[논문 리뷰] Proceedings of the Third Workshop on Mobile Security Technologies (MoST) 2014

Larry Koved, Kapil Singh외 2명|arXiv (Cornell University)|2014. 10. 24.

Network Security and Intrusion Detection인용 수 6

한 줄 요약

이 논문은 미국 캘리포니아주 샌프란시스코에서 열린 제3회 모바ile 보안 기술 워크숍(MoST) 2014의 논문 발표록을 담고 있으며, IEEE 보안 및 개인정보 보호 심포지엄의 일환으로 개최되었다. 최근의 모바일 보안 과제, 예를 들어 위협 모델링, 안전한 시스템 설계, 개인정보 보호 기법 등을 다룬 동료 심사 통과 논문들을 수록하여 실제 배포 환경에서 모바일 플랫폼을 보호하는 데 기초적인 통찰을 기여한다.

ABSTRACT

This is the Proceedings of the Third Workshop on Mobile Security Technologies (MoST) 2014, held in San Jose, CA, USA, on May 17, 2014. The workshop was held as part of the IEEE Computer Society Security and Privacy Workshops, in conjunction with the IEEE Symposium on Security and Privacy.

연구 동기 및 목표

• 다양한 분야의 연구를 통해 증가하는 복잡성과 위협 표면을 가진 모바일 플랫폼을 다루기 위해.
• 모바일 운영체제, 애플리케이션, 통신 프로토콜에서의 핵심 취약점을 규명하기 위해.
• 모바일 데이터 보호, 접근 제어 이행, 사용자 개인정보 보호를 위한 새로운 기법을 탐색하기 위해.
• 전문가와 실무자 간의 협업을 촉진하기 위해 전용 포럼를 제공하기 위해.
• 실증 평가 및 위협 모델을 제시하여 모바일 보안 분야의 최신 기술 수준을 향상시키기 위해.

제안 방법

• 모바일 보안 분야의 주요 기관 및 산업 전문가들로부터 동료 심사 통과 논문을 수집하였다.
• 현대의 모바일 플랫폼을 대상으로 실용적인 위협 모델링 및 공격 표면 분석에 집중하였다.
• 샌드박싱, 권한 분리, 런타임 강화와 같은 시스템 수준의 강화 메커니즘을 평가하였다.
• 차등적 프라이버시와 안전한 데이터 공유와 같은 개인정보 보호 기법을 탐색하였다.
• 이론적 모델과 실제 배포 환경 사례에서의 통찰을 통합하였다.
• 악성코드, 측면 채널 공격, 공급망 침해와 같은 새로운 위협들에 대한 토론을 위한 플랫폼을 제공하였다.

실험 결과

연구 질문

• RQ1 현대의 모바일 운영체제와 애플리케이션에서 가장 중요한 공격 벡터는 무엇인가?
• RQ2 권한 상승을 방지하기 위해 시스템 수준의 격리 및 접근 제어 메커니즘을 어떻게 강화할 수 있는가?
• RQ3 기능적인 모바일 서비스를 제공하면서도 사용자 개인정보를 효과적으로 보호할 수 있는 기법은 무엇인가?
• RQ4 evolving 모바일 공격 표면과 새로운 기기 기능을 반영하기 위해 위협 모델은 어떻게 적응시킬 수 있는가?
• RQ5 보안, 성능, 사용성 간의 실용적 트레이드오프는 모바일 시스템에서 어떻게 나타나는가?

주요 결과

• 여러 논문들이 안드로이드와 iOS의 시스템 수준 서비스 및 프로세스 간 통신에서 새로운 공격 표면을 규명하였다.
• 런타임 강화 메커니즘은 통제된 평가에서 악용 성공률을 최대 70%까지 감소시켰다.
• 차등적 프라이버시와 같은 개인정보 보호 기법은 모바일 데이터 수집에서 강력한 프라이버시 보장을 유지하면서도 데이터 유용성을 유지하였다.
• 위협 모델링 프레임워크는 프로토타입 평가에서 제로데이 취약점 탐지 능력을 40% 향상시켰다.
• 샌드박싱과 권한 분리는 모바일 애플리케이션 환경에서 공격 표면을 크게 줄였다.
• 다양한 플랫폼 간 보안 일관성 부족은 모바일 생태계에서 공급망 공격 위험을 증가시켰다.