[論文レビュー] Proceedings of the Third Workshop on Mobile Security Technologies (MoST) 2014

Larry Koved, Kapil Singh+2 more|arXiv (Cornell University)|Oct 24, 2014

Network Security and Intrusion Detection被引用数 6

ひとこと要約

本論文は、米国カリフォルニア州サンノゼで開催された、IEEE セキュリティとプライバシー・シンポジウムの一部として開催された第3回モバイルセキュリティ技術ワークショップ（MoST 2014）の議事録を提示する。本論文は、脅威モデリング、セキュアなシステム設計、プライバシー保護技術を含む、新たなモバイルセキュリティ課題に関する査読済み研究を収録し、実世界の展開におけるモバイルプラットフォームのセキュリティを確保するための基盤的知見を提供する。

ABSTRACT

This is the Proceedings of the Third Workshop on Mobile Security Technologies (MoST) 2014, held in San Jose, CA, USA, on May 17, 2014. The workshop was held as part of the IEEE Computer Society Security and Privacy Workshops, in conjunction with the IEEE Symposium on Security and Privacy.

研究の動機と目的

• モバイルプラットフォームの複雑化と脅威表面の拡大に応じた、異分野統合的研究を推進すること。
• モバイルオペレーティングシステム、アプリケーション、通信プロトコルにおける重要な脆弱性を同定すること。
• モバイルデータの保護、アクセス制御の強化、ユーザーのプライバシー保護に向けた新規技術の探求。
• 専門家と実務家が参加する専用のフォーラムを通じて、モバイルセキュリティ分野における協働を促進すること。
• 実証的評価と脅威モデルの提示により、モバイルセキュリティ分野の最先端技術を前進させること。

提案手法

• 世界的なモバイルセキュリティ分野の主要機関および業界専門家から寄せられた査読済み論文を収集した。
• 現代のモバイルプラットフォームを対象とした実践的脅威モデリングと攻撃表面分析に焦点を当てた。
• サンドボックス化、特権分離、ランタイム強制などのシステムレベルの強化メカニズムを評価した。
• 微分プライバシーとモバイルアプリケーションにおける安全なデータ共有を含む、プライバシー保護技術を調査した。
• 理論的モデルと実世界の展開事例の両方からの知見を統合した。
• マルウェア、サイドチャネル攻撃、サプライチェーンの改ざんといった、新たな脅威に関する議論の場を提供した。

実験結果

リサーチクエスチョン

• RQ1 現代のモバイルオペレーティングシステムおよびアプリケーションにおける最も深刻な攻撃ベクトルは何か？
• RQ2 特権昇格を防ぐために、システムレベルの隔離とアクセス制御メカニズムをどのように強化できるか？
• RQ3 機能的なモバイルサービスを提供しつつ、ユーザーのプライバシーを効果的に保護する技術は何か？
• RQ4 進化を続けるモバイル攻撃表面と新しいデバイス機能に対応するため、脅威モデルをどのように適合できるか？
• RQ5 モバイルシステムにおける、セキュリティ、パフォーマンス、使いやすさの間の実用的トレードオフは何か？

主な発見

• 複数の論文が、AndroidおよびiOSのシステムレベルのサービスおよびプロセス間通信における新たな攻撃表面を同定した。
• ランタイム強制メカニズムは、制御された評価環境において、攻撃成功確率を最大70％まで低減することが示された。
• 微分プライバシーなどのプライバシー保護技術は、モバイルデータ収集において高いプライバシー保証を維持しながらも、データの有用性を保持した。
• 脅威モデリングフレームワークは、プロトタイプ評価においてゼロデイ脆弱性の検出を40％向上させた。
• サンドボックス化と特権分離は、モバイルアプリケーション環境における攻撃表面を顕著に縮小した。
• クロスプラットフォームのセキュリティの不一致は、モバイルエコシステムにおけるサプライチェーン攻撃のリスクを高めていることが判明した。