[논문 리뷰] A Side-channel Analysis of Sensor Multiplexing for Covert Channels and Application Profiling on Mobile Devices

Carlton Shepherd, Jan Kalbantner외 2명|arXiv (Cornell University)|2021. 10. 12.

Internet Traffic Analysis and Secure E-voting인용 수 4

한 줄 요약

이 논문은 Android의 센서 멀티플렉싱 설계가 비권한 악성 앱이 주파수 키 시프트를 통해 스펙트럼 코어트 채널을 생성하고, 루트 접근 없이도 응용프로그램의 정밀도가 낮은 프로파일링을 수행할 수 있음을 입증한다. 모든 앱이 요청한 최고 샘플링 속도에 따라 센서 데이터를 수신한다는 사실을 악용하여, 공통된 센서의 샘플링 주파수를 조절함으로써 공격자는 표준 센서 API를 사용해 데이터를 전송하거나 앱 동작을 탐지할 수 있으며, 이는 루트 권한 없이도 수백만 대의 기기 영향을 미친다.

ABSTRACT

Mobile devices often distribute measurements from physical sensors to multiple applications using software multiplexing. On Android devices, the highest requested sampling frequency is returned to all applications, even if others request measurements at lower frequencies. In this paper, we comprehensively demonstrate that this design choice exposes practically exploitable side-channels using frequency-key shifting. By carefully modulating sensor sampling frequencies in software, we show how unprivileged malicious applications can construct reliable spectral covert channels that bypass existing security mechanisms. Additionally, we present a novel variant that allows an unprivileged malicious application to profile other active, sensor-enabled applications at a coarse-grained level. Both methods do not impose any special assumptions beyond accessing standard mobile services available to developers. As such, our work reports side-channel vulnerabilities that exploit subtle yet insecure design choices in Android sensor stacks.

연구 동기 및 목표

• Android의 센서 멀티플렉싱 메커니즘이 주파수 변조를 통해 악용 가능한 사이드채널을 생성하는 방식을 조사하는 것.
• 비권한 앱이 센서 샘플링 주파수 이동을 통해 신뢰할 수 있는 스펙트럼 코어트 채널을 구축할 수 있음을 입증하는 것.
• 센서 샘플링 주파수 패턴 기반으로 센서 기반 응용프로그램의 굵은 정도의 프로파일링을 위한 새로운 방법을 개발하는 것.
• 이러한 공격의 타당성과 영향을 다양한 Android 기기와 주요 응용프로그램에서 평가하는 것.
• 기존의 세curit 메커니즘(예: 샌드박스)을 우회하는 Android 센서 스택의 설계 결함을 드러내는 것.

제안 방법

• 송신 및 수신 앱 간 공유된 센서의 샘플링 주파수를 변조하여 데이터를 인코딩하기 위해 주파수 이동 키싱(FSK) 기법을 사용하는 것.
• Android 센서 SDK를 활용해 다양한 샘플링 속도로 센서 데이터를 요청하며, 여기서 최고로 요청된 속도가 모든 앱에 적용되는 방식.
• 수신 앱에서 저주파수 캐리어 신호를 설정하고, 송신 앱이 요청 속도를 조절함으로써 발생하는 주파수 이동을 탐지하는 것.
• 피해 앱이 더 높은 주파수로 센서 데이터 요청을 시작할 때 발생하는 센서 데이터 스트림의 스펙트럼 변화를 모니터링하는 것.
• 표준 샘플링 속도 상수(예: SENSOR_DELAY_GAME, SENSOR_DELAY_UI) 기반으로 250개의 상위 Android 앱을 대상으로 대규모 분석을 수행해 센서 사용 패턴을 탐지하고 분류하는 것.
• 루트 또는 커널 접근 없이도 표준 Android 센서 API만을 사용해 개념 증명 공격을 구현하는 것.

실험 결과

연구 질문

• RQ1 비권한 Android 애플리케이션은 센서 멀티플렉싱을 악용해 신뢰할 수 있는 스펙트럼 코어트 채널을 구축하여 프로세스 간 통신을 수행할 수 있는가?
• RQ2 센서 샘플링 주파수 패턴을 얼마나 정밀하게 다른 활성 센서 기반 애플리케이션의 동작을 프로파일링하는 데 활용할 수 있는가?
• RQ3 실제 Android 애플리케이션에서 감지 가능한 센서 샘플링 주파수 패턴은 얼마나 널리 퍼져 있는가, 특히 상위 순위 앱들 사이에서?
• RQ4 기존 Android 보안 메커니즘(예: Android 9에 도입된 것 포함)은 왜 이러한 사이드채널 공격을 방지하지 못하는가?
• RQ5 이러한 사이드채널은 모바일 애플리케이션 보안과 사용자 프라이버시에 어떤 영향을 미치는가?

주요 결과

• 저자들은 주요 OEM의 여러 Android 기기에서 스펙트럼 코어트 채널을 성공적으로 구현하여, 표준 센서 API를 사용해 비권한 앱 간 데이터 전송을 가능하게 했다.
• 센서와 기기의 종류에 따라 최대 100 bps의 전송 속도를 달성했으며, 오류율이 낮고, 임의의 비트 스트링 및 저해상도 이미지를 전송할 수 있었다.
• 상위 250개 애플리케이션 중 22.8%인 57개가 감지 가능한 센서 샘플링 주파수를 사용하여, 이 사이드채널을 통해 프로파일링 공격에 취약한 상태였다.
• 앱에서 사용하는 특정 센서 샘플링 상수(예: SENSOR_DELAY_GAME, SENSOR_DELAY_UI)를 고정밀도로 감지할 수 있었으며, 거의 실시간 지연 시간을 가졌다.
• 기존의 보안 제어(예: 앱 샌드박스)를 우회하며, 루트 접근이나 커널 수준의 특권이 필요하지 않았다.
• Android 9에서 연속 센서의 장시간 풀링을 제한하려는 노력에도 불구하고, 센서 멀티플렉싱의 근본적인 설계 탓에 제안된 사이드채널 기법은 여전히 효과가 있었다.