[논문 리뷰] Security Vetting Process of Smart-home Assistant Applications: A First Look and Case Studies

Hang Hu, Limin Yang외 2명|arXiv (Cornell University)|2020. 01. 13.

Advanced Malware Detection Techniques참고 문헌 41인용 수 4

한 줄 요약

이 논문은 스마트 홈 보조 애플리케이션의 보안 검토 프로세스를 조사하며, 아마존 알렉사와 구글 홈에서의 클라우드-엔드포인트 인증에 초점을 맞춘다. 연구 결과, 양 플랫폼 모두 안전한 인증을 제대로 구현하지 못해 공격자가 클라우드 트래픽을 위조하고 제3자 엔드포인트를 해킹할 수 있음을 드러냈다. 실제로 219개의 취약한 알렉사 엔드포인트가 발견되었으며, 스마트 기기와 전기 자동차 제어 애플리케이션을 포함하고 있다.

ABSTRACT

The popularity of smart-home assistant systems such as Amazon Alexa and Google Home leads to a booming third-party application market (over 70,000 applications across the two stores). While existing works have revealed security issues in these systems, it is not well understood how to help application developers to enforce security requirements. In this paper, we perform a preliminary case study to examine the security vetting mechanisms adopted by Amazon Alexa and Google Home app stores. With a focus on the authentication mechanisms between Alexa/Google cloud and third-party application servers (i.e. endpoints), we show the current security vetting is insufficient as developer mistakes can not be effectively detected and notified. A weak authentication would allow attackers to spoof the cloud to insert/retrieve data into/from the application endpoints. We validate the attack through ethical proof-of-concept experiments. To confirm vulnerable applications have indeed passed the security vetting and entered the markets, we develop a heuristic-based searching method. We find 219 real-world Alexa endpoints that carry the vulnerability, many of which are related to critical applications that control smart home devices and electronic cars. We have notified Amazon and Google about our findings and offered our suggestions to mitigate the issue.

연구 동기 및 목표

• 스마트 홈 보조 애플리케이션을 위한 제3자 애플리케이션의 보안 검토 메커니즘을 분석한다.
• 보안 검토 과정의 틈새를 규명하여, 비안전한 인증 방식이 감지되지 않은 채 통과되는 원인을 밝힌다.
• 윤리적인 개념 증명 실험을 통해 클라우드 스푸핑 공격이 제3자 애플리케이션 엔드포인트에 실제로 가능한지 검증한다.
• 실제 시장에서 보호되지 않은 애플리케이션의 보편성을 평가한다.
• 검토 프로세스 향상 및 개발자 가이던스 개선을 위한 실질적인 권고 사항을 제시한다.

제안 방법

• 실제 구현 실수를 시뮬레이션하기 위해 고유한 취약한 스킬을 개발하고, 알렉사와 구글 홈의 자동 및 수동 검토 프로세스를 단계별로 분석한다.
• 공격자가 자신의 스킬에서 생성한 서명된 트래픽을 사용해 클라우드 스푸핑 공격을 시연하기 위한 통제된 개념 증명 실험을 수행한다.
• ZMap을 활용해 활성 HTTPS 호스트를 스캔하고, 비침습적인 스푸핑 쿼리를 재생하여 서명되지 않은 또는 재사용된 트래픽을 수락하는 엔드포인트를 탐지한다.
• 응답 분석을 통해 애플리케이션 식별자와 타임스탬프 검증에 실패한 엔드포인트를 식별하여 약한 인증을 확인한다.
• 발견된 문제점을 아마존과 구글에 보고하고, 자동화된 테스팅 향상 및 SDK 수준의 보안 강화를 위한 권고 사항을 제시한다.
• 해결책 기반 스캐닝 기법을 사용해 실시간 환경에서 취약한 엔드포인트를 식별하였으며, 자동 검토 프로세스가 구현된 알렉사에 집중하였다.

실험 결과

연구 질문

• RQ1 아마존 알렉사와 구글 홈의 자동 및 수동 검토 프로세스는 비안전한 클라우드-엔드포인트 인증 메커니즘을 얼마나 효과적으로 탐지하는가?
• RQ2 현재의 검토 프로세스는 애플리케이션-ID 검증 및 타임스탬프 확인과 같은 핵심 인증 결함을 얼마나 자주 간과하는가?
• RQ3 스마트 홈 보조 애플리케이션 공개 마켓에서 취약한 제3자 애플리케이션 엔드포인트의 실제 보편성은 어느 정도인가?
• RQ4 약하거나 누락된 인증 검증으로 인해 공격자가 클라우드 트래픽을 위조해 제3자 엔드포인트를 해킹할 수 있는가?
• RQ5 이러한 취약점들이 처음부터 유입되지 않도록 하기 위해 검토 프로세스와 개발자 도구에 어떤 개선이 가능한가?

주요 결과

• 구글 홈의 검토 프로세스는 엔드포인트가 클라우드를 인증하도록 요구하지 않아 스푸핑된 쿼리에 취약하다.
• 아마존 알렉사의 자동 검토 프로세스는 애플리케이션 식별자 검증이 누락된 핵심 인증 결함을 탐지하지 못해 취약한 스킬이 통과된다.
• 개념 증명 공격을 통해 공격자가 자신의 스킬에서 생성한 유효한 클라우드 서명을 재사용해 클라우드를 위장하고 다른 엔드포인트를 공격할 수 있음을 입증했다.
• ZMap 기반 스캐닝을 통해 실세계에서 219개의 알렉사 엔드포인트가 클라우드 스푸핑에 취약한 것으로 확인되었으며, 스마트 홈 기기와 전기 자동차 제어 애플리케이션을 포함하고 있다.
• 이러한 취약한 애플리케이션의 대부분은 자동 및 수동 검토를 모두 통과했으며, 현재 보안 검토 프로세스에 체계적인 결함이 있음을 시사한다.
• 본 연구는 현재의 검토 메커니즘이 비안전한 인증 패턴이 생산 마켓에 진입하는 것을 방지하는 데 부적절하다는 점을 확인한다.