[논문 리뷰] Tyche: Risk-Based Permissions for Smart Home Platforms

Amir Rahmati, Earlence Fernandes외 2명|arXiv (Cornell University)|2018. 01. 14.

Advanced Malware Detection Techniques참고 문헌 10인용 수 5

한 줄 요약

Tyche는 기능적 유사성 대신 사용자가 인식하는 위험 수준에 따라 장치 작업을 그룹화하는 위험 기반 허가 모델을 제안한다. 이는 과도한 권한 부여를 줄이고, 작업을 저위험, 중위험, 고위험 카테고리로 분류하고 설문 기반 위험 평가를 통해 앱이 필수적인 위험 수준의 액세스만 요청하도록 한다. 평가된 스마트앱에서 고위험 작업 노출을 60% 감소시켰으며, 사용자 결정 부담은 증가시키지 않았다.

ABSTRACT

Emerging smart home platforms, which interface with a variety of physical devices and support third-party application development, currently use permission models inspired by smartphone operating systems-they group functionally similar device operations into separate units, and require users to grant apps access to devices at that granularity. Unfortunately, this leads to two issues: (1) apps that do not require access to all of the granted device operations have overprivileged access to them, (2) apps might pose a higher risk to users than needed because physical device operations are fundamentally risk-asymmetric-"door.unlock" provides access to burglars, and "door.lock" can potentially lead to getting locked out. Overprivileged apps with access to mixed-risk operations only increase the potential for damage. We present Tyche, a system that leverages the risk-asymmetry in physical device operations to limit the risk that apps pose to smart home users, without increasing the user's decision overhead. Tyche introduces the notion of risk-based permissions. When using risk-based permissions, device operations are grouped into units of similar risk, and users grant apps access to devices at that risk-based granularity. Starting from a set of permissions derived from the popular Samsung SmartThings platform, we conduct a user study involving domain-experts and Mechanical Turk users to compute a relative ranking of risks associated with device operations. We find that user assessment of risk closely matches that of domain experts. Using this ranking, we define risk-based groupings of device operations, and apply it to existing SmartThings apps, showing that risk-based permissions indeed limit risk if apps are malicious or exploitable.

연구 동기 및 목표

• 기능적으로 그룹화된 허가로 인해 앱이 불필요하게 고위험 장치 작업에 접근하는 스마트 홈 플랫폼의 과도한 권한 문제를 해결하기 위해.
• 실체적 장치 작업의 위험 비대칭성(예: 'door.unlock'은 고위험, 'door.lock'은 중위험)을 활용하여 더 안전한 허가 모델을 설계하기 위해.
• 위험 기반 액세스 카테고리로 고위험 작업에 대한 액세스를 제한하여 악성 또는 해킹된 앱이 초래할 수 있는 손실을 줄이기 위해.
• 사용자가 인식하는 위험 수준이 전문가 평가와 일치하는지 평가하여 액세스 제어를 위한 신뢰할 수 있는 위험 그룹화를 가능하게 하기 위해.
• 기존 스마트 홈 애플리케이션을 위험 기반 허가로 재구성할 수 있으며, 이로 인해 고위험 액세스가 60% 감소하고 기능은 유지할 수 있음을 입증하기 위해.

제안 방법

• SmartThings 플랫폼의 61종의 장치 유형에 걸쳐 146개의 장치 작업에 대해 도메인 전문가와 Mechanical Turk 참가자를 대상으로 사용자가 인식하는 위험 수준을 순위 매기는 사용자 연구를 수행하였다.
• Felt 등이 제안한 바와 유사한 설문 기반 위험 평가를 활용하여 장치 작업의 상대적 위험 순위를 산정함으로써 사용자와 전문가의 인식이 일치하도록 보장하였다.
• 집계된 사용자 및 전문가 위험 평가를 바탕으로 장치 작업을 저위험, 중위험, 고위험의 세 가지 위험 카테고리로 분류하였다.
• 기존 SmartApps를 수정하기 위해 정적 앱 재작성 기법을 적용하여 앱이 필요한 위험 수준의 허가만 요청하도록 하였다 (예: 'door.medRisk'는 'door.highRisk' 대신 요청).
• 앱 요청을 적절한 위험 수준 액세스 제어로 매핑하는 재작성 메커니즘을 사용하여 런타임에서 위험 기반 허가 모델을 강제 적용하였다.
• 세 개의 실제 스마트앱을 평가하여 고위험 작업 액세스 감소 정도를 측정하고 기능 유지 여부를 점검함으로써 모델을 검증하였다.

실험 결과

연구 질문

• RQ1 스마트 홈 환경에서 장치 작업에 대한 사용자 인식 위험 수준을 신뢰성 있게 순위 매길 수 있으며, 이를 바탕으로 위험 기반 허가 카테고리를 정의할 수 있는가?
• RQ2 비전문가 사용자의 위험 인식이 실체적 장치 작업에 대해 전문가의 인식과 어느 정도 일치하는가?
• RQ3 기존 스마트 홈 애플리케이션은 기능을 잃지 않고 위험 기반 허가로 재구성할 수 있는가?
• RQ4 위험 기반 허가를 통해 고위험 작업 액세스는 얼마나 줄일 수 있으며, 이로 인해 앱의 기능성은 유지되는가?
• RQ5 기능 기반 그룹화 모델에 비해 위험 기반 허가 모델은 악성 또는 해킹된 앱으로 인한 손실 가능성을 줄이는가?

주요 결과

• 사용자가 인식하는 장치 작업의 위험 수준이 도메인 전문가의 평가와 밀접하게 일치함을 확인하여, 사용자 연구를 통한 위험 분류에 대한 타당성을 입증하였다.
• 평가된 스마트앱에서 고위험 작업 액세스가 60% 감소하였고, 동시에 전체 기능이 유지됨을 확인하였다.
• 사용자에게 과도한 허가 결정을 부담 주지 않도록 위험 수준의 세분화 수준을 적절히 조절함으로써 사용성 유지가 가능하였다.
• 실체적 장치 작업의 위험 비대칭성(예: 'door.unlock'은 고위험, 'door.lock'은 중위험)이 액세스 제어 그룹화에 효과적으로 기여함을 입증하였다.
• 정적 위험 모델은 初기 배포에 효과적이지만, 사용자 맥락에 기반한 동적 위험 적응은 향후 연구의 유망한 방향이다.
• 앱 재작성 메커니즘이 플랫폼 또는 장치 펌웨어의 변경 없이도 위험 기반 허가를 성공적으로 강제 적용하였다.