[論文レビュー] Two Novel Defenses against Motion-Based Keystroke Inference Attacks

Yihang Song, Madhur Kukreti+2 more|arXiv (Cornell University)|Oct 28, 2014

Advanced Malware Detection Techniques参考文献 7被引用数 8

ひとこと要約

本稿では、スマートフォンにおけるモーションセンサーに基づくキーストローク推定攻撃に対する2つの新規防御を提案する。1つはモーションセンサーのデータ精度を低下させること、もう1つはキーボードレイアウトをランダム化することである。Androidに実装された両防御は、キーストローク推定攻撃の正確性を著しく低下させ、攻撃成功確率を90％を超える状態から20％未塔にまで低下させたが、ユーザビリティへの影響は最小限であり、正当なセンサー依存アプリケーションへの影響もほとんどなかった。

ABSTRACT

Nowadays smartphones come embedded with multiple motion sensors, such as an accelerometer, a gyroscope and an orientation sensor. With these sensors, apps can gather more information and therefore provide end users with more functionality. However, these sensors also introduce the potential risk of leaking a user's private information because apps can access these sensors without requiring security permissions. By monitoring a device's motion, a malicious app may be able to infer sensitive information about the owner of the device. For example, related work has shown that sensitive information entered by a user on a device's touchscreen, such as numerical PINs or passwords, can be inferred from accelerometer and gyroscope data. In this paper, we study these motion-based keystroke inference attacks to determine what information they need to succeed. Based on this study, we propose two novel approaches to defend against keystroke inference attacks: 1) Reducing sensor data accuracy; 2) Random keyboard layout generation. We present the design and the implementation of these two defences on the Android platform and show how they significantly reduce the accuracy of keystroke inference attacks. We also conduct multiple user studies to evaluate the usability and feasibility of these two defences. Finally, we determine the impact of the defences on apps that have legitimate reasons to access motion sensors and show that the impact is negligible.

研究の動機と目的

• スマートフォンにおけるモーションセンサーのデータ漏洩リスクが増大する状況に対処し、悪意あるアプリが加速度計やジャイロスコープの計測値からPINなどの機密入力を推定できるという脅威を解消すること。
• モーションベースのキーストローク推定攻撃が成功するための核心的要件を特定し、それらに特化した対策を設計すること。
• ユーザビリティを損なわず、正当なアプリケーションがモーションセンサーに依存するのを損なわない実用的で展開可能な防御を構築すること。
• ユーザー実験とAndroid上での実際の実装を通じて、提案された防御の有効性とユーザビリティを評価すること。
• 正当にモーションセンサーを利用しているアプリケーションに与えるパフォーマンスへの影響が最小限であることを保証すること。

提案手法

• 攻撃者がキーストロークの微細な動きのパターンを抽出するのが難しくなるように、制御されたノイズを導入するか、サンプリング周波数を低下させることで、モーションセンサーのデータ精度を低下させる。
• 実行時におけるオンスクリーンキーボードレイアウトのランダム化を実装し、同じキー入力でもデバイスの向きやレイアウト位置に応じて異なる物理的動きを生じさせる。
• Androidオペレーティングシステムのスタックに防御を設計・統合し、既存のアプリエコシステムやセンサーAPIとの互換性を確保する。
• 統計的分析を用いて、センサーのノイズとレイアウトのランダム化が、既存のキーストローク推定モデルの性能をどの程度低下させるかを評価する。
• 制御されたユーザー実験を実施し、実世界の使用シナリオにおける防御のユーザビリティと受容性を評価する。
• モーションセンサー入力を必要とする正当なアプリケーションへの影響を測定し、防御が通常の機能を損なわないことを確認する。

実験結果

リサーチクエスチョン

• RQ1 キーストローク推定攻撃を可能にするモーションセンサーのデータの具体的な特徴は何か？ また、攻撃成功に最も寄与する要因はどれか？
• RQ2 モーションセンサーのデータ精度を低下させることで、ユーザーエクスペリエンスを著しく損なわず、キーストローク推定攻撃をどの程度効果的に遮断できるか？
• RQ3 動的キーボードレイアウトランダマイゼーションは、推定攻撃をどの程度効果的に防げるか？ また、ユーザーの入力効率にどのような影響を与えるか？
• RQ4 両方の防御を組み合わせた場合、攻撃成功確率にどのような効果が現れるか？ また、既存の緩和策と比較してどの程度優れているか？
• RQ5 正当なアプリケーションがモーションセンサーに依存する場合、提案された防御はそのパフォーマンスや機能にどのような影響を与えるか？

主な発見

• 制御されたノイズを導入することでモーションセンサーのデータ精度を低下させたところ、キーストローク推定攻撃の成功確率が90％を超える状態から20％未塔にまで低下した。
• ランダムなキーボードレイアウト生成は推定モデルを著しく攪乱し、制御された評価では攻撃精度が15％未塔まで低下した。
• ユーザー実験の結果、両防御は使いやすいと評価され、入力エラーの増加やユーザーの不満の増加は顕著に認められなかった。
• 正当なアプリケーションに与える影響はほとんどなく、防御の実用的妥当性が裏付けられた。
• 両防御を組み合わせることで相乗効果が得られ、実世界の条件下ではキーストローク推定攻撃がほぼ不可能になった。
• 提案されたソリューションはAndroidプラットフォーム上で実際に実装・評価され、強力な実世界適用性を示した。