[論文レビュー] MPInspector: A Systematic and Automatic Approach for Evaluating the Security of IoT Messaging Protocols

Qinying Wang, Shouling Ji+9 more|arXiv (Cornell University)|Aug 18, 2022

Advanced Malware Detection Techniques参考文献 24被引用数 13

ひとこと要約

MPInspectorは、モデル学習と形式検証を組み合わせることで、商業用IoTメッセージングプロトコル（MP）実装のセキュリティを自動的かつ体系的かつ評価する最初のフレームワークである。ブラックボックスの相互作用からMP状態機械を逆引きし、セキュリティ特性を推定し、9つの商業的IoTプラットフォームにおけるMQTT、CoAP、AMQPの実装において252件の違反を検出。これは11種類の攻撃タイプを明らかにした。検出精度は100%、平均分析オーバーヘッドは約4.5時間であった。

ABSTRACT

Facilitated by messaging protocols (MP), many home devices are connected to the Internet, bringing convenience and accessibility to customers. However, most deployed MPs on IoT platforms are fragmented and are not implemented carefully to support secure communication. To the best of our knowledge, there is no systematic solution to perform automatic security checks on MP implementations yet. To bridge the gap, we present MPInspector, the first automatic and systematic solution for vetting the security of MP implementations. MPInspector combines model learning with formal analysis and operates in three stages: (a) using parameter semantics extraction and interaction logic extraction to automatically infer the state machine of an MP implementation, (b) generating security properties based on meta properties and the state machine, and (c) applying automatic property based formal verification to identify property violations. We evaluate MPInspector on three popular MPs, including MQTT, CoAP and AMQP, implemented on nine leading IoT platforms. It identifies 252 property violations, leveraging which we further identify eleven types of attacks under two realistic attack scenarios. In addition, we demonstrate that MPInspector is lightweight (the average overhead of end-to-end analysis is ~4.5 hours) and effective with a precision of 100% in identifying property violations.

研究の動機と目的

• 商業プラットフォーム上のIoTメッセージングプロトコル（MP）実装のセキュリティを評価するための体系的かつ自動化されたツールの不足に対処すること。
• 従来のホワイトボックス解析が回避する、閉鎖的で多様かつカスタマイズされたMP実装の課題を克服すること。
• ソースコードにアクセスできない状況でも、論理レベルのセキュリティ欠陥をスケーラブルかつ正確に自動検出できる仕組みを提供すること。
• 標準的なMP規格と実際の実装との間のギャップを埋め、攻撃可能な脆弱性を引き起こす要因となる乖離を特定すること。

提案手法

• ブラックボックスの方法で入力を送信し出力を観測することで、アクティブなモデル学習を用いてMP実装の状態機械を推定する。
• トラフィック解析とNLPベースの技術を用いて、メッセージ通信からパラメータの意味論と相互作用ロジックを抽出し、メッセージ構成を逆引きする。
• 学習された状態機械から推論される独自の論理と標準的なプロトコルメタプロパティを組み合わせることで、セキュリティプロパティを生成する。
• 推定された状態機械とセキュリティプロパティをTamarin互換の形式仕様に変換する。
• Tamarin Proverによる形式検証を適用し、セキュリティプロパティの違反を検出することで、欠陥検出の100%の正確性を保証する。
• 性質駆動のアプローチを活用し、複数のMPタイプとプラットフォームにわたるセキュリティ要件を体系的に探索・検証する。

実験結果

リサーチクエスチョン

• RQ1 ソースコードにアクセスできない閉鎖的かつカスタマイズされたIoTメッセージングプロトコル実装の動作モデルを自動的に回復する方法は何か？
• RQ2 実世界のMP実装で一般的に違反されるセキュリティプロパティは何か。また、それらはプロトコル規格と実装動作から体系的にどのように導出可能か？
• RQ3 モデル学習と形式検証を組み合わせることで、スケール的にIoTメッセージングプロトコルの論理レベルの脆弱性を検出できる範囲はどの程度か？
• RQ4 自動分析によってMP実装を解析することで、どのような実世界の攻撃が明らかにされるのか。それらは既知の脆弱性とどのように異なるか？
• RQ5 多様で生産環境向けのIoTメッセージングプロトコルに対して、自動的かつブラックボックス方式によるセキュリティ欠陥検出は、どの程度効率的かつ正確か？

主な発見

• MPInspectorは9つの主要なIoTプラットフォームにおいて252件のセキュリティプロパティ違反を特定したが、すべてが正当な欠陥として確認され、精度は100%であった。
• フレームワークは、認証バイパス、メッセージインジェクション、サービス拒否攻撃など、以前は未知であった11種類の攻撃タイプを明らかにした。これらは現実的な攻撃シナリオ下で検出された。
• 全プラットフォームにおけるエンドツーエンドの分析時間の平均は約4.5時間であり、本フレームワークの実用的効率性を示している。
• MPInspectorは、メッセージにカスタムパラメータ構成や暗号化が使用されていても、MP実装の状態機械とパラメータ意味論を正常に逆引きできた。
• 本フレームワークは、手動での分析手法を上回り、文献に以前に報告されていなかった4つの新たな攻撃タイプを検出できた。
• MPInspectorのオープンソース化（[52]）により、再現性が確保され、今後のIoTセキュリティ研究の拡張が可能になった。