[论文解读] Pitfalls in Designing Zero-Effort Deauthentication: Opportunistic Human Observation Attacks

Otto Huhta, Prakash Shrestha+4 more|arXiv (Cornell University)|May 21, 2015

User Authentication and Security Systems参考文献 26被引用 4

一句话总结

本文揭示了ZEBRA中一个关键的设计缺陷。ZEBRA是一种零成本退出认证方案，通过可穿戴传感器数据检测用户存在状态，并在活动停止时自动登出。作者证明，一名机会型人类攻击者仅需在附近终端模仿键盘活动，即可绕过ZEBRA机制，这种攻击方式比原始设计中假设的简单方法更为容易且高效，从而在现实威胁模型下严重削弱了该方案的安全性。

ABSTRACT

Deauthentication is an important component of any authentication system. The widespread use of computing devices in daily life has underscored the need for zero-effort deauthentication schemes. However, the quest for eliminating user effort may lead to hidden security flaws in the authentication schemes. As a case in point, we investigate a prominent zero-effort deauthentication scheme, called ZEBRA, which provides an interesting and a useful solution to a difficult problem as demonstrated in the original paper. We identify a subtle incorrect assumption in its adversary model that leads to a fundamental design flaw. We exploit this to break the scheme with a class of attacks that are much easier for a human to perform in a realistic adversary model, compared to the naïve attacks studied in the ZEBRA paper. For example, one of our main attacks, where the human attacker has to opportunistically mimic only the victim's keyboard typing activity at a nearby terminal, is significantly more successful compared to the naïve attack that requires mimicking keyboard and mouse activities as well as keyboard-mouse movements. Further, by understanding the design flaws in ZEBRA as cases of tainted input, we show that we can draw on well-understood design principles to improve ZEBRA's security.

研究动机与目标

• 分析零成本双向退出认证方案（如ZEBRA）所依赖的安全假设，这些方案依赖于在两个来源之间比较用户行为。
• 识别并利用ZEBRA敌手模型中隐藏的设计假设，该假设低估了人类攻击者的能力。
• 证明机会型人类攻击——仅需最小努力且仅针对用户活动的子集——比原始ZEBRA评估中考虑的简单攻击方式显著更有效。
• 表明ZEBRA的根本漏洞源于将传感器输入视为未受污染，从而导致可被利用的输入验证缺陷。
• 基于污染输入模型提出设计原则，以在不牺牲可用性的前提下增强ZEBRA及类似方案的安全性。

提出的方法

• 构建了ZEBRA的端到端实现，以支持真实场景下的攻击测试，包括对传感器和终端事件流的实时处理。
• 设计并执行了一类新型机会型人类攻击：攻击者观察受害者键盘活动，并在附近终端仅模仿键盘事件。
• 将此类机会型攻击的成功率与原始ZEBRA论文中假设的“简单”攻击模型进行对比，后者要求同时模仿键盘和鼠标操作。
• 使用统计分析评估在现实条件下（包括时间间隔和行为相似性度量）的攻击成功率。
• 将ZEBRA中的设计缺陷重新表述为污染输入问题，应用已确立的软件工程原则提出缓解策略。
• 评估了ZEBRA对无辜（意外）和恶意对手的鲁棒性，凸显了预期威胁模型与实际威胁模型之间的差距。

实验结果

研究问题

• RQ1 在零成本退出认证系统中，假设敌手无法观察或模仿用户行为，其安全影响是什么？
• RQ2 机会型人类攻击的成功率与原始ZEBRA中假设的、试图模仿所有用户交互的简单攻击相比如何？
• RQ3 ZEBRA关于输入完整性的设计假设在哪些方面导致了可被利用的漏洞？
• RQ4 能否将污染输入模型的设计原则应用于改进零成本双向认证方案的安全性？
• RQ5 当原始敌手模型低估攻击者能力时，ZEBRA在面对真实世界对手时仍能在多大程度上保持安全？

主要发现

• 仅在附近终端模仿受害者键盘活动的机会型人类攻击者，可比原始ZEBRA论文中假设的简单攻击模型以显著更高的成功率击败ZEBRA。
• 机会型攻击的成功率在统计上优于简单攻击，表明原始ZEBRA敌手模型过于理想化，导致对安全性的高估。
• ZEBRA的根本缺陷源于错误地假设传感器输入是未受污染的，使系统容易受到行为欺骗的操纵。
• ZEBRA对无辜用户的意外误用仍具有鲁棒性，这与其原始设计目标一致，但对有目的、机会型的对手则完全失效。
• 该漏洞并非源于实现缺陷，而是源于威胁模型 flawed，低估了人类攻击者利用部分行为模仿的能力。
• 将污染输入原则应用于ZEBRA设计，可实现安全且可用的退出认证机制，在保留零成本特性的同时抵御真实世界的对抗行为。