[논문 리뷰] Checking Interaction-Based Declassification Policies for Android Using Symbolic Execution

Kristopher Micinski, Jonathan Fetter-Degges외 3명|arXiv (Cornell University)|2015. 01. 01.

Advanced Malware Detection Techniques참고 문헌 13인용 수 6

한 줄 요약

이 논문은 안드로이드 앱의 상호작용 기반 탈기밀정보 정책을 제안하며, 민감한 데이터가 사용자 트리거된 이벤트에 따라 언제 그리고 어떻게 해제될 수 있는지 규정한다. 기호 실행을 통해 달비크 바이트코드를 분석함으로써, 저자들은 LTL로 표현된 이벤트 트레이스를 기반으로 이러한 정책을 검증하는 ClickRelease라는 도구를 도입한다. 이 도구는 낮은 입력 깊이로도 실제 앱에서 보안 위반을 정확하게 탐지할 수 있다.

ABSTRACT

Mobile apps can access a wide variety of secure information, such as contacts and location. However, current mobile platforms include only coarse access control mechanisms to protect such data. In this paper, we introduce interaction-based declassification policies, in which the user's interactions with the app constrain the release of sensitive information. Our policies are defined extensionally, so as to be independent of the app's implementation, based on sequences of security-relevant events that occur in app runs. Policies use LTL formulae to precisely specify which secret inputs, read at which times, may be released. We formalize a semantic security condition, interaction-based noninterference, to define our policies precisely. Finally, we describe a prototype tool that uses symbolic execution to check interaction-based declassification policies for Android, and we show that it enforces policies correctly on a set of apps.

연구 동기 및 목표

• 안드로이드에서 거시적 접근 제어의 한계를 해결하기 위해 민감한 데이터의 미세 조절 및 사용자 기반 탈기밀정보를 가능하게 하기 위해.
• 탈기밀정보 이후 관찰 가능한 프로그램 행동이 결정론적이게 보장하는 상호작용 기반 비상호작용성(IBNI)이라는 보안 모델을 체계화하기 위해.
• 사용자가 정의한 탈기밀정보 정책을 준수하는지 확인할 수 있는 실용적인 정적 분석 도구를 개발하기 위해.
• 정책 위반이 낮은 입력 깊이(≤5개 이벤트)로도 실제 안드로이드 앱에서 효율적으로 탐지될 수 있음을 보여주기 위해.

제안 방법

• 논문은 GUI 상호작용, 기밀 입력, 네트워크 출력과 같은 보안 관련 이벤트의 시퀀스에 대해 LTL 공식을 사용하여 탈기밀정보 정책을 정의한다.
• 상호작용 기반 비상호작용성(IBNI)을 도입하며, 이는 탈기밀정보 이후에도 관찰 가능한 프로그램 행동이 결정론적이게 보장하는 의미론적 보안 조건이다.
• ClickRelease는 SymDroid를 사용하여 달비크 바이트코드를 기호적으로 실행하고, 구성 가능한 깊이(n개의 GUI 이벤트)까지의 이벤트 트레이스를 생성한다.
• 도구는 IBNI 조건을 표현하는 논리 공식을 합성하고, Z3 SMT 솔버를 사용하여 그 만족 가능성을 검사한다.
• 정책은 φ ⊢ S의 형태로 기술되며, 여기서 φ는 이벤트에 대한 LTL 공식이고 S는 민감도 수준을 나타내어 기밀 입력이 언제 해제될 수 있는지를 지시한다.
• 이 방법은 보안 및 비보안 버전을 포함한 네 개의 안드로이드 앱을 대상으로 평가되었으며, 낮은 입력 깊이에서 정책 준수 여부가 검증되었다.

실험 결과

연구 질문

• RQ1 사용자 상호작용에 기반한 LTL로 표현된 상호작용 기반 탈기밀정보 정책이 실제 안드로이드 앱의 보안 의도를 효과적으로 모델링할 수 있는가?
• RQ2 상호작용 기반 비상호작용성(IBNI) 조건이 상호작용적인 안드로이드 애플리케이션에서 안전한 정보 흐름을 정확히 포괄하는가?
• RQ3 낮은 입력 깊이(≤5개 이벤트)에서 기호 실행을 통해 실제 안드로이드 앱의 정책 위반을 높은 정밀도로 탐지할 수 있는가?
• RQ4 소스 코드 애너테이션 없이도 정적 분석 도구인 ClickRelease가 탈기밀정보 정책을 얼마나 효율적으로 검증할 수 있는가?

주요 결과

• ClickRelease는 평가된 네 앱의 비보안 버전에서 정책 위반을 정확히 식별했으며, 보안 버전은 모두 통과시켰다.
• 모든 테스트 앱에서 최대 5개의 GUI 이벤트 깊이로도 정책 위반을 탐지하는 데 충분했으며, 이는 높은 효율성을 보여준다.
• 최소 필요 깊이에서 앱당 몇 초 내로 분석을 완료하여 실용적인 확장성을 입증했다.
• ClickRelease는 기호 실행과 SMT 해결을 통해 IBNI를 검증함으로써 탈기밀정보 정책을 성공적으로 강제 적용했으며, 이는 실세계 안드로이드 앱에 적용 가능한 방법임을 입증했다.
• 평가 결과, 낮은 깊이에서의 기호 실행은 위반 탐지를 위해 충분한 행동을 포괄하며, 전체 트레이스 열거의 지수적 팽창을 피할 수 있음을 확인했다.
• 이 방법은 이전 연구와 달리 소스 코드 애너테이션을 요구하지 않거나 런타임 타인팅 추적에 의존하지 않으며, 대신 사용자 상호작용을 정책 트리거로 사용한다.