[논문 리뷰] Pitfalls in Designing Zero-Effort Deauthentication: Opportunistic Human Observation Attacks

Otto Huhta, Prakash Shrestha외 4명|arXiv (Cornell University)|2015. 05. 21.

User Authentication and Security Systems참고 문헌 26인용 수 4

한 줄 요약

이 논문은 ZEBRA라는, 사용자 존재를 감지하고 활동이 중단되면 자동으로 로그아웃하는 웨어러블 센서 데이터를 사용하는 '제로 에포트' 인증 해제 기법에 심각한 설계 결함을 밝혀낸다. 저자들은 기회적 인간 공격자가 근처 터미널에서 키보드 활동만을 모방함으로써 ZEBRA를 우회할 수 있음을 입증한다. 이는 원래 설계에서 상정한 단순한 공격 방식보다 훨씬 더 쉬우며 효과적인 공격이며, 현실적인 위협 모델에서 이 기법의 보안성을 약화시킨다.

ABSTRACT

Deauthentication is an important component of any authentication system. The widespread use of computing devices in daily life has underscored the need for zero-effort deauthentication schemes. However, the quest for eliminating user effort may lead to hidden security flaws in the authentication schemes. As a case in point, we investigate a prominent zero-effort deauthentication scheme, called ZEBRA, which provides an interesting and a useful solution to a difficult problem as demonstrated in the original paper. We identify a subtle incorrect assumption in its adversary model that leads to a fundamental design flaw. We exploit this to break the scheme with a class of attacks that are much easier for a human to perform in a realistic adversary model, compared to the naïve attacks studied in the ZEBRA paper. For example, one of our main attacks, where the human attacker has to opportunistically mimic only the victim's keyboard typing activity at a nearby terminal, is significantly more successful compared to the naïve attack that requires mimicking keyboard and mouse activities as well as keyboard-mouse movements. Further, by understanding the design flaws in ZEBRA as cases of tainted input, we show that we can draw on well-understood design principles to improve ZEBRA's security.

연구 동기 및 목표

• ZEBRA와 같은 '제로 에포트 双방향 인증 해제 기법'의 보안 가정을 분석하는 것. 이 기법들은 두 개의 소스에서 사용자 행동을 비교하는 데 의존한다.
• ZEBRA의 적대자 모델에 숨겨진 설계 가정을 밝히고, 이 가정이 인간 공격자의 능력을 과소평가한다는 것을 규명하는 것.
• 최소한의 노력으로 특정 사용자 활동의 일부만을 대체하는 기회적 인간 공격이 원래 ZEBRA 평가에서 고려된 단순한 공격 방식보다 훨씬 더 효과적임을 입증하는 것.
• ZEBRA의 근본적인 취약성은 센서 입력이 오염되지 않았다는 잘못된 가정에서 비롯되며, 이로 인해 입력 검증 결함이 악용될 수 있음을 보여주는 것.
• 오염된 입력 모델 기반의 설계 원칙을 제안하여 ZEBRA 및 유사 기법의 보안성을 강화하면서도 사용성은 유지하는 것.

제안 방법

• 실제 환경에서 공격 시나리오를 테스트할 수 있도록 ZEBRA의 종단 간 구현체를 구축하여 실시간 센서 및 터미널 이벤트 스트림 처리 기능을 구현했다.
• 공격자가 피해자의 키보드 활동을 관찰하고 근처 터미널에서 키보드 이벤트만을 모방하는 새로운 유형의 기회적 인간 공격을 설계하고 실행했다.
• 원래 ZEBRA 논문에서 상정한 '단순한' 공격 모델(키보드 및 마우스 활동 모두를 모방해야 함)과 비교하여 이 기회적 공격의 성공률을 분석했다.
• 실제 조건(시간 간격 및 행동 유사도 지표 포함)에서 공격 성공 확률을 통계적으로 평가했다.
• ZEBRA의 설계 결함을 오염된 입력 문제로 재정의하고, 기존 소프트웨어 공학 원칙을 적용하여 대응 전략을 제안했다.
• 무심한(의도하지 않은) 공격자와 악의적인 공격자 양쪽에 대한 ZEBRA의 내공을 평가하여, 의도된 위협 모델과 실제 위협 모델 사이의 격차를 드러냈다.

실험 결과

연구 질문

• RQ1 제로 에포트 인증 해제 시스템에서 적대자가 사용자 행동을 관찰하거나 모방할 수 없다는 가정이 가지는 보안적 함의는 무엇인가?
• RQ2 기회적 인간 공격자의 성공률은 ZEBRA에서 '단순한' 공격자(모든 사용자 상호작용을 모방하려는 자)와 비교해 어떻게 다를까?
• RQ3 ZEBRA의 입력 무결성에 대한 설계 가정이 어떻게 악용 가능한 취약점을 초래하는가?
• RQ4 오염된 입력 모델의 설계 원칙을 제로 에포트 양방향 인증 기법에 적용할 수 있는가?
• RQ5 원래 적대자 모델이 공격자의 능력을 과소평가할 경우, ZEBRA는 현실 세계의 적대자에 대해 얼마나 안전한가?

주요 결과

• 근처 터미널에서 피해자의 키보드 활동만을 모방하는 기회적 인간 공격자는 원래 ZEBRA 논문에서 상정한 단순한 공격 모델보다 훨씬 높은 성공 확률로 ZEBRA를 무력화할 수 있다.
• 기회적 공격의 성공률는 통계적으로 단순 공격보다 뛰어나며, 이는 원래 ZEBRA의 적대자 모델이 비현실적으로 제한적이며 보안성을 과대평가한다는 것을 입증한다.
• ZEBRA의 근본적 결함은 센서 입력이 오염되지 않았다는 잘못된 가정에서 비롯되며, 이는 행동 스푸핑을 통한 조작에 취약하게 만든다.
• ZEBRA는 무심한 사용자에 의한 실수적 오용에는 견고하지만, 의도적인 기회적 적대자에 대해서는 실패한다.
• 이 취약성은 구현 결함 때문이 아니라 인간 공격자가 부분적인 행동을 모방하는 능력을 과소평가한 잘못된 위협 모델에서 기인한다.
• ZEBRA 설계에 오염된 입력 원칙을 적용하면, 사용성은 유지하면서도 현실적인 적대자 행동에 저항할 수 있는 안전한 제로 에포트 인증 해제 기법을 개발할 수 있다.