[논문 리뷰] SafeChain: Securing Trigger-Action Programming From Attack Chains

Kai-Hsiang Hsu, Yu-Hsi Chiang외 1명|arXiv (Cornell University)|2019. 10. 01.

Security and Verification in Computing참고 문헌 26인용 수 7

한 줄 요약

이 논문은 사전 정의된 규칙 기반의 모델 체킹 기반 시스템인 SafeChain을 제안한다. 이 시스템은 유한 상태기계(FSM)로 생태계를 모델링하여 IoT 트리거-액션 프로그래밍에서 숨겨진 공격 체인을 탐지한다. 규칙 인지 최적화를 통해 권한 상승 및 개인정보 泄露 취약점을 효율적으로 식별하며, 100개의 규칙을 1초 이내에 검증하고 거짓 경고가 전혀 없는 것으로 확인된다.

ABSTRACT

The proliferation of Internet of Things (IoT) is reshaping our lifestyle. With IoT sensors and devices communicating with each other via the Internet, people can customize automation rules to meet their needs. Unless carefully defined, however, such rules can easily become points of security failure as the number of devices and complexity of rules increase. Device owners may end up unintentionally providing access or revealing private information to unauthorized entities due to complex chain reactions among devices. Prior work on trigger-action programming either focuses on conflict resolution or usability issues, or fails to accurately and efficiently detect such attack chains. This paper explores security vulnerabilities when users have the freedom to customize automation rules using trigger-action programming. We define two broad classes of attack--privilege escalation and privacy leakage--and present a practical model-checking-based system called SAFECHAIN that detects hidden attack chains exploiting the combination of rules. Built upon existing model-checking techniques, SAFECHAIN identifies attack chains by modeling the IoT ecosystem as a Finite State Machine. To improve practicability, SAFECHAIN avoids the need to accurately model an environment by frequently re-checking the automation rules given the current states, and employs rule-aware optimizations to further reduce overhead. Our comparative analysis shows that SAFECHAIN can efficiently and accurately identify attack chains, and our prototype implementation of SAFECHAIN can verify 100 rules in less than one second with no false positives.

연구 동기 및 목표

• 장치의 복잡성과 규칙 간 상호의존성이 증가함에 따라 증가하는 IoT 트리거-액션 프로그래밍의 보안 위험을 해결하기 위해.
• 사용자가 정의한 자동화 규칙의 조합을 악용하는 이전에 탐지되지 않은 공격 체인을 식별하기 위해.
• 권한 상승과 개인정보 泄露 취약점을 모두 탐지할 수 있는 실용적이고 확장 가능한 솔루션을 개발하기 위해.
• 환경 모델링을 완전히 피하고 규칙 기반 최적화를 사용함으로써 검증 오버헤드를 줄이기 위해.
• 거짓 경고가 없는 조건에서 악성 규칙 조합을 높은 정확도와 낮은 지연 시간으로 탐지할 수 있도록 보장하기 위해.

제안 방법

• 장치 상태와 규칙에 의해 유도되는 전이를 표현하기 위해 IoT 생태계를 유한 상태기계(FSM)로 모델링한다.
• 모델 체킹 기법을 적용하여 규칙 실행의 어떤 순서라도 비승인 상태 전이로 이어지는지 체계적으로 검증한다.
• 정확한 환경 모델링이 필요 없도록 현재 장치 상태에 기반해 규칙을 동적으로 재검증한다.
• 규칙 간 의존성과 전파 경로를 분석하여 재검증을 줄이는 규칙 인지 최적화를 도입한다.
• 기존의 모델 체킹 프레임워크를 활용하여 보안 검증을 규칙 작성 과정에 통합한다.
• 시간 논리 명제로 보안 성질을 수립하여 공격 체인의 부재를 공식적으로 검증한다.

실험 결과

연구 질문

• RQ1 장치 상호작용의 복잡성에도 불구하고 트리거-액션 프로그래밍에서 숨겨진 공격 체인을 체계적으로 탐지할 수 있는 방법은 무엇인가?
• RQ2 동적인 IoT 환경에서 높은 정확도를 유지하면서 검증 오버헤드를 줄일 수 있는 기법은 무엇인가?
• RQ3 규칙 인지 최적화는 공격 체인 탐지의 확장성에 얼마나 기여하는가?
• RQ4 제안된 시스템은 거짓 경고 없이 권한 상승과 개인정보 泄露 취약점을 모두 탐지할 수 있는가?
• RQ5 규칙 수와 장치 수가 증가함에 따라 SafeChain의 성능은 어떻게 변화하는가?

주요 결과

• SafeChain는 여러 규칙을 조합하여 비승인 결과를 이룰 수 있는 숨겨진 공격 체인을 성공적으로 탐지한다.
• 권한 상승 및 개인정보 泄露 취약점 탐지에서 거짓 경고가 전혀 없는 것으로 확인된다.
• SafeChain는 100개의 트리거-액션 규칙을 1초 이내에 검증하여 높은 성능과 확장성을 입증한다.
• 규칙 인지 최적화는 재귀적 상태 탐색을 최소화함으로써 검증 오버헤드를 크게 줄인다.
• 현재 장치 상태에 기반한 동적 재검증은 정확한 환경 모델링이 필요 없음을 제거한다.
• 프로토타입 구현을 통해 SafeChain이 실제 IoT 규칙 복잡도 하에서 효율적이고 정확한 것으로 확인되었다.