[논문 리뷰] Discovering Physical Interaction Vulnerabilities in IoT Deployments.

Muslum Ozgur Ozmen, Xuansong Li외 4명|arXiv (Cornell University)|2021. 02. 03.

Advanced Malware Detection Techniques참고 문헌 41인용 수 4

한 줄 요약

IoTSeer는 IoT 애플리케이션 소스 코드를 하이브리드 I/O 오토마타로 변환하여 물리적 행동을 모델링하고, 여러 애플리케이션을 통합된 행동 모델로 조합하며, 격자 기반 테스팅과 위조 검증을 통해 위험한 물리적 상호작용을 탐지하는 보안 서비스이다. 이는 정책 위반의 근본 원인을 식별하고 패치를 제안하며, 13개 액추에이터, 6개 센서, 37개 애플리케이션을 갖춘 실제 주택 환경에서 효과를 입증하였다.

ABSTRACT

Internet of Things (IoT) applications drive the behavior of IoT deployments according to installed sensors and actuators. It has recently been shown that IoT deployments are vulnerable to physical interactions, caused by design flaws or malicious intent, that can have severe physical consequences. Yet, extant approaches to securing IoT do not translate the app source code into its physical behavior to evaluate physical interactions. Thus, IoT consumers and markets do not possess the capability to assess the safety and security risks these interactions present. In this paper, we introduce the IoTSeer security service for IoT deployments, which uncovers undesired states caused by physical interactions. IoTSeer operates in four phases (1) translation of each actuation command and sensor event in an app source code into a hybrid I/O automaton that defines an app's physical behavior, (2) combining apps in a novel composite automaton that represents the joint physical behavior of interacting apps, (3) applying grid-based testing and falsification to validate whether an IoT deployment conforms to desired physical interaction policies, and (4) identification of the root cause of policy violations and proposing patches that guide users to prevent them. We use IoTSeer in an actual house with 13 actuators and six sensors with 37 apps and demonstrate its effectiveness and performance.

연구 동기 및 목표

• IoT 배포 환경에서의 물리적 상호작용 위험을 분석할 수 있는 도구의 부족을 해결하기 위해 애플리케이션 코드를 물리적 행동 모델로 변환하는 것.
• 특히 예기치 않은 또는 해로운 결과를 초래하는 상호작용으로 인한 위험한 물리적 상호작용을 자동으로 탐지할 수 있도록 하는 것.
• 정책 위반의 근본 원인을 식별하고 수정 패치를 제안하여 실행 가능한 피드백을 제공하는 것.
• 고수준의 애플리케이션 논리와 저수준의 물리적 안전성 간 격차를 메우기 위해 상호작용하는 여러 IoT 애플리케이션의 공동 행동을 모델링하는 것.

제안 방법

• IoT 애플리케이션 소스 코드 내 각 액추에이션 명령어와 센서 이벤트를 하이브리드 I/O 오토마타로 변환하여 물리적 행동을 표현하는 것.
• 개별 애플리케이션 오토마타를 조합하여 상호작용하는 애플리케이션들의 공동 물리적 행동을 모델링하는 복합 오토마타를 구성하는 것.
• 체계적으로 상태 공간을 탐색하고 원하는 물리적 상호작용 정책 위반을 탐지하기 위해 격자 기반 테스팅과 모델 위조 검증을 적용하는 것.
• 형식적 분석을 통해 정책 위반의 근본 원인을 소스 코드에서 추적하고, 이를 보완하기 위한 패치 제안을 생성하는 것.
• 13개 액추에이터, 6개 센서, 37개 애플리케이션을 갖춘 실제 환경에서의 배포를 통해 확장성과 효과성을 평가하기 위해 접근 방식을 검증하는 것.

실험 결과

연구 질문

• RQ1 IoT 애플리케이션을 물리적 행동을 반영하는 형식적 모델로 체계적으로 변환할 수 있는가?
• RQ2 여러 IoT 애플리케이션이 공유 환경에서 상호작용할 때 공동 물리적 행동을 어떻게 모델링할 수 있는가?
• RQ3 격자 기반 테스팅과 위조 검증이 복잡한 IoT 배포 환경에서 위험한 물리적 상호작용 상태를 효과적으로 드러낼 수 있는가?
• RQ4 물리적 상호작용 취약점의 근본 원인을 자동으로 진단하고 수정할 수 있는 정도는 어느 정도인가?
• RQ5 IoTSeer 프레임워크는 실제 대규모 IoT 환경에서 얼마나 효과적이고 확장 가능한가?

주요 결과

• IoTSeer는 13개 액추에이터, 6개 센서, 37개 애플리케이션을 갖춘 실제 주택 환경에서 위험한 물리적 상호작용 상태를 성공적으로 탐지하여 실용적 적용 가능성을 입증하였다.
• 기존에 알려지지 않은 상호작용 취약점(예: 충돌하는 액추에이터 명령어)을 식별하여 예기치 않은 물리적 결과를 초래할 수 있음을 밝혔다.
• 근본 원인 분석을 통해 문제 발생 코드 패tern을 정확히 식별할 수 있었고, 개발자가 대상별로 수정할 수 있도록 했다.
• 격자 기반 테스팅과 위조 검증을 활용함으로써 랜덤 테스팅 대비 상태 공간 탐색의 커버리지가 크게 향상되었다.
• 복합 오토마타 모델은 여러 애플리케이션 간의 공동 행동을 정확히 반영하여, 개별적으로는 드러나지 않는 잠재적 위험한 상호작용도 탐지할 수 있었다.