[論文レビュー] Pitfalls in Designing Zero-Effort Deauthentication: Opportunistic Human Observation Attacks

Otto Huhta, Prakash Shrestha+4 more|arXiv (Cornell University)|May 21, 2015

User Authentication and Security Systems参考文献 26被引用数 4

ひとこと要約

この論文は、ユーザーの存在を検出するためにウェアラブルセンサデータを使用し、活動が停止すると自動でログアウトするゼロエフォートのデアセスティケーション方式ZEBRAに深刻な設計上の欠陥を特定する。著者らは、近くの端末でキーボード操作の模倣のみで、機会的で人間の攻撃者がZEBRAを回避できることを示している。これは、元の設計で想定されていた単純な攻撃法よりもはるかに簡単かつ効果的な攻撃であり、現実の脅威モデルにおいてこの方式のセキュリティを損なうものである。

ABSTRACT

Deauthentication is an important component of any authentication system. The widespread use of computing devices in daily life has underscored the need for zero-effort deauthentication schemes. However, the quest for eliminating user effort may lead to hidden security flaws in the authentication schemes. As a case in point, we investigate a prominent zero-effort deauthentication scheme, called ZEBRA, which provides an interesting and a useful solution to a difficult problem as demonstrated in the original paper. We identify a subtle incorrect assumption in its adversary model that leads to a fundamental design flaw. We exploit this to break the scheme with a class of attacks that are much easier for a human to perform in a realistic adversary model, compared to the naïve attacks studied in the ZEBRA paper. For example, one of our main attacks, where the human attacker has to opportunistically mimic only the victim's keyboard typing activity at a nearby terminal, is significantly more successful compared to the naïve attack that requires mimicking keyboard and mouse activities as well as keyboard-mouse movements. Further, by understanding the design flaws in ZEBRA as cases of tainted input, we show that we can draw on well-understood design principles to improve ZEBRA's security.

研究の動機と目的

• ZEBRAのようなゼロエフォートの双方向デアセスティケーション方式の背後にあるセキュリティ仮定を分析すること。
• ZEBRAの敵対者モデルに隠れた設計仮定が存在し、人間の攻撃者の能力を過小評価していることを特定・利用すること。
• 最小限の努力で部分的なユーザー行動のみを標的にする機会的で人間による攻撃が、元のZEBRA評価で想定された単純な攻撃と比較してはるかに効果的であることを実証すること。
• ZEBRAの根本的な脆弱性が、センサ入力を汚染されていないものと仮定していることに起因し、入力検証の脆弱性を生じさせることを示すこと。
• 汚染された入力モデルに基づく設計原則を提示し、使いやすさを損なわせずにZEBRAや類似方式のセキュリティを強化すること。

提案手法

• リアルタイムでのセンサおよび端末イベントストリーム処理を可能にするために、ZEBRAのエンドツーエンド実装を構築し、実世界の攻撃シナリオのテストを可能にした。
• 攻撃者が被害者のキーボード操作を観察し、近くの端末でキーボードイベントのみを模倣するという、新しいクラスの機会的で人間による攻撃を設計・実行した。
• 元のZEBRA論文で想定された「単純な」攻撃モデル（キーボードとマウスの両方を模倣する必要がある）と比較して、この機会的攻撃の成功率を評価した。
• タイミングや行動の類似度メトリクスを含む現実的な条件下での攻撃成功確率を統計的分析により評価した。
• ZEBRAの設計欠陥を汚染された入力問題として再定式化し、ソフトウェア工学の既知の原則を応用して緩和戦略を提案した。
• 無害（偶然の）および悪意ある敵対者に対するZEBRAの耐性を評価し、意図されたと実際の脅威モデルの間のギャップを浮き彫りにした。

実験結果

リサーチクエスチョン

• RQ1 ゼロエフォートのデアセスティケーションシステムにおいて、敵対者がユーザー行動を観察または模倣できないと仮定する場合、どのようなセキュリティ的影響が生じるか？
• RQ2 ZEBRAにおいて、キーボードとマウスの両方の行動を模倣する必要がある「単純な」攻撃と比較して、機会的で人間による攻撃の成功率はどの程度高いか？
• RQ3 ZEBRAの設計仮定としての入力整合性の誤りが、どのように利用可能な脆弱性を生じさせるか？
• RQ4 汚染された入力モデルからの設計原則を、ゼロエフォートの双方向認証方式のセキュリティ向上に応用できるか？
• RQ5 元の敵対者モデルが攻撃者の能力を過小評価している場合、ZEBRAは現実の敵対者に対してどの程度安全に保たれるか？

主な発見

• 近くの端末で被害者のキーボード操作のみを模倣する機会的で人間の攻撃者が、元のZEBRA論文で想定された「単純な」攻撃モデルよりもはるかに高い成功確率でZEBRAを破ることができる。
• 機会的攻撃の成功率は統計的に単純な攻撃を上回っており、元の敵対者モデルが現実的でないほど制限的であり、セキュリティの過大評価を引き起こしていることが示された。
• ZEBRAの根本的欠陥は、センサ入力が汚染されていないと誤って仮定していることに起因し、行動スプーフィングによる操作が可能になる。
• ZEBRAは無害なユーザーによる偶然の誤操作に対しては耐性を示すが、意図的で機会的な敵対者に対しては失敗する。
• 脆弱性は実装上の欠陥によるものではなく、人間の攻撃者が部分的な行動模倣を活用できる能力を過小評価している誤った脅威モデルに起因する。
• ZEBRAの設計に汚染された入力の原則を適用することで、セキュアで使いやすいデアセスティケーション方式を実現でき、ゼロエフォートの特性を保ちつつ現実の敵対行動に耐性を持つようになる。