[論文レビュー] Unauthorized Cross-App Resource Access on MAC OS X and iOS

Luyi Xing, Xiaolong Bai+6 more|arXiv (Cornell University)|May 26, 2015

Advanced Malware Detection Techniques参考文献 13被引用数 7

ひとこと要約

本論文は、AppleのmacOSおよびiOSプラットフォームにおける深刻なセキュリティ脆弱性を特定し、sandbox化された悪意あるアプリが、キーチェーン、URLスキーム、WebSocket、NSConnectionなどの保護されていないアプリ間メカニズムを通じて、不正なクロスアプリケーションリソースアクセス（XARA）を実行できることを明らかにした。著者らは、アプリ間の相互作用における脆弱な認証メカニズムを悪用することで、パスワード、トークン、プライベートアプリファイルなどの機密ユーザー情報を完全に漏洩させることを実証した。さらに、これらの脆弱性をデプロイ前段階で検出可能な自動スキャナ（Xavus）を提案した。

ABSTRACT

On modern operating systems, applications under the same user are separated from each other, for the purpose of protecting them against malware and compromised programs. Given the complexity of today's OSes, less clear is whether such isolation is effective against different kind of cross-app resource access attacks (called XARA in our research). To better understand the problem, on the less-studied Apple platforms, we conducted a systematic security analysis on MAC OS~X and iOS. Our research leads to the discovery of a series of high-impact security weaknesses, which enable a sandboxed malicious app, approved by the Apple Stores, to gain unauthorized access to other apps' sensitive data. More specifically, we found that the inter-app interaction services, including the keychain, WebSocket and NSConnection on OS~X and URL Scheme on the MAC OS and iOS, can all be exploited by the malware to steal such confidential information as the passwords for iCloud, email and bank, and the secret token of Evernote. Further, the design of the app sandbox on OS~X was found to be vulnerable, exposing an app's private directory to the sandboxed malware that hijacks its Apple Bundle ID. As a result, sensitive user data, like the notes and user contacts under Evernote and photos under WeChat, have all been disclosed. Fundamentally, these problems are caused by the lack of app-to-app and app-to-OS authentications. To better understand their impacts, we developed a scanner that automatically analyzes the binaries of MAC OS and iOS apps to determine whether proper protection is missing in their code. Running it on hundreds of binaries, we confirmed the pervasiveness of the weaknesses among high-impact Apple apps. Since the issues may not be easily fixed, we built a simple program that detects exploit attempts on OS~X, helping protect vulnerable apps before the problems can be fully addressed.

研究の動機と目的

• macOSおよびiOSにおけるアプリ隔離メカニズムが、不正なクロスアプリケーションリソースアクセス（XARA）攻撃に対して効果的であるかどうかを調査すること。
• このような攻撃を可能にするAppleのアプリ間通信およびsandboxメカニズムにおけるセキュリティ上の弱みを特定・分析すること。
• アプリバイナリ内の認証の欠落を検出可能な自動スキャナ（Xavus）を開発すること。
• 高影響度のアプリを対象にテストし、巧妙かつ検知不能な攻撃チェーンを実証することで、これらの脆弱性の実世界への影響を評価すること。
• 将来のOSおよびアプリのセキュリティ設計改善のための知見と緩和策を提供すること。

提案手法

• キーチェーン、WebSocket、NSConnection、URLスキームなどのアプリ間メカニズムの挙動を逆解析・テストするために、macOSおよびiOSのシステム的セキュリティ分析を実施した。
• 高影響度のアプリ（例：Facebook、Evernote、WeChat）を標的としたエンドツーエンドの攻撃チェーンを構築し、資格情報およびプライベートデータへの不正アクセスを実証した。
• macOSおよびiOSのアプリバイナリをスキャンし、アプリ間相互作用における認証の欠落を検出可能な自動バイナリ解析ツールXavusを開発した。
• macOSのBIDベースのsandboxモデルを悪用し、Apple Bundle IDを乗っ取ることで、他のアプリのコンテナディレクトリへの完全アクセスを取得した。
• 両プラットフォームでマンインザミドル（MITM）攻撃を用い、盗み取ったトークンを被害アプリに静かに転送することで、検知を回避した。
• 数百のアプリバイナリを分析することでスキャナの有効性を検証し、脆弱性が広範にわたって存在することを確認した。

実験結果

リサーチクエスチョン

• RQ1 sandbox化された悪意あるアプリは、macOSおよびiOS上で隔離メカニズムを回避し、他のアプリの機密データにアクセスできるか？
• RQ2 Appleのアプリ間通信メカニズム（例：キーチェーン、URLスキーム、WebSocket、NSConnection）は、不正アクセスに対して十分に保護されているか？
• RQ3 AppleのsandboxおよびBundle IDメカニズムは、IDスプーフィングによる特権昇格攻撃に対してどの程度脆弱であるか？
• RQ4 アプリ間およびアプリ-OS間の認証が欠落している場合、広範かつ巧妙なデータ漏洩が発生するおそれがあるか？
• RQ5 実世界のアプリバイナリにおいて、このような脆弱性の自動検出はどの程度有効であるか？

主な発見

• macOSおよびiOSのキーチェーンサービスは、アプリ間アクセス制御における認証が不十分なため、悪意あるアプリによる不正アクセスが可能である。
• macOSおよびiOSにおけるURLスキームの乗っ取り攻撃により、悪意あるアプリが正当なアプリを偽装することで、機密トークン（例：Evernote、iCloud）を盗み取れる。
• macOSにおけるNSConnectionおよびWebSocketメカニズムは、適切な認証チェックが行われないため、クロスアプリケーションデータ漏洩が可能である。
• macOSのBIDベースのsandboxモデルは、悪意あるアプリが他のアプリのBundle IDを乗っ取ることで、そのプライベートコンテナディレクトリへの完全アクセスを取得できる。
• 著者らは、悪意あるアプリをApple App Storeに提出し、正常に承認されたことを確認した。これにより、脆弱性がAppleのレビュー体制を回避できることを実証した。
• スキャナXavusは、数百の高影響度アプリにおいて認証の欠落を検出でき、エコシステム全体に広がるこの脆弱性の深刻さを裏付けた。