[論文レビュー] Soteria: Automated IoT Safety and Security Analysis

Z. Berkay Celik, Patrick McDaniel+1 more|arXiv (Cornell University)|May 22, 2018

Advanced Malware Detection Techniques参考文献 29被引用数 131

ひとこと要約

Soteriaは、IoTアプリのコードを中間表現に翻訳し、状態モデルを導出し、モデル検査を用いてIoT環境の安全性・セキュリティ・機能性の特性を検証する静的解析システムです。

ABSTRACT

Broadly defined as the Internet of Things (IoT), the growth of commodity devices that integrate physical processes with digital systems have changed the way we live, play and work. Yet existing IoT platforms cannot evaluate whether an IoT app or environment is safe, secure, and operates correctly. In this paper, we present Soteria, a static analysis system for validating whether an IoT app or IoT environment (collection of apps working in concert) adheres to identified safety, security, and functional properties. Soteria operates in three phases; (a) translation of platform-specific IoT source code into an intermediate representation (IR), (b) extracting a state model from the IR, (c) applying model checking to verify desired properties. We evaluate Soteria on 65 SmartThings market apps through 35 properties and find nine (14%) individual apps violate ten (29%) properties. Further, our study of combined app environments uncovered eleven property violations not exhibited in the isolated apps. Lastly, we demonstrate Soteria on MalIoT, a novel open-source test suite containing 17 apps with 20 unique violations.

研究の動機と目的

• IoT環境とアプリにおける形式的な安全性とセキュリティ検証の必要性を動機づける。
• 識別された安全性・セキュリティ・機能特性に対してIoTアプリと環境を検証する自動化パイプラインを開発する。
• IoTエコシステムに適応可能なプラットフォームに依存しないIRベースのアプローチを提供する（SmartThingsで実例を示す）。
• 実際のアプリと新規のテストコーパスを用いてシステムを実証し、特性違反と相互作用を明らかにする。
• IoT展開環境でのスケーラブルな特性主導の検証の基礎を築く。

提案手法

• 権限・イベント/アクション・呼び出しグラフを捕捉する、プラットフォームに依存しない中間表現（IR）へ、プラットフォーム固有のIoTソースコードを翻訳する。
• IRから、デバイス属性を状態として、イベント駆動の遷移を状態変化として符号化する状態モデルを抽出する。
• 一般的な特性とアプリ固有の特性を含む、IoT固有の安全性とセキュリティの特性を、時相論理に着想を得た定式化を用いて定義する。
• 個々のアプリと相互作用するアプリ環境に対して、状態モデルが識別された特性を満たすかどうかを検証するためにモデル検査を適用する。
• プラットフォーム固有の癖（例：SmartThings Groovy、リフレクション、外部ストレージ）に対して、特化したIR構築と分析手法で対処する。
• 特性の抽象化と経路感度のシンボリック実行を組み込み、状態爆発を抑制し精度を保持する。

実験結果

リサーチクエスチョン

• RQ1 IoTアプリと環境を安全性・セキュリティ・機能的特性に対して厳密に検証するにはどうすればよいか？
• RQ2 静的でIRベースのアプローチは、IoTのライフサイクルとイベント駆動の動作をモデル検査のために効果的にモデル化できるか？
• RQ3 孤立したアプリと結合したアプリ環境で発生する特性違反にはどのような種類があるか？
• RQ4 検証のために本質的な挙動を失うことなく、数値値を持つデバイス属性や条件付き遷移をどのように抽象化できるか？
• RQ5 IoT特化のテストコーパス（MalIoT）が自動分析ツールの検証にどの程度有用か？

主な発見

• Soteriaは65アプリ（公式SmartThingsリポジトリからの35件とコミュニティアプリ30件）を分析し、35の特性に及び、9アプリが10件の特性を違反していると報告する。
• 環境レベルの分析は、孤立したアプリには現れない11件の特性違反を明らかにする。
• SoteriaはMalIoT（17アプリ、20件の固有の違反を含むテストスイート）で有効性を示す。
• 遷移を護る述語と経路感度分析を組み込むことで、厳密な状態モデル化と偽陽性の低減を実現する。
• SmartThings固有の課題（Groovy、リフレクション、外部ストレージ）はIRと状態抽出パイプラインで対処される。
• 評価は、単一アプリの研究では見逃しがちな、アプリ間相互作用による顕著な効果を示している。