[論文レビュー] PINPOINT: Efficient and Effective Resource Isolation for Mobile Security and Privacy

E. Paul Ratazzi, Ashok Bommisetti+2 more|arXiv (Cornell University)|Jan 1, 2015

Security and Verification in Computing被引用数 3

ひとこと要約

PINPOINT は、Android フレームワーク内で Linux ナイフスを活用することで、特定のシステムサービスのための細粒度のセキュリティおよびプライバシー保護を実現する、標的型でブロック型のリソース隔離手法を提案する。敏感なリソースに近い文脈的隔離ポイントに焦点を当てることで、変更のない第3者アプリが透明に相互運用可能となり、汎用仮想化ソリューションに伴う性能および複雑さのトレードオフを回避する。

ABSTRACT

Virtualization is frequently used to isolate untrusted processes and control their access to sensitive resources. However, isolation usually carries a price in terms of less resource sharing and reduced inter-process communication. In an open architecture such as Android, this price and its impact on performance, usability, and transparency must be carefully considered. Although previous efforts in developing general-purpose isolation solutions have shown that some of these negative side effects can be mitigated, doing so involves overcoming significant design challenges by incorporating numerous additional platform complexities not directly related to improved security. Thus, the general purpose solutions become inefficient and burdensome if the end-user has only specific security goals. In this paper, we present PINPOINT, a resource isolation strategy that forgoes general-purpose solutions in favor of a building block approach that addresses specific end-user security goals. PINPOINT embodies the concept of Linux Namespace lightweight isolation, but does so in the Android Framework by guiding the security designer towards isolation points that are contextually close to the resource(s) that need to be isolated. This strategy allows the rest of the Framework to function fully as intended, transparently. We demonstrate our strategy with a case study on Android System Services, and show four applications of PINPOINTed system services functioning with unmodified market apps. Our evaluation results show that practical security and privacy advantages can be gained using our approach, without inducing the problematic side-effects that other general-purpose designs must address.

研究の動機と目的

• モバイルセキュリティにおける汎用仮想化の根本的なパフォーマンスおよび使いやすさのトレードオフを解消すること。
• 特定のセキュリティ目標に適合しないモノリシックな隔離ソリューションの複雑さと非効率性を克服すること。
• 既存の市場向けアプリを変更せずに、感度の高い Android システムサービスの安全な隔離を可能にすること。
• 広範囲の仮想化とは対照的に、文脈的に関連する隔離ポイントに焦点を当てることで、透明で効率的かつ実用的な代替手段を提供すること。
• 標的型隔離が、一般用途のアプローチで一般的に見られる副作用を伴わずに、強力なセキュリティおよびプライバシー上の利点を達成できることを示すこと。

提案手法

• 特定のセキュリティ目標に必要なリソースまたはサービスのみを隔離するブロック型設計の哲学を採用すること。
• Linux ナイフスを基盤の隔離プリミティブとして採用し、Android フレームワークの文脈に適応させること。
• セキュリティ設計者が、ターゲットリソースに意味的および文脈的に近い隔離ポイントを選択できるように導くこと。
• 隔離ロジックを Android フレームワークに直接統合し、既存の変更のないアプリとの完全な互換性を維持すること。
• Android システムの残りの部分が、アプリケーションの動作を変更することなく通常通りに動作し、透明に保たれることを保証すること。
• Android システムサービスを事例として採用し、実世界の生産環境に近い環境でアプローチの有効性を検証すること。

実験結果

リサーチクエスチョン

• RQ1 標的型で汎用的でない隔離戦略は、Android において顕著なパフォーマンスまたは使いやすさのオーバーヘッドを伴わずに、強力なセキュリティおよびプライバシーの保証を達成できるか？
• RQ2 Linux ナイフスに基づく隔離は、Android フレームワーク内で特定のシステムサービスを保護するためにどの程度適応可能か？
• RQ3 変更のない第3者アプリは、PINPOINT で保護されたシステムサービスとどの程度の相互運用性を確保できるか？
• RQ4 このアプローチは、一般用途の仮想化ソリューションに通常伴う複雑さとパフォーマンスの低下を回避できるか？
• RQ5 ユーザーに対して透明であり、開発者が保守可能な方法で隔離を適用できるか？

主な発見

• PINPOINT は、文脈的に近い隔離ポイントを用いることで、Android システムサービスを効果的に隔離し、既存のアプリを変更せずに安全に動作可能にする。
• 攻撃面を制限し、リソースアクセスを細粒度で制御することで、実用的なセキュリティおよびプライバシーの向上を達成する。
• 変更のない市場向けアプリが PINPOINT で保護されたシステムサービスと正しく動作することを確認し、透明性と後方互換性を実証した。
• 一般的な汎用仮想化技術で見られるパフォーランスの低下やアーキテクチャの肥大化を回避する。
• 評価により、隔離メカニズムが最小限のランタイムオーバーヘッドしか負荷としないことが確認され、実世界での導入に適していることが示された。
• ブロック型アプローチにより、システム全体の変更ではなく、特定の高価値のターゲットに焦点を当てることで、スケーラブルかつ保守可能なセキュリティ強化が可能になる。