[論文レビュー] Lost and Found: Stopping Bluetooth Finders from Leaking Private Information

Mira Weller, Jiska Classen+3 more|arXiv (Cornell University)|May 17, 2020

Advanced Malware Detection Techniques参考文献 3被引用数 4

ひとこと要約

この論文では、エンドツーエンド暗号化と分散型の位置情報レポートを活用することで、クラウドサービスへの位置情報漏洩を防ぐプライバシー保護型Bluetooth探知プロトコル、PrivateFindを提案する。低価格なIoTハードウェア上で機能を損なわずに、安全でプライベートな探知システムを構築できることが実証されている。

ABSTRACT

A Bluetooth finder is a small battery-powered device that can be attached to important items such as bags, keychains, or bikes. The finder maintains a Bluetooth connection with the user's phone, and the user is notified immediately on connection loss. We provide the first comprehensive security and privacy analysis of current commercial Bluetooth finders. Our analysis reveals several significant security vulnerabilities in those products concerning mobile applications and the corresponding backend services in the cloud. We also show that all analyzed cloud-based products leak more private data than required for their respective cloud services. Overall, there is a big market for Bluetooth finders, but none of the existing products is privacy-friendly. We close this gap by designing and implementing PrivateFind, which ensures locations of the user are never leaked to third parties. It is designed to run on similar hardware as existing finders, allowing vendors to update their systems using PrivateFind.

研究の動機と目的

• 商業用Bluetooth探知エコシステムのセキュリティおよびプライバシー上の欠陥を分析すること、特にモバイルアプリおよびクラウドバックエンドにおけるもの。
• IoTベースの探知システムに内在する根本的な設計上の欠陥を特定し、不要な個人情報漏洩を引き起こす要因を明らかにすること。
• すべてのコア機能を維持しながらユーザーの匿名性を保証するプライバシー保護型代替案、PrivateFindの設計および実装を行うこと。
• 現在の商業製品と同等の低コストハードウェア上に、プライベートで安全なBluetooth探知システムを展開できることを実証すること。

提案手法

• Tile、Nut、CubeTrackerを含む7つの主要な商業用Bluetooth探知機器の包括的なプロトコル解析およびリバースエンジニアリングを実施した。
• バックエンドサービス、モバイルアプリ、通信プロトコルにおける脆弱性を同定した。具体的には、TLS検証の欠如や不正なセッショントークンの存在が確認された。
• ユーザーの位置情報をクラウドサーバーに保存しない匿名の位置情報レポートを可能にする、エンドツーエンド暗号化された安全なプロトコルとしてPrivateFindを設計した。
• 低コストなIoTプラットフォーム（STM32ベース）にPrivateFindを実装し、既存の商業製品と互換性があることを実証した。
• 一時的な鍵とリンク不能な識別子といった暗号技術を用いて、ユーザーの位置情報が特定のデバイスやユーザーにリンクされないよう保証した。
• 形式的な脅威モデルと実装の強化を通じて、マッドインザミドル（MITM）攻撃およびリプレイ攻撃に対するシステムの耐性を評価した。

実験結果

リサーチクエスチョン

• RQ1 既存の商業用Bluetooth探知エコシステムにおける主なセキュリティおよびプライバシー上の脆弱性は何か？
• RQ2 クラウドベースのBluetooth探知機器は、機能に必要な最小限の範囲を越えて、ユーザーの位置情報をどれほど漏洩させているか？
• RQ3 現在の商業製品と同等の低コストハードウェアを用いて、安全でプライベートなBluetooth探知システムを構築できるか？
• RQ4 システムの使いやすさやセキュリティを損なわず、紛失・発見されたデバイスの匿名レポートをどのように実現できるか？
• RQ5 IoTベースの位置追跡システムにおいて、長期的なデータ漏洩を防ぐためにどのようなアーキテクチャ的および暗号技術的設計パターンが有効か？

主な発見

• 分析されたすべての商業用Bluetooth探知機器が、必要以上に多くの個人情報を漏洩させていることが判明した。特に、いくつかの製品は適切なアクセス制御なしにGPS位置情報をクラウドに送信していた。
• TileとNutには深刻なセキュリティ欠陥が確認され、セッショントークンが暗号化されておらず、TLS検証が行われていないため、ユーザー間のデータアクセスが可能だった。
• あるベンダー（Nut）は、複数回の報告およびCERTのお知らせにもかかわらず、1年以上にわたりユーザーのデータを漏洩し続け、低価格IoTデバイスにおける悪いセキュリティ実践の典型例となった。
• テストされたすべての製品のプライバシーポリシーは曖昧で一貫性がなく、特に位置追跡に関する実際のデータ収集方法を正しく開示していなかった。
• PrivateFindは、近接検知、リモート位置情報の取得、匿名レポートといったすべてのコア機能を実装しながら、ユーザーの位置情報が第三者に保存または送信されないことを保証した。
• 低コストIoTハードウェア上へのPrivateFindの実装により、コスト増や機能低下を伴わず、プライバシー保護型探知システムが実現可能であることが確認された。