[논문 리뷰] Can't you hear me knocking: Identification of user actions on Android apps via traffic analysis

Mauro Conti, Luigi V. Mancini외 2명|arXiv (Cornell University)|2014. 07. 29.

Advanced Malware Detection Techniques참고 문헌 21인용 수 14

한 줄 요약

이 논문은 암호화된 TCP/IP 트래픽을 분석하여 안드로이드 앱에서 소셜 미디어에 게시하거나 이메일을 보낼 같은 특정 사용자 행동을 식별하는 기계학습 프레임워크를 제안한다. 네트워크 플로우 패턴을 분석하고 군집화 및 분류 기법을 적용함으로써, 대부분의 행동에 대해 95% 이상의 정확도, 정밀도 및 재현율을 달성하여 TLS로 보호된 트래픽조차도 행동 정보를 泄露한다는 것을 입증한다.

ABSTRACT

While smartphone usage become more and more pervasive, people start also asking to which extent such devices can be maliciously exploited as "tracking devices". The concern is not only related to an adversary taking physical or remote control of the device (e.g., via a malicious app), but also to what a passive adversary (without the above capabilities) can observe from the device communications. Work in this latter direction aimed, for example, at inferring the apps a user has installed on his device, or identifying the presence of a specific user within a network. In this paper, we move a step forward: we investigate to which extent it is feasible to identify the specific actions that a user is doing on his mobile device, by simply eavesdropping the device's network traffic. In particular, we aim at identifying actions like browsing someone's profile on a social network, posting a message on a friend's wall, or sending an email. We design a system that achieves this goal starting from encrypted TCP/IP packets: it works through identification of network flows and application of machine learning techniques. We did a complete implementation of this system and run a thorough set of experiments, which show that it can achieve accuracy and precision higher than 95%, for most of the considered actions.

연구 동기 및 목표

• 암호화된 네트워크 트래픽을 수동으로 가로채기만 해도 안드로이드 앱에서 특정 사용자 행동을 식별할 수 있는지 조사하기 위해.
• 기기의 무결성을 침해당하지 않더라도 네트워크 통신을 모니터링할 수 있는 수동 공격자에 의해 초래되는 프라이버시 위협을 해결하기 위해.
• 엔드 투 엔드 암호화가 적용된 상태에서도 암호화된 트래픽 내 행동 패턴이 소셜 미디어에 게시하거나 이메일을 보내는 등의 민감한 사용자 행동을 드러내는지 확인하기 위해.
• 앱 데이터나 복호화 키에 접근하지 못한 상태에서 사용자 행동을 추론하는 것의 가능성과 정확도를 평가하기 위해.
• 현재 암호화가 사용자 행동에 대한 의미 정보를 보호하는 데에 얼마나 한계가 있는지 부각하기 위해.

제안 방법

• 프레임워크는 특정 사용자 행동 중인 안드로이드 기기에서 발생하는 암호화된 TCP/IP 트래픽을 수집하고 분석한다.
• 비지도 학습을 사용하여 네트워크 플로우를 추출하고 유사한 트래픽 패턴을 군집화한다.
• 각 플로우에서 패킷 크기, 타이밍, 순서 등의 특징을 추출하여 사용자 행동을 표현한다.
• 이러한 특징을 기반으로 지도 학습 분류기를 훈련시켜 서로 다른 사용자 행동을 구분한다.
• 다양한 행동에 걸쳐 성능을 검증하기 위해 다수의 구성과 평가 지표(정밀도, 재현율, F-측정치)를 사용한다.
• 실제 안드로이드 앱(예: 트위터, Gmail)을 대상으로 제어된 사용자 상호작용을 수행하여 레이블이 부여된 트래픽 데이터를 생성한다.

실험 결과

연구 질문

• RQ1 수동 가로채기만으로도 암호화된 네트워크 트래픽을 분석하여 안드로이드 앱에서 특정 사용자 행동을 식별할 수 있는가?
• RQ2 엔드 투 엔드 암호화가 적용된 상태에서도 TLS로 보호된 통신이 행동 패턴을 얼마나 泄露하는가?
• RQ3 네트워크 플로우 특성만으로 기계학습이 사용자 행동을 얼마나 정확히 분류할 수 있는가?
• RQ4 다양한 앱 간에 일관된 트래픽 패턴이 존재하여 신뢰할 수 있는 행동 식별이 가능한가?
• RQ5 이러한 식별이 사용자 프라이버시와 익명성에 어떤 영향을 미치는가?

주요 결과

• 시스템은 평균 F-측정치가 0.97이며, 대부분의 행동에 대해 정밀도와 재현율이 모두 97%를 초과한다.
• '트위터 열기' 행동의 경우 정밀도, 재현율, F-측정치 모두 100%에 도달하여 완벽한 분류를 보였다.
• 최소한 한 구성에서는 모든 행동에 대해 96% 이상의 정확도를 확보했으며, 최악의 경우에도 91% 이상의 정확도를 유지했다.
• '홈 새로 고침' 행동은 정밀도 94%, 재현율 99%를 기록하여 높은 탐지 신뢰도를 보였다.
• '트윗/메시지' 행동은 재현율 100%, F-측정치 98%로 분류 성능이 뛰어나 내용 게시 행동에 대해 강력한 성능을 보였다.
• 프레임워크는 암호화된 트래픽에서조차도 의미론적 사용자 행동을 추론할 수 있음을 입증하였다. 즉, TLS로 보호된 콘텐츠조차도 행동 정보가 泄露됨을 시사한다.