[논문 리뷰] A Systematic Security Evaluation of Android's Multi-User Framework

E. Paul Ratazzi, Yousra Aafer외 4명|arXiv (Cornell University)|2014. 10. 28.

Advanced Malware Detection Techniques참고 문헌 23인용 수 13

한 줄 요약

이 논문은 안드로이드의 멀티유저 프레임워크에 대한 체계적인 보안 평가를 제시하며, 구조적 위협 모델링과 대상 실험을 통해 치명적인 접근 제어 결함을 규명한다. 이 연구는 접근 제어가 완전히 시행되지 않아 사용자에게 개인정보 泄露와 권한 상향 공격이 발생할 수 있음을 드러내며, 프레임워크가 심각한 멀티유저 환경에 적합하지 않다고 결론 내린다.

ABSTRACT

Like many desktop operating systems in the 1990s, Android is now in the process of including support for multi-user scenarios. Because these scenarios introduce new threats to the system, we should have an understanding of how well the system design addresses them. Since the security implications of multi-user support are truly pervasive, we developed a systematic approach to studying the system and identifying problems. Unlike other approaches that focus on specific attacks or threat models, ours systematically identifies critical places where access controls are not present or do not properly identify the subject and object of a decision. Finding these places gives us insight into hypothetical attacks that could result, and allows us to design specific experiments to test our hypothesis. Following an overview of the new features and their implementation, we describe our methodology, present a partial list of our most interesting hypotheses, and describe the experiments we used to test them. Our findings indicate that the current system only partially addresses the new threats, leaving the door open to a number of significant vulnerabilities and privacy issues. Our findings span a spectrum of root causes, from simple oversights, all the way to major system design problems. We conclude that there is still a long way to go before the system can be used in anything more than the most casual of sharing environments.

연구 동기 및 목표

• 안드로이드 멀티유저 프레임워크가 사용자 데이터를 보호하고 접근 제어를 이행하는 데 있어 보안성을 평가하기 위해.
• 불법적인 데이터 접근이나 권한 상향 공격로 이어질 수 있는 접근 제어 메커니즘의 체계적 취약점을 규명하기 위해.
• 멀티유저 환경에서 발생하는 위협을 충분히 완화하는 데 현재 구현이 적합한지 평가하기 위해.
• 사용자 프라이버시와 시스템 무결성에 영향을 주는 설계 결함과 구현 누락 사항에 대한 실질적인 통찰을 제공하기 위해.

제안 방법

• 시스템 결정 과정에서 주체-객체 관계를 분석하여 치명적인 접근 제어 갭을 식별하기 위한 체계적 방법론을 개발하였다.
• 멀티유저 상호작용의 위협 모델링을 기반으로 누락되거나 잘못 설정된 접근 제어에 대한 가설을 수립하였다.
• 식별된 접근 제어 결함에서 유도된 가상 공격의 실현 가능성을 검증하기 위해 대상 실험을 설계하고 수행하였다.
• 사용자 격리와 권한 이행에 중점을 두고 안드로이드 멀티유저 컴포넌트의 정적 및 동적 분석을 수행하였다.
• 멀티유저 조건 하에서 시스템 서비스 및 프로세스 간 통신(IPC) 메커니즘의 동작을 평가하였다.
• 위협 모델링을 활용하여 잠재적 공격 벡터를 매핑하고 테스트 대상으로 고위험 컴포넌트를 우선순위 정렬하였다.

실험 결과

연구 질문

• RQ1 안드로이드 멀티유저 프레임워크에서 치명적인 접근 제어 메커니즘이 누락되거나 잘못 구현된 위치는 어디인가?
• RQ2 시스템 결정에서 사용자 신원 및 개체 소유권의 불완전한 이행으로 인해 발생할 수 있는 가상의 공격은 무엇인가?
• RQ3 현재 설계는 교차 사용자 데이터 泄露 및 권한 상향 공격을 방지하는 데 얼마나 효과적인가?
• RQ4 식별된 취약점의 근본 원인은 설계 결함, 누락, 또는 구성 오류 중 무엇인가?

주요 결과

• 안드로이드의 멀티유저 프레임워크는 공유 기기 사용으로 인한 새로운 위협을 부분적으로만 대응하며, 심각한 보안 갭을 남긴다.
• 시스템 서비스 및 IPC 채널에서 여러 치명적인 접근 제어 메커니즘이 누락되거나 잘못 시행되고 있다.
• 특히 백그라운드 프로세스와 시스템 데몬에서 사용자 프로파일 간의 고립이 부족하여 교차 사용자 데이터 泄露가 가능하다.
• 접근 제어 결정에서 주체 및 개체 식별이 약한 점을 악용하여 권한 상향 공격을 수행할 수 있다.
• 연구는 경미한 누락 사항과 심각한 아키텍처 결함을 모두 규명하였으며, 이는 사용자 프라이버시와 시스템 무결성을 약화시킨다.
• 프레임워크는 강력한 사용자 격리 또는 데이터 기밀성 요구가 있는 환경에서는 배포에 적합하지 않다.