[論文レビュー] Sensitive Information Tracking in Commodity IoT

Z. Berkay Celik, Leonardo Babun+5 more|arXiv (Cornell University)|Feb 22, 2018

Advanced Malware Detection Techniques参考文献 22被引用数 29

ひとこと要約

SainT は、プラットフォーム固有のコードを中間表現（IR）に変換し、デバイスの状態やユーザー入力などのセンシティブなソースからのデータフローを、ネットワーク接続やメッセージングサービスなどの外部シンクまで追跡することで、コンsumer IoTアプリケーションにおける機微なデータフローを特定する静的タウンティング解析ツールである。230個のSmartThingsアプリを対象に評価した結果、60％のアプリで機微なデータフローが検出され、実世界のIoTエコシステムにおけるプライバシーリスクを明らかにする有効性が示された。

ABSTRACT

Broadly defined as the Internet of Things (IoT), the growth of commodity devices that integrate physical processes with digital connectivity has had profound effects on society--smart homes, personal monitoring devices, enhanced manufacturing and other IoT apps have changed the way we live, play, and work. Yet extant IoT platforms provide few means of evaluating the use (and potential avenues for misuse) of sensitive information. Thus, consumers and organizations have little information to assess the security and privacy risks these devices present. In this paper, we present SainT, a static taint analysis tool for IoT applications. SainT operates in three phases; (a) translation of platform-specific IoT source code into an intermediate representation (IR), (b) identifying sensitive sources and sinks, and (c) performing static analysis to identify sensitive data flows. We evaluate SainT on 230 SmartThings market apps and find 138 (60%) include sensitive data flows. In addition, we demonstrate SainT on IoTBench, a novel open-source test suite containing 19 apps with 27 unique data leaks. Through this effort, we introduce a rigorously grounded framework for evaluating the use of sensitive information in IoT apps---and therein provide developers, markets, and consumers a means of identifying potential threats to security and privacy.

研究の動機と目的

• コンsumer IoTアプリケーションにおけるプライバシーリスク、特に機微なデータフローに関して、分析ツールの不足に取り組むこと。
• センサの状態やネットワーク接続といった、既存のツールがしばしば見過ごす、IoT固有のタウンティングソースおよびシンクを特定・モデル化すること。
• イベント駆動型実行、状態変数、リフレクションといったIoT固有のプログラミング構造を処理できる、高精度な静的解析フレームワークを開発すること。
• 実世界のIoTアプリ市場およびプライバシー漏洩検出のための新規オープンソーステストスイートであるIoTBenchを用いた、ツールの有効性を評価すること。
• 開発者、アプリマーケット、ユーザーが、IoTアプリケーションにおけるセキュリティおよびプライバシー脅威を評価・軽減するための実用的手段を提供すること。

提案手法

• アプリケーションのソースコードを、エントリポイント、ユーザー入力、イベント、アクションを含むアプリライフサイクルをモデル化する、プラットフォームに依存しない中間表現（IR）に変換すること。
• SmartThings、OpenHAB、HomeKit などのIoTプラットフォームの包括的分析に基づき、機微なソース（例：デバイス状態、ユーザーの位置）およびシンク（例：ネットワークコール、SMS）を特定すること。
• IR上で静的タウンティング解析を実行し、機微なソースから外部出力への情報フローを追跡する。非同期イベント処理およびリフレクションのサポートを含む。
• 情報フローに関係のないコードを抽象化することで、解析の精度とパフォーマンスを向上させること。
• 230個のSmartThingsアプリを対象とした市場全体の調査と、19個のアプリに27件の既知の漏洩が含まれる新規オープンソースコロナであるIoTBenchを用いた、ツールの検証。
• IoTアプリケーションにおけるステート変数やイベント駆動型プログラミングモデルといった、プラットフォーム固有のイディオムを分析に統合すること。

実験結果

リサーチクエスチョン

• RQ1 既存のIoTアプリマーケットは、ネットワークやメッセージングチャネルを通じて、どれほど多くの機微なデータを露出しているのか？
• RQ2 既存のモバイル指向ツールと比較して、静的タウンティング解析アプローチは、IoTアプリケーションにおける機微なデータフローの検出においてどれほど有効なのか？
• RQ3 プラットフォームおよび言語に依存する静的解析ツールは、実世界のIoTアプリケーションにおいて、既知のほかに新しいデータ漏洩パターンを正確に特定できるのか？
• RQ4 IoTアプリケーションにおける機微なデータフローの一般的なパターンは何か？また、公的承認済みアプリとサードパーティアプリではどのように異なるのか？
• RQ5 IoTBench のような標準化されたオープンテストスイートを用いて、IoTプライバシー解析ツールの精度と再現率を検証およびベンチマーク化できるか？

主な発見

• 評価対象の230個のSmartThingsアプリのうち138個（60％）でSainTが機微なデータフローを検出しており、プライベートデータの広範な露出を示している。
• 168個の公式承認済みアプリのうち92個（55％）が、インターネットまたはメッセージングサービスを通じて少なくとも1つの機微なデータ項目を送信していることが判明した。
• 62個のサードパーティアプリのうち46個（74％）が機微なデータを露出しており、承認プロセスがプライバシーリスクを十分に検出できていない可能性を示唆している。
• 市場調査において、半数のアプリが少なくとも3つの異なる機微なデータソースを送信しており、2/3のアプリが最大2つの異なる外部シンクを使用していた。
• IoTBenchコロナでは、SainTが27件のうち25件（92.6％）の固有のデータ漏洩を正しく特定した。これは、制御されたテスト環境における高い精度と再現率を示している。
• 調査では、多くのアプリがユーザーの承認なしに、リモートURL やコンタクトリストといった一般的なチャネルを通じて機微な情報を漏洩させていることが判明した。