[論文レビュー] OAT: Attesting Operation Integrity of Embedded Devices

Zhichuang Sun, Bo Feng+2 more|arXiv (Cornell University)|Feb 9, 2018

Security and Verification in Computing参考文献 40被引用数 10

ひとこと要約

本論文では、ARMベースの組み込みデバイスにおける操作実行整合性（OEI）のリモートアテステーションを実現するOATというシステムを提案する。このシステムは、制御フローハイジャックおよびデータのみ攻撃を検出可能であり、軽量な制御フローメasurementsと抽象実行を用いることで、わずか2.7%のランタイムオーバーヘッドで効率的かつ検証可能な整合性チェックを実現し、IoTバックエンドがリアルタイムでデバイス操作の信頼性を検証可能にする。

ABSTRACT

Due to the wide adoption of IoT/CPS systems, embedded devices(IoT frontends) become increasingly connected and mission-critical, which in turn has attracted advanced attacks (e.g., control-flow hijacks and data-only attacks). Unfortunately, IoT backends are unable to detect if such attacks have happened while receiving data, service requests, or operation status from IoT devices. As a result, currently, IoT backends are forced to blindly trust the IoT devices that they interact with. To fill this void, we first formulate a new security property for embedded devices, called "Operation Execution Integrity" or OEI. We then design and build a system, OAT, that enables remote OEI attestation for ARM-based bare-metal embedded devices. Our formulation of OEI captures the integrity of both control flow and critical data involved in an operation execution. Therefore, satisfying OEI entails that an operation execution is free of unexpected control and data manipulations, which existing attestation methods cannot check. Our design of OAT strikes a balance between prover's constraints (embedded devices' limited computing power and storage) and verifier's requirements(complete verifiability and forensic assistance). OAT uses a new control-flow measurement scheme, which enables light-weight and space-efficient collection of measurements (97% space reduction from the trace-based approach). OAT performs the remote control-flow verification through abstract execution, which is fast and deterministic. OAT also features lightweight integrity checking for critical data (74% fewer instrumentation needed than previous work). Our security analysis shows that OAT allows remote verifiers or IoT backends to detect both control-flow hijacks and data-only attacks that affect the execution of operations on IoT devices. In our evaluation using real embedded programs, OAT incurs a runtime overhead of 2.7%.

研究の動機と目的

• IoTデバイスにおけるリモート信頼性検証の重要なギャップを解消すること。現在のところ、ランタイムの整合性チェックが不足しているため、バックエンドはリモートデバイスを盲目的に信頼している。
• 操作実行中の制御フローと重要なデータの整合性を両方捉える新しいセキュリティ特性、すなわち操作実行整合性（OEI）を形式化すること。
• リソース制約のある組み込みデバイス上で、セキュリティを損なわず、軽量で効率的かつ検証可能なリモートアテステーションを実現するシステムを設計すること。
• 従来のバイナリアテステーションとは異なり、事後的に攻撃実行トレースの再構築を可能にするフォレンジック分析を支援すること。

提案手法

• 操作実行整合性（OEI）を、操作の制御フローダイアグラムへの準拠およびデュアルチェーンにわたる重要な変数値の保持を要件とするセキュリティ特性として形式化する。
• トレースベースの手法と比較して測定保存領域を97%削減する抽象実行に基づく新しい制御フローメasurement方式を設計する。
• 重要なデータ整合性チェックのための軽量なインストルメンテーション技術を実装し、先行研究と比較してインストルメンテーションオーバーヘッドを74%削減する。
• カスタムコンパイラ、デバイス上でのランタイム測定エンジン（プローバー）、バックエンド上での検証エンジン（ヴァリデーター）を備えたフルスタックシステムOATを構築する。
• 偽造不能な測定値と決定論的な抽象実行を用いることで、完全な検証可能性を確保し、フォレンジック分析を可能にする。
• 実際の組み込みプログラムにシステムを統合し、ARMベースのプラットフォーム上でパフォーマンスを評価する。

実験結果

リサーチクエスチョン

• RQ1 従来のアテステーションメカニズムが検出できない組み込みデバイスにおいて、リモート検証者が制御フローハイジャックおよびデータのみ攻撃を検出できるか？
• RQ2 リソース制約のある組み込みデバイス上で、過度なランタイムまたはストレージオーバーヘッドを伴わずに、操作整合性の完全な検証が可能か？
• RQ3 最小限のインストルメンテーションと測定オーバーヘッドで、制御フローとデータ整合性の両方の検証を提供できるシステムは可能か？
• RQ4 システムは攻撃トレースのフォレンジック再構築をサポートできるか、すなわち事後分析を可能にするか？

主な発見

• 抽象実行を用いることで、トレースベースの制御フローメasurementと比較して、測定保存領域を97%削減できる。
• 実際の組み込みプログラム上で、ARMベースのデバイスでわずか2.7%のランタイムオーバーヘッドにとどまり、高い効率性を示した。
• 先行手法と比較して、データ整合性チェックのインストルメンテーション要件を74%削減でき、導入性が向上した。
• システムは制御フローとデータ整合性の両方のリモート検証を可能にし、従来の手法が見逃す攻撃、たとえばデータのみ攻撃やROPエクスプロイトを検出できた。
• OATはフォレンジックトレース再構築をサポートし、検出後にも攻撃行動の分析が可能である。これは従来のバイナリアテステーションでは実現されていない。
• セキュリティ分析により、OATは制御フローハイジャックおよびデータのみ攻撃を検出可能であり、IoTバックエンドが受容するのは真正の操作実行に限ることを保証した。