[论文解读] MPInspector: A Systematic and Automatic Approach for Evaluating the Security of IoT Messaging Protocols

Qinying Wang, Shouling Ji+9 more|arXiv (Cornell University)|Aug 18, 2022

Advanced Malware Detection Techniques参考文献 24被引用 13

一句话总结

MPInspector 是首个通过结合模型学习与形式化验证，实现对物联网消息协议（MP）实现自动化、系统化安全评估的框架。它通过黑盒交互逆向推导 MP 状态机，推断安全属性，并在九个商用物联网平台上对 MQTT、CoAP 和 AMQP 协议检测到 252 个违规行为，揭示了 11 种攻击类型，检测精度达 100%，平均分析开销约为 4.5 小时。

ABSTRACT

Facilitated by messaging protocols (MP), many home devices are connected to the Internet, bringing convenience and accessibility to customers. However, most deployed MPs on IoT platforms are fragmented and are not implemented carefully to support secure communication. To the best of our knowledge, there is no systematic solution to perform automatic security checks on MP implementations yet. To bridge the gap, we present MPInspector, the first automatic and systematic solution for vetting the security of MP implementations. MPInspector combines model learning with formal analysis and operates in three stages: (a) using parameter semantics extraction and interaction logic extraction to automatically infer the state machine of an MP implementation, (b) generating security properties based on meta properties and the state machine, and (c) applying automatic property based formal verification to identify property violations. We evaluate MPInspector on three popular MPs, including MQTT, CoAP and AMQP, implemented on nine leading IoT platforms. It identifies 252 property violations, leveraging which we further identify eleven types of attacks under two realistic attack scenarios. In addition, we demonstrate that MPInspector is lightweight (the average overhead of end-to-end analysis is ~4.5 hours) and effective with a precision of 100% in identifying property violations.

研究动机与目标

• 为解决现有缺乏系统性、自动化工具来评估商业平台上的物联网消息协议（MP）实现安全性的问题。
• 克服闭源、多样化且定制化的 MP 实现所导致的传统白盒分析难以奏效的挑战。
• 实现在无源代码访问的前提下，对 MP 工作流中的逻辑级安全缺陷进行可扩展、精确且自动化的检测。
• 通过识别标准 MP 规范与实际实现之间的偏差，弥合两者之间的差距，从而发现可被利用的漏洞。

提出的方法

• 采用主动模型学习技术，通过黑盒方式发送输入并观察输出，逆向推导出 MP 实现的状态机。
• 利用流量分析与基于自然语言处理（NLP）的技术，从消息流量中提取参数语义与交互逻辑，以逆向推导消息结构。
• 结合标准协议元属性与从学习到的状态机中推导出的自定义逻辑，生成安全属性。
• 将推导出的状态机与安全属性转换为 Tamarin 兼容的形式化规范，以支持自动化验证。
• 通过 Tamarin Prover 执行形式化验证，检测安全属性的违反情况，确保漏洞检测的 100% 精度。
• 采用属性驱动的方法，系统性地探索并验证多种 MP 类型与平台上的安全需求。

实验结果

研究问题

• RQ1 在无法访问源代码的前提下，如何自动恢复闭源、定制化物联网消息协议实现的行为模型？
• RQ2 在真实世界的 MP 实现中，哪些安全属性常被违反？这些属性如何能系统性地从协议规范与实现行为中推导得出？
• RQ3 在大规模场景下，模型学习与形式化验证的结合在检测物联网消息协议逻辑级漏洞方面能达到何种程度？
• RQ4 通过自动化分析 MP 实现，可以发现哪些现实世界中的攻击？这些攻击与已知漏洞有何不同？
• RQ5 一种自动化、黑盒式的检测方法在检测多样化、生产级物联网消息协议的安全缺陷方面，其效率与精度如何？

主要发现

• MPInspector 在九个主流物联网平台上共检测到 252 个安全属性违规，所有违规均经确认为真实漏洞，精度达 100%。
• 该框架发现了十一种此前未知的攻击类型，包括身份认证绕过、消息注入与拒绝服务漏洞，且在真实攻击场景下可被触发。
• 所有平台的端到端平均分析时间约为 4.5 小时，证明了该框架的实际效率。
• MPInspector 即使在消息使用自定义参数组合或加密的情况下，也能成功逆向推导出状态机与参数语义。
• 与人工分析方法相比，该框架检测到了四种文献中此前未报告的新攻击类型。
• 在 [52] 处公开发布 MPInspector，支持结果可复现，并为未来更广泛的物联网安全研究提供扩展基础。