[論文レビュー] Personalized Security Indicators to Detect Application Phishing Attacks in Mobile Platforms

Claudio Marforio, Ramya Jayaram Masti+3 more|arXiv (Cornell University)|Feb 24, 2015

Spam and Phishing Detection参考文献 31被引用数 28

ひとこと要約

本稿では、モバイルアプリケーションのフィッシング攻撃に対して、効果的で低コストな防御策として、パーソナライズされたセキュリティインジケータを提案する。大規模なユーザースタディを通じて、パーソナライズされたインジケータを採用しているユーザーは、それらを使用しないユーザーに比べてフィッシング攻撃の検出において顕著に優れていることが示された。これは、従来の無効性に関する仮定に反する。さらに、攻撃者環境下でも強固な防御を実現するための新規なセキュアなセットアッププロトコルが開発された。

ABSTRACT

Phishing in mobile applications is a relevant threat with successful attacks reported in the wild. In such attacks, malicious mobile applications masquerade as legitimate ones to steal user credentials. In this paper we categorize application phishing attacks in mobile platforms and possible countermeasures. We show that personalized security indicators can help users to detect phishing attacks and have very little deployment cost. Personalized security indicators, however, rely on the user alertness to detect phishing attacks. Previous work in the context of website phishing has shown that users tend to ignore the absence of security indicators and fall victim of the attacker. Consequently, the research community has deemed personalized security indicators as an ineffective phishing detection mechanism. We evaluate personalized security indicators as a phishing detection solution in the context of mobile applications. We conducted a large-scale user study where a significant amount of participants that used personalized security indicators were able to detect phishing. All participants that did not use indicators could not detect the attack and entered their credentials to a phishing application. We found the difference in the attack detection ratio to be statistically significant. Personalized security indicators can, therefore, help phishing detection in mobile applications and their reputation as an anti-phishing mechanism should be reconsidered. We also propose a novel protocol to setup personalized security indicators under a strong adversarial model and provide details on its performance and usability.

研究の動機と目的

• パーソナライズされたセキュリティインジケータが、モバイルアプリケーションのフィッシング攻撃を検出する上で効果的であるかを評価すること。
• 従来の研究ではWebベースのシナリオに限定されていたが、本研究では実際のモバイル環境においてインジケータをテストすることで、その限界を克服すること。
• マルウェアがデバイスに存在する状況下でも、パーソナライズされたインジケータを安全に設定できるプロトコルを設計・実装すること。
• モバイルプラットフォームにおけるフィッシング防止メカニズムとしてのパーソナライズされたインジケータの評価を再考すること。

提案手法

• モバイルアプリケーションのフィッシング攻撃を分類し、対策を評価。パーソナライズされたインジケータを、導入コストが低い解決策として特定。
• 221名の参加者を対象に、独自のバンキングアプリを用いた大規模なユーザースタディを実施。フィッシング攻撃を模擬した環境で検証。
• 「初めての信頼」の仮定に依存しない新規なセキュアなセットアッププロトコルを設計。マルウェアが存在する状況下でも、安全なインジケータ登録を可能にする。
• Android上でプロトコルを実装し、30名の参加者を対象とした小規模なユーザースタディを通じて、そのパフォーマンスと使いやすさを評価。
• パーソナライズされたインジケータを使用するユーザーと使用しないユーザーの間でのフィッシング検出率を、統計的分析により比較。
• セキュアなセットアッププロトコルをモバイルアプリケーションに統合し、フィッシング攻撃に対する持続的保護を実現。

実験結果

リサーチクエスチョン

• RQ1 パーソナライズされたセキュリティインジケータは、実際の状況下でモバイルアプリケーションのフィッシング攻撃を効果的に検出するのを支援できるか？
• RQ2 パーソナライズされたインジケータを使用するユーザーと使用しないユーザーの間で、フィッシング攻撃の検出行動に差異は生じるか？
• RQ3 マルウェアがデバイスに存在する状況下でも、インジケータ自体のフィッシングを防ぐために、セキュアなセットアッププロトコルを設計できるか？
• RQ4 提案されたセキュアなセットアッププロトコルは、モバイルデバイスにどのような使いやすさとパフォーマンスの影響を及ぼすか？
• RQ5 パーソナライズされたインジケータの有無によって、フィッシング検出率が顕著に向上するか？

主な発見

• 221名の参加者を対象とした大規模ユーザースタディにおいて、パーソナライズされたセキュリティインジケータを使用したユーザーの90％が、フィッシング攻撃を正常に検出できた。
• パーソナライズされたインジケータを使用しなかった全参加者（100％）は、フィッシング攻撃を検出できず、悪意あるアプリケーションに資格情報を入力した。
• インジケータを使用するユーザーと使用しないユーザーの間でのフィッシング検出率の差は、統計的に有意であり、パーソナライズされたインジケータの有効性を裏付けた。
• 提案されたセキュアなセットアッププロトコルにより、マルウェアがデバイスに存在する状況下でも、ユーザーが安全にインジケータを登録できるようになった。これは、「初めての信頼」の仮定を排除した結果である。
• 30名の参加者を対象とした小規模な使いやすさスタディでは、セットアッププロトコルが平均的なモバイルユーザーにとって簡単で使いやすいことが示された。
• 研究結果は、研究コミュニティで広く認識されている「パーソナライズされたセキュリティインジケータはフィッシング検出に無効である」という見解に反するものであった。