物理的相互作用の原因を同定し、修正パッチの提案も行う。本手法は、13台のアクチュエータ、6台のセンサー、37個のアプリを搭載した実際の住宅環境で有効性が実証された。

ABSTRACT

Internet of Things (IoT) applications drive the behavior of IoT deployments according to installed sensors and actuators. It has recently been shown that IoT deployments are vulnerable to physical interactions, caused by design flaws or malicious intent, that can have severe physical consequences. Yet, extant approaches to securing IoT do not translate the app source code into its physical behavior to evaluate physical interactions. Thus, IoT consumers and markets do not possess the capability to assess the safety and security risks these interactions present. In this paper, we introduce the IoTSeer security service for IoT deployments, which uncovers undesired states caused by physical interactions. IoTSeer operates in four phases (1) translation of each actuation command and sensor event in an app source code into a hybrid I/O automaton that defines an app's physical behavior, (2) combining apps in a novel composite automaton that represents the joint physical behavior of interacting apps, (3) applying grid-based testing and falsification to validate whether an IoT deployment conforms to desired physical interaction policies, and (4) identification of the root cause of policy violations and proposing patches that guide users to prevent them. We use IoTSeer in an actual house with 13 actuators and six sensors with 37 apps and demonstrate its effectiveness and performance.

研究の動機と目的

• IoT デプロイメントにおける物理的相互作用リスクを分析するツールの不足に応えるために、アプリケーションコードを物理的挙動モデルに変換すること。
• 特に、予期しないまたは有害な結果を引き起こすようなアプリケーション間相互作用に起因する、安全でない物理的相互作用の自動検出を可能にすること。
• 政策違反の原因を同定し、是正パッチの提案を行うことで、実行可能なフィードバックを提供すること。
• 高レベルのアプリケーション論理と低レベルの物理的セーフティの間のギャップを埋めるために、複数の相互作用する IoT アプリの共同挙動をモデル化すること。

提案手法

• IoT アプリケーションのソースコードに含まれる各アクチュエータ命令およびセンサーイベントを、物理的挙動を表すハイブリッド I/O 自動機に変換すること。
• 個々のアプリケーションの自動機を組み合わせることで、相互作用するアプリケーションの共同物理的挙動をモデル化する複合自動機を構築すること。
• グリッドベースのテストとモデル偽棄法を適用し、状態空間を体系的に探索し、望ましい物理的相互作用ポリシーの違反を検出すること。
• 形式的解析を用いて、ポリシー違反をソースコード内の根本原因まで遡り、是正のためのパッチ生成を行うこと。
• 13台のアクチュエータ、6台のセンサー、37個のアプリケーションを搭載した実環境での展開により、スケーラビリティと有効性を評価すること。

実験結果

リサーチクエスチョン

• RQ1 IoT アプリケーションを、セキュリティ解析に適した物理的挙動を捉える形式的モデルに体系的に変換することは可能か？
• RQ2 複数の IoT アプリケーションが共有環境で相互作用する場合、その共同物理的挙動をどのようにモデル化できるか？
• RQ3 グリッドベースのテストと偽棄法は、複雑な IoT デプロイメントにおける安全でない物理的相互作用状態を効果的に特定できるか？
• RQ4 物理的相互作用脆弱性の原因をどの程度自動的に診断・是正できるか？
• RQ5 IoTSeer フレームワークは、実世界の大型 IoT 環境において、どの程度有効的かつスケーラブルか？

主な発見

• IoTSeer は、13台のアクチュエータ、6台のセンサー、37個のアプリケーションを搭載した実際の住宅環境で、安全でない物理的相互作用状態を正常に検出できた。実用的応用性が実証された。
• 本フレームワークは、従来未知の相互作用脆弱性を同定し、例えば競合するアクチュエータ命令によって引き起こされる予期しない物理的結果を引き起こす可能性があることを明らかにした。
• 根本原因分析により、問題のあるコードパターンを正確に同定でき、開発者が的確な修正を施すことが可能になった。
• グリッドベースのテストと偽棄法の活用により、ランダムテストに比べて状態空間探索のカバレッジが顕著に向上した。
• 複合自動機モデルは、複数のアプリケーション間の共同挙動を正確に捉えており、個別に見ると見えなかった、新たな危険な相互作用の検出を可能にした。