[論文レビュー] Guardian of the HAN: Thwarting Mobile Attacks on Smart-Home Devices Using OS-level Situation Awareness

Soteris Demetriou, Nan Zhang+5 more|arXiv (Cornell University)|Mar 4, 2017

Advanced Malware Detection Techniques参考文献 36被引用数 5

ひとこと要約

Hanguardは、スマートホームIoTデバイスに対するモバイルベースの攻撃から保護する軽量で後方互換性を持つシステムであり、スマartフォン上のOSレベルのアプリ監視とルーター上のネットワーク制御を組み合わせることで実現する。IoTデバイス、スマートフォン、ルーターのいずれの変更も不要であり、アプリごとの細粒度なアクセス制御を可能にし、AndroidおよびiOSで実装・評価された。実世界のルーターを用いた評価でも成功を収めた。

ABSTRACT

A new development of smart-home systems is to use mobile apps to control IoT devices across a Home Area Network (HAN). Those systems tend to rely on the Wi-Fi router to authenticate other devices; as verified in our study, IoT vendors tend to trust all devices connected to the HAN. This treatment exposes them to the attack from malicious apps, particularly those running on authorized phones, which the router does not have information to control, as confirmed in our measurement study. Mitigating this threat cannot solely rely on IoT manufacturers, which may need to change the hardware on the devices to support encryption, increasing the cost of the device, or software developers who we need to trust to implement security correctly. In this work, we present a new technique to control the communication between the IoT devices and their apps in a unified, backward-compatible way. Our approach, called Hanguard, does not require any changes to the IoT devices themselves, the IoT apps or the OS of the participating phones. Hanguard achieves a fine-grained, per-app protection through bridging the OS-level situation awareness and the router-level per-flow control: each phone runs a non-system userspace Monitor app to identify the party that attempts to access the protected IoT device and inform the router through a control plane of its access decision; the router enforces the decision on the data plane after verifying whether the phone should be allowed to talk to the device. Hanguard uses a role-based access control (RBAC) schema which leverages type enforcement (TE) and multi-category security (MCS) primitives to define highly flexible access control rules. We implemented our design over both Android and iOS (>95% of mobile OS market share) and a popular router. Our study shows that Hanguard is both efficient and effective in practice.

研究の動機と目的

• スマートホームIoTデバイスに対する、認可済みスマートフォン上で実行される悪意あるアプリによる攻撃の増加という脅威に対処すること。
• 信頼できるデバイス上の正当なトラフィックと悪意あるトラフィックを区別できない既存のネットワークレベルの防御の限界を克服すること。
• IoTデバイス、モバイルOS、ルーターのハードウェアの変更なしに、細粒度なアクセス制御を実装するソリューションを設計すること。
• 既存のHANインfra構造と後方互換性を保ちながら、共有IoTデバイスに対する強力でポリシー駆動の保護を提供すること。
• アプリケーションレベルの文脈（スマートフォン上）とネットワークレベルの制御（ルーターで）の間の意味的ギャップを、統一的かつ分散型のアクセス制御モデルで埋めること。

提案手法

• 認可済みアプリが保護対象のIoTデバイスと通信しようとした際を検出するため、スマートフォンに非システムのユーザースペースのMonitorアプリをデプロイする。
• タイプ強制（TE）およびマルチカテゴリセキュリティ（MCS）プリミティブを活用して、OSレベルの状況認識によりアプリの役割とカテゴリを特定する。
• Secure control planeを介して、Monitorからルーターにアクセス決定を送信し、アプリがデバイスにアクセスできるかどうかを通知する。
• 受信した決定に基づき、ルーター上でフロー単位の制御を実装し、ロールベースアクセス制御（RBAC）スキーマを用いてアクセスポリシーを強制する。
• NATおよびポート制限付きコーンNATを含む標準プロトコルを用いて、既存のネットワークインfraに統合し、クラウド依存アプリをサポートする。
• ローカルHAN通信とクラウドベース通信の両方をサポートするため、NATチェックを拡張し、ポリシーおよび時間的制約に基づいてリモートトラフィックを検証する。

実験結果

リサーチクエスチョン

• RQ1 既存のデバイスやOSの変更なしに、軽量で後方互換性を持つシステムが、スマートホームIoTデバイスに対して細粒度なアクセス制御を効果的に実装できるか。
• RQ2 OSレベルのアプリケーション文脈（例：アプリの役割やカテゴリ）を、ルーターでのネットワークレベルの制御に効果的に統合する方法は何か。
• RQ3 TEおよびMCSを用いたロールベースアクセス制御（RBAC）に基づく分散型アクセス制御モデルが、信頼できるHANデバイスに対するモバイルアプリベースの攻撃を防止できるか。
• RQ4 このようなシステムが実世界のHAN環境において実用的で、性能上のオーバーヘッドがどれほどか。
• RQ5 外部ソースから接続を開始するクラウド依存IoTアプリを、安全に処理する方法は何か。

主な発見

• Hanguardは、デバイスやOSの変更なしに、正当なトラフィックと悪意あるトラフィックを区別することで、IoTデバイスに対するモバイルアプリベースの攻撃を効果的に防止した。
• 本システムはAndroidおよびiOSの両方で実装・評価され、モバイルOS市場シェアの95％以上と高い互換性を示した。
• OSレベルの状況認識とルーターでの強制を活用する統一ポリシーモデルにより、Hanguardはアプリ単位の細粒度アクセス制御を実現した。
• ローカルHAN通信とクラウドベース通信の両方をサポートし、時間制限付きポリシー検証を用いてリモートトラフィックを安全に処理した。
• 実世界での展開と評価を通じて、最小限の性能的オーバーヘッドで効果的な保護が達成された。
• Hanguardの設計は段階的展開が可能であり、ルーターのアップデートとモバイルアプリのインストールのみで実現可能であるため、広範な採用が現実的である。