[논문 리뷰] Guardian of the HAN: Thwarting Mobile Attacks on Smart-Home Devices Using OS-level Situation Awareness

Soteris Demetriou, Nan Zhang외 5명|arXiv (Cornell University)|2017. 03. 04.

Advanced Malware Detection Techniques참고 문헌 36인용 수 5

한 줄 요약

Hanguard는 스마트홈 IoT 기기를 스마트폰 기반 공격으로부터 보호하기 위해 스마트폰의 OS 수준 앱 모니터링과 라우터 수준의 네트워크 강제수행을 조합한 경량이며 후행 호환성 있는 시스템이다. 이 시스템은 IoT 기기, 스마트폰, 라우터를 수정하지 않고도 개별 앱 기반의 세밀한 액세스 제어를 가능하게 하며, 실세계의 라우터와 함께 안드로이드 및 아이패드에서 성공적으로 구현 및 평가되었다.

ABSTRACT

A new development of smart-home systems is to use mobile apps to control IoT devices across a Home Area Network (HAN). Those systems tend to rely on the Wi-Fi router to authenticate other devices; as verified in our study, IoT vendors tend to trust all devices connected to the HAN. This treatment exposes them to the attack from malicious apps, particularly those running on authorized phones, which the router does not have information to control, as confirmed in our measurement study. Mitigating this threat cannot solely rely on IoT manufacturers, which may need to change the hardware on the devices to support encryption, increasing the cost of the device, or software developers who we need to trust to implement security correctly. In this work, we present a new technique to control the communication between the IoT devices and their apps in a unified, backward-compatible way. Our approach, called Hanguard, does not require any changes to the IoT devices themselves, the IoT apps or the OS of the participating phones. Hanguard achieves a fine-grained, per-app protection through bridging the OS-level situation awareness and the router-level per-flow control: each phone runs a non-system userspace Monitor app to identify the party that attempts to access the protected IoT device and inform the router through a control plane of its access decision; the router enforces the decision on the data plane after verifying whether the phone should be allowed to talk to the device. Hanguard uses a role-based access control (RBAC) schema which leverages type enforcement (TE) and multi-category security (MCS) primitives to define highly flexible access control rules. We implemented our design over both Android and iOS (>95% of mobile OS market share) and a popular router. Our study shows that Hanguard is both efficient and effective in practice.

연구 동기 및 목표

• 허가된 스마트폰에서 실행되는 악성 앱으로 인한 스마트홈 IoT 기기 위협 증가 문제를 해결한다.
• 기존의 네트워크 수준 방어 수단이 신뢰할 수 있는 기기에서 정상 및 악성 앱 트래픽을 구분하지 못하는 한계를 극복한다.
• IoT 기기, 모바일 운영체제, 라우터 하드웨어를 수정하지 않고도 세밀한 액세스 제어를 강제수행할 수 있는 솔루션을 설계한다.
• 기존 HAN 인프라와의 후행 호환성을 유지하면서도 공유되는 IoT 기기의 강력한 정책 기반 보호를 제공한다.
• 통합된 분산 액세스 제어 모델을 사용하여 스마트폰의 응용 프로그램 수준의 맥락(예: 앱 역할 및 카테고리)과 라우터의 네트워크 수준 강제수행 간의 의미적 격차를 메운다.

제안 방법

• 허가된 앱이 보호 대상 IoT 기기와 통신할 때를 감지하기 위해 스마트폰에 비시스템 사용자 공간의 모니터 앱을 배포한다.
• 유형 강제수행(Technical Enforcement, TE) 및 다중카테고리 보안(Multi-Category Security, MCS) 기반 원리를 활용하여 OS 수준의 상황 인식을 통해 앱의 역할과 카테고리를 식별한다.
• 보안 제어 평면을 통해 모니터에서 라우터로 액세스 결정을 전송하여, 해당 앱이 기기 접근을 허용받을지 여부를 알린다.
• 수신된 결정을 기반으로 라우터 수준에서 플로우 기반의 개별 제어를 구현하고, 역할 기반 액세스 제어(RBAC) 체계를 사용하여 액세스 정책을 강제수행한다.
• NAT 및 포트 제한형 코너 NAT를 포함한 표준 프로토콜을 사용하여 기존 네트워크 인fra와 통합하여 클라우드 기반 앱을 지원한다.
• 로컬 HAN 통신과 클라우드 기반 통신을 모두 지원하기 위해 NAT 검사 기능을 확장하고, 정책 및 시간 제약 조건에 기반한 원격 트래픽 검증을 수행한다.

실험 결과

연구 질문

• RQ1 기존 기기나 운영체제를 수정하지 않고도 스마트홈 IoT 기기에서 세밀한 액세스 제어를 경량이고 후행 호환성 있게 강제수행할 수 있는가?
• RQ2 OS 수준의 응용 프로그램 맥락(예: 앱 역할 및 카테고리)을 어떻게 효과적으로 라우터의 네트워크 수준 강제수행으로 연결할 수 있는가?
• RQ3 TE 및 MCS를 포함한 역할 기반 액세스 제어(RBAC) 기반의 분산 액세스 제어 모델이 신뢰할 수 있는 HAN 기기에서 스마트폰 기반 악성 공격을 방지할 수 있는가?
• RQ4 실세계 HAN 환경에서 이러한 시스템의 실용성과 성능 오버헤드는 어떠한가?
• RQ5 외부 소스에서 연결을 시작하는 클라우드 기반 IoT 앱을 안전하게 처리할 수 있는가?

주요 결과

• Hanguard는 기기나 운영체제 수정 없이도 정상 및 악성 앱 트래픽을 구분함으로써 스마트홈 IoT 기기의 스마트폰 기반 공격을 성공적으로 방지한다.
• 이 시스템은 안드로이드 및 아이패드 모두에서 구현 및 평가되었으며, 시장 점유율 약 95% 이상의 모바일 운영체제와 호환됨을 입증했다.
• OS 수준의 상황 인식과 라우터 수준의 강제수행을 활용하는 통합 정책 모델을 통해 Hanguard는 세밀한 앱 기반 액세스 제어를 가능하게 한다.
• 시스템은 로컬 HAN 통신과 클라우드 기반 통신을 모두 지원하며, 시간 제약 정책 검증을 통한 원격 트래픽의 안전한 처리를 보장한다.
• 실세계 배포 및 평가를 통해 최소한의 성능 오버헤드로 효과적인 보호를 달성함을 입증했다.
• Hanguard의 설계는 점진적 배포가 가능하다. 라우터 업데이트와 모바일 앱 설치만으로도 가능하므로 광범위한 보급에 실용적이다.