[논문 리뷰] MPInspector: A Systematic and Automatic Approach for Evaluating the Security of IoT Messaging Protocols

Qinying Wang, Shouling Ji외 9명|arXiv (Cornell University)|2022. 08. 18.

Advanced Malware Detection Techniques참고 문헌 24인용 수 13

한 줄 요약

MPInspector는 모델 학습과 형식적 검증을 결합하여 블랙박스 상호작용으로부터 상태 기계를 역설계하고 보안 속성을 유추함으로써, 상용 IoT 메시징 프로토콜(MP) 구현의 보안성을 평가하는 최초의 자동화되고 체계적인 프레임워크이다. 이 프레임워크는 MQTT, CoAP, AMQP의 9개 상용 IoT 플랫폼에서 252건의 위반 사항을 탐지하여 11종의 공격 유형을 드러내었으며, 정밀도 100%와 평균 분석 오버헤드 약 4.5시간을 기록하였다.

ABSTRACT

Facilitated by messaging protocols (MP), many home devices are connected to the Internet, bringing convenience and accessibility to customers. However, most deployed MPs on IoT platforms are fragmented and are not implemented carefully to support secure communication. To the best of our knowledge, there is no systematic solution to perform automatic security checks on MP implementations yet. To bridge the gap, we present MPInspector, the first automatic and systematic solution for vetting the security of MP implementations. MPInspector combines model learning with formal analysis and operates in three stages: (a) using parameter semantics extraction and interaction logic extraction to automatically infer the state machine of an MP implementation, (b) generating security properties based on meta properties and the state machine, and (c) applying automatic property based formal verification to identify property violations. We evaluate MPInspector on three popular MPs, including MQTT, CoAP and AMQP, implemented on nine leading IoT platforms. It identifies 252 property violations, leveraging which we further identify eleven types of attacks under two realistic attack scenarios. In addition, we demonstrate that MPInspector is lightweight (the average overhead of end-to-end analysis is ~4.5 hours) and effective with a precision of 100% in identifying property violations.

연구 동기 및 목표

• 상용 플랫폼에서 IoT 메시징 프로토콜(MP) 구현의 보안성을 평가하기 위한 체계적이고 자동화된 도구의 부족을 해결하기 위해.
• 기존 화이트박스 분석을 피할 수 있는 닫힌 소스, 다양한, 맞춤형 MP 구현의 과제를 극복하기 위해.
• 소스 코드 접근 없이도 논리 수준의 보안 결함을 스케일러블하고 정밀하며 자동으로 탐지할 수 있도록 하기 위해.
• 표준 MP 사양과 실제 구현 간 격차를 메우기 위해, 악용 가능한 취약점을 초래하는 이격을 식별하기 위해.

제안 방법

• 블랙박스 방식으로 입력을 전송하고 출력을 관찰함으로써, 활성 모델 학습을 사용하여 MP 구현의 상태 기계를 추론한다.
• 메시지 트래픽 분석과 자연어 처리 기반 기법을 활용하여 메시지 구성 요소를 역설계함으로써, 매개변수 의미와 상호작용 로직을 추출한다.
• 학습된 상태 기계에서 유추된 고유한 논리와 표준 프로토콜 메타속성을 결합하여 보안 속성을 생성한다.
• 유추된 상태 기계와 보안 속성을 Tamarin 호환 형식 사양으로 변환하여 자동 검증을 수행한다.
• Tamarin Prover를 통한 형식적 검증을 적용하여 보안 속성 위반 사항을 탐지함으로써, 결함 탐지의 정밀도 100%를 확보한다.
• 다양한 MP 유형과 플랫폼을 아우르는 보안 요구사항을 체계적으로 탐색하고 검증하기 위해, 속성 기반 접근법을 활용한다.

실험 결과

연구 질문

• RQ1 소스 코드 접근 없이도 닫힌 소스, 맞춤형 IoT 메시징 프로토콜 구현의 행동 모델을 자동으로 복원할 수 있는 방법은 무엇인가?
• RQ2 실제 구현에서 흔히 위반되는 보안 속성은 무엇이며, 이를 어떻게 표준 프로토콜 사양과 구현 행동에서 체계적으로 도출할 수 있는가?
• RQ3 모델 학습과 형식적 검증을 어떻게 조합하여 대규모 IoT 메시징 프로토콜에서 논리 수준의 취약점을 탐지할 수 있는가?
• RQ4 자동화된 MP 구현 분석을 통해 어떤 종류의 실제 공격이 드러나며, 이는 기존에 알려진 취약점과 어떻게 다를 수 있는가?
• RQ5 다양하고 실전용 IoT 메시징 프로토콜에서 보안 결함을 탐지하기 위한 자동화된 블랙박스 접근법은 얼마나 효율적이고 정밀한가?

주요 결과

• MPInspector는 9개 주요 IoT 플랫폼에서 252건의 보안 속성 위반 사항을 탐지하였으며, 이는 모두 정확도 100%로 진짜 결함으로 확인되었다.
• 이 프레임워크는 인증 우회, 메시지 삽입, 서비스 거부 공격 등 기존에 알려지지 않은 11종의 공격 유형을 실질적인 공격 시나리오에서 드러냈다.
• 모든 플랫폼에서의 평균 종단 간 분석 시간은 약 4.5시간으로, 프레임워크의 실용적 효율성을 입증하였다.
• 메시지에 고유한 매개변수 조합이나 암호화가 적용되어 있어도, MPInspector는 상태 기계와 매개변수 의미를 성공적으로 역설계하였다.
• 문헌에 이전에 보고되지 않은 4종의 새로운 공격 유형을 탐지함으로써, 수동 분석 방법보다 뛰어난 성능을 보였다.
• MPInspector의 오픈소스화([52])는 재현 가능성과 향후 더 넓은 IoT 보안 연구를 위한 확장 가능성을 보장한다.