[논문 리뷰] Aware: Controlling App Access to I/O Devices on Mobile Platforms

Giuseppe Petracca, Ahmad Atamli외 3명|arXiv (Cornell University)|2016. 04. 07.

Advanced Malware Detection Techniques참고 문헌 16인용 수 5

한 줄 요약

Aware는 모바일 플랫폼에서 앱 요청을 사용자 의도와 연결하여 카메라, 마이크, 화면과 같은 I/O 장치 접근을 보호하는 보안 프레임워크이다. 런타임 인터셉션과 명시적 사용자 동의를 통해 카메라, 마이크, 화면의 무단 사용을 방지한다. 인식 없이 악성 공격의 탐지되지 않은 비율을 82%에서 18%로 감소시키며, 동의 없이 모든 공격을 차단하고, 사용자가 단 4.79%의 최대 성능 오버헤드로 82%의 정교한 사회공학 공격을 탐지할 수 있도록 한다.

ABSTRACT

Smartphones' cameras, microphones, and device displays enable users to capture and view memorable moments of their lives. However, adversaries can trick users into authorizing malicious apps that exploit weaknesses in current mobile platforms to misuse such on-board I/O devices to stealthily capture photos, videos, and screen content without the users' consent. Contemporary mobile operating systems fail to prevent such misuse of I/O devices by authorized apps due to lack of binding between users' interactions and accesses to I/O devices performed by these apps. In this paper, we propose Aware, a security framework for authorizing app requests to perform operations using I/O devices, which binds app requests with user intentions to make all uses of certain I/O devices explicit. We evaluate our defense mechanisms through laboratory-based experimentation and a user study, involving 74 human subjects, whose ability to identify undesired operations targeting I/O devices increased significantly. Without Aware, only 18% of the participants were able to identify attacks from tested RAT apps. Aware systematically blocks all the attacks in absence of user consent and supports users in identifying 82% of social-engineering attacks tested to hijack approved requests, including some more sophisticated forms of social engineering not yet present in available RATs. Aware introduces only 4.79% maximum performance overhead over operations targeting I/O devices. Aware shows that a combination of system defenses and user interface can significantly strengthen defenses for controlling the use of on-board I/O devices.

연구 동기 및 목표

• 모바일 I/O 장치(카메라, 마이크, 화면 등)에 대한 허가된 접근을 악용하는 원격 제어 트로이 목재(RATs)의 증가하는 위협을 해결하기 위해.
• 현재의 모바일 OS가 사용자 동의를 실제 장치 사용과 연결하지 못해 암시장적 데이터 유출를 허용하는 한계를 극복하기 위해.
• 모든 I/O 작업을 명시적이고 동의 기반으로 만들음으로써 사용자가 지속적인 모니터링에 의존하는 것을 줄이기 위해.
• 시스템 수준의 중재와 사용자 인터페이스 피드백을 조합했을 때 I/O 장치에 대한 사회공학 공격 탐지 능력이 크게 향상되는지 평가하기 위해.
• 실제 안드로이드 환경에서 I/O 작업에 대한 명시적 사용자 동의를 적용할 경우 발생하는 성능 오버헤드를 측정하기 위해.

제안 방법

• 시스템 수준 서비스를 통해 카메라, 마이크, 화면과 같은 I/O 장치 접근 요청을 모두 인터셉트하고, 접근을 중재한다.
• 모든 I/O 작업마다 앱에 관계없이 지속 가능한 사용자 프롬프트를 표시하여 사용자 의도를 명시적으로 캡처하고, 위조할 수 없도록 보장한다.
• 지속적인 I/O 작업의 상태를 유지하여 사용자가 언제든지 이를 종료할 수 있도록 한다.
• 앱이 동의 프롬프트를 조작하거나 숨길 수 없도록 보장하기 위해 안전하고 비상호작용식 인터페이스를 사용한다.
• 안드로이드 6.0.1_r5에 프레임워크를 구현하고, 마이크로벤치마크와 74명의 참가자로 구성된 사용자 연구를 통해 평가한다.
• 정상 안드로이드 시스템과 Aware 기반 시스템 간의 요청에서 승인까지의 지연 시간을 비교하여 성능 오버헤드를 측정한다.

실험 결과

연구 질문

• RQ1 사용자 동의를 I/O 장치 작업에 연결하는 시스템 수준의 프레임워크가 악성 앱의 암시장적 데이터 유출 성공률을 크게 감소시킬 수 있는가?
• RQ2 명시적이고 시각적으로 노출된 동의 프롬프트를 제공받을 경우, 승인된 요청을 악용하는 정교한 사회공학 공격을 사용자가 얼마나 잘 탐지할 수 있는가?
• RQ3 현대 모바일 플랫폼에서 I/O 장치 접근에 대한 명시적 사용자 동의를 적용할 경우 발생하는 성능 오버헤드는 어느 정도인가?
• RQ4 기존의 접근 제어 메커니즘과 비교했을 때, 사용자 동의가 필요하지 않은 공격을 Aware가 얼마나 효과적으로 차단하는가?
• RQ5 시스템 강제 조치와 사용자 인터페이스 피드백의 조합이 모바일 보안에서 사용자 피로감과 알림 무시 현상을 줄이는 데 효과적인가?

주요 결과

• Aware가 없을 경우, 74명의 참가자 중 단 18%만 테스트된 RAT 앱의 공격를 식별할 수 있었으며, 이는 암시장적 I/O 남용의 높은 성공률을 보여준다.
• Aware는 사용자 동의가 없을 경우 모든 공격을 성공적으로 차단하여 무단 접근의 완전한 방지를 입증했다.
• Aware를 통해 사용자는 승인된 요청을 악용하는 정교한 사회공학 공격 중 82%를 탐지했으며, 이는 이전에 알려지지 않은 공격 패턴까지 포함된다.
• Aware가 유발하는 최대 성능 오버헤드는 화면 캡처 작업에서 4.79%였고, 모든 I/O 작업 평균은 2.19%였다.
• 마이크로벤치마크 결과, Aware는 I/O 요청당 1~5μs의 지연만 추가하여 시스템 반응성에 거의 영향을 주지 않았다.
• 사용자 연구 결과, 명시적이고 지속적이며 앱에 관계없는 동의 프롬프트가 사용자 오류를 크게 줄이고 악성 행동 탐지 능력을 향상시킨다.