[論文レビュー] Quire: Lightweight Provenance for Smart Phone Operating Systems

Michael Dietz, Shashi Shekhar+3 more|arXiv (Cornell University)|Feb 11, 2011

Advanced Malware Detection Techniques参考文献 37被引用数 267

ひとこと要約

Quireは、Androidにおける軽量なプロヴァンス追跡および暗号署名を導入することで、プロセス間通信（IPC）およびリモートプロシージャコール（RPC）における信頼性を向上させる。IPCコールチェーンを注釈化し、OSが検証するメッセージ認証コード（MAC）を有効化することで、リモートシステムがアプリの振る舞いを検証し、スプーフィングを防げる。セキュア広告およびマイクロペイメントのユースケースで実証され、性能への影響は最小限に抑えられている。

ABSTRACT

Smartphone apps often run with full privileges to access the network and sensitive local resources, making it difficult for remote systems to have any trust in the provenance of network connections they receive. Even within the phone, different apps with different privileges can communicate with one another, allowing one app to trick another into improperly exercising its privileges (a Confused Deputy attack). In Quire, we engineered two new security mechanisms into Android to address these issues. First, we track the call chain of IPCs, allowing an app the choice of operating with the diminished privileges of its callers or to act explicitly on its own behalf. Second, a lightweight signature scheme allows any app to create a signed statement that can be verified anywhere inside the phone. Both of these mechanisms are reflected in network RPCs, allowing remote systems visibility into the state of the phone when an RPC is made. We demonstrate the usefulness of Quire with two example applications. We built an advertising service, running distinctly from the app which wants to display ads, which can validate clicks passed to it from its host. We also built a payment service, allowing an app to issue a request which the payment service validates with the user. An app cannot not forge a payment request by directly connecting to the remote server, nor can the local payment service tamper with the request.

研究の動機と目的

• スマートフォンアプリ間の信頼性の欠如、特に悪意あるまたは改ざんされたアプリが要求を偽装したり、特権を操作したりする可能性があるIPCおよびリモートRPCの文脈において、信頼性を向上させること。
• アプリが受信するIPCリクエストの真正の出所およびコールチェーンを検証できるようにすることで、Confused Deputy攻撃を防止すること。
• OSが検証する署名を用いて、リモートサーバーがスマートフォンから送信されるデータのプロヴァンスおよび整合性を検証できること。
• 信頼できる第三者に依存せずに、広告クリック検証やマイクロペイメントなど、偽造不能なアプリケーションを実現すること。
• 既存のアプリと互換性があり、細かく制御可能な信頼モデルを実現できる、低コストで後方互換性のあるAndroid拡張機能を提供すること。

提案手法

• QuireはAndroidのBinder IPCメカニズムを拡張し、すべてのIPCコールに完全なコールチェーンを自動的に注釈化することで、受信者がリクエストの出自を検査できるようにする。
• OSが管理する軽量なメッセージ認証コード（MAC）方式を導入し、アプリは信頼できるOSサービスと共有された鍵を用いてデータに署名できる。
• OSは、プロヴァンス証明（例：発信者ID、コールチェーン）をネットワークRPCに埋め込み、リモートでの出所および意図の検証を可能にする。
• 信頼できるOSサービスを介してMACの生成および検証が行われ、正当なアプリのみが有効な署名を生成できることを保証する。
• アプリはこれらのメカニズムを用いて、広告クリックや支払いリクエストのような偽造不能なステートメントを生成でき、リモートサーバーが暗号的に検証できる。
• 設計はAndroidへの後方互換性のある拡張機能として実装されており、既存アプリとQuire対応サービスが変更なしに共存可能である。

実験結果

リサーチクエスチョン

• RQ1 スマートフォンOSにおけるIPCおよびRPCの信頼できるプロヴァンスを提供する、軽量でOS統合されたメカニズムは実現可能か？
• RQ2 モバイルプラットフォーム上で、最小限の性能的影響でプロヴァンス追跡を実装できるか？
• RQ3 プロセス間データの暗号署名により、Confused Deputyやクリック詐欺といった一般的な攻撃を防げるか？
• RQ4 Quireのメカニズムは、モバイルアプリケーションにおける安全で分散型の信頼モデルをどの程度実現できるか？
• RQ5 Quireのアーキテクチャは、セキュア広告やマイクロペイメントシステムといった実世界のユースケースをサポートできるか？

主な発見

• Quireは、マイクロベンチマークの結果から、AndroidのBinder IPCを完全なコールチェーンプロヴァンスを含める形で拡張でき、性能への影響は最小限に抑えられている。
• システムにより、OSが署名したMACを用いてリモートサーバーがRPCの出所および整合性を暗号的に検証でき、偽装を防止できる。
• 広告ユースケースでは、別個の広告サービスが、暗号的保証を用いてクリックを検証でき、ホストアプリによるスプーフィングが不可能になる。
• マイクロペイメントでは、信頼できる支払いエージェントがユーザー承認リクエストを検証でき、不正取引を防げる。
• 実装はほとんど無視できるほどのオーバーヘッドであり、性能測定結果からQuireの拡張機能が実世界での展開に実用的であることが示された。
• Quireの設計は後方互換性があり、既存のAndroidアプリが変更なしにQuire対応サービスと相互運用可能である。