[논문 리뷰] Capturing Information Flows inside Android and Qemu Environments

Marco Sironi, Francesco Tisato|arXiv (Cornell University)|2013. 02. 20.

Advanced Data Storage Technologies참고 문헌 2인용 수 3

한 줄 요약

이 논문은 Android 및 QEMU 가상화 환경 내의 정보 흐름을 캡처하고 분석하기 위한 방법을 제시한다. 이는 로깅 인fra구조를 활용하여, 추적 기반의 인스트루멘테이션과 로그 상관 분석을 통해 제어되고 관찰 가능한 방식으로 시스템 구성 요소 간 데이터가 어떻게 전파되는지에 대한 상세한 분석을 통해 이를 입증한다.

ABSTRACT

The smartphone market has grown so wide that it assumed a strategic relevance. Today the most common smartphone OSs are Google's Android and Apple's iOS. The former is particularly interesting due to its open source nature, that allows everyone to deeply inspect every aspect of the OS. Android source code is also bundled with an hardware emulator, based on the open source software Qemu, that allows the user to run the Android OS without the need of a physical device. We first present a procedure to extract information flows from a generic system. We then focus on Android and Qemu architectures and their logging infrastructures. Finally, we detail what happens inside an Android device in a particular scenario: the system boot.

연구 동기 및 목표

• 일반 컴퓨팅 시스템에서 정보 흐름을 추출하고 분석하기 위한 체계적인 절차를 개발하는 것.
• Android 및 QEMU의 로깅 메커니즘을 분석하여 추적 기반 정보 흐름 분석을 가능하게 하는 것.
• 구체적인 시스템 시나리오인 Android 부팅 과정에 이 방법을 적용하여 데이터 전파 역학을 이해하는 것.
• 가상화된 모바일 환경에서 민감한 데이터 전파를 관찰할 수 있는 가능성을 입증하는 것.
• 향후 보안 분석을 위한 기반을 제공하는 것, 예를 들어 Android 및 에뮬레이터 환경에서의 유출 또는 사이드 채널 노출 감지를 위한 것.

제안 방법

• 시스템 수준 로깅 및 추적 수집 기반의 일반적인 정보 흐름 추출 프레임워크를 설계하는 것.
• Android의 네이티브 로깅 인fra구조(logd, logcat)와 QEMU의 내장 추적 기능을 활용하여 런타임 이벤트를 캡처하는 것.
• 타임스탬프와 프로세스 식별자를 사용하여 커널, 유저스페이스, 에뮬레이터 등 다양한 소스의 로그를 상관시키는 것.
• 부팅 과정을 인스트루먼트하여 초기 부팅 단계에서부터 전체 시스템 초기화까지의 데이터 전파를 추적하는 것.
• 시스템 구성 요소 간 로그 항목의 순서와 맥락을 분석하여 정보 흐름을 매핑하는 것.
• 제어된 QEMU 기반 에뮬레이션 환경에서 데이터 흐름을 재구성함으로써 방법의 타당성을 검증하는 것.

실험 결과

연구 질문

• RQ1 어떻게 복잡한 가상화 시스템인 Android 및 QEMU에서 정보 흐름을 체계적으로 캡처하고 상관시킬 수 있는가?
• RQ2 Android 부팅 과정 중 핵심적인 데이터 전파 경로는 무엇이며, 기존의 로깅 메커니즘을 통해 어떻게 추적할 수 있는가?
• RQ3 Android 및 QEMU의 기존 로깅 인fra구조는 얼마나 정교한 정보 흐름 분석을 지원할 수 있는가?
• RQ4 제안된 방법은 가상화 환경에서 시스템 레이어 간 민감한 데이터 전파를 감지하고 재구성할 수 있는가?
• RQ5 모바일 가상화 환경에서 정보 흐름 추적을 위해 로깅 기반 접근 방식을 사용할 경우의 제약 사항과 과제는 무엇인가?

주요 결과

• Android 및 QEMU의 로깅 인fra구조는 시스템 구성 요소 간 정보 흐름을 재구성하는 데 충분한 저수준 텔레메트리 데이터를 제공한다.
• Android의 부팅 과정은 커널 수준 초기화에서 유저스페이스 서비스로의 데이터 흐름이 발생하는 여러 단계로 이루어지며, 로그 항목을 통해 관찰 가능한 전파가 이루어진다.
• 커널, init, zygote, 시스템 서버 등 다양한 시스템 레이어의 로그를 상관시킴으로써 종단 간 정보 흐름 경로를 재구성할 수 있다.
• 이 방법은 초기 부팅 구성 요소에서 고수준 시스템 서비스로의 데이터 전파를 성공적으로 식별하여 실제 시나리오에서의 가능성과 타당성을 입증한다.
• 가상화 환경에서도 민감한 데이터가 예측 가능한 로깅 패tern을 통해 추적 가능하며, 이는 사이드 채널 분석을 위한 잠재적 공격 표면을 드러낸다.
• 기존 로깅 시스템은 정보 흐름 추적을 위해 설계된 것은 아니지만, 적절한 상관 기법을 적용하면 효과적으로 재사용 가능하다는 점을 확인했다.