[論文レビュー] SafeChain: Securing Trigger-Action Programming From Attack Chains

Kai-Hsiang Hsu, Yu-Hsi Chiang+1 more|arXiv (Cornell University)|Oct 1, 2019

Security and Verification in Computing参考文献 26被引用数 7

ひとこと要約

この論文では、IoTのトリガー・アクションプログラミングにおける隠れた攻撃チェーンを、エコシステムを有限状態機械としてモデル化することで検出する、モデルチェックイングベースのシステムSafeChainを提案する。ルールに特化した最適化を用いることで、特権昇格およびプライバシー漏洩脆弱性を効率的に同定し、1秒未満で100のルールを検証し、誤検出ゼロを達成する。

ABSTRACT

The proliferation of Internet of Things (IoT) is reshaping our lifestyle. With IoT sensors and devices communicating with each other via the Internet, people can customize automation rules to meet their needs. Unless carefully defined, however, such rules can easily become points of security failure as the number of devices and complexity of rules increase. Device owners may end up unintentionally providing access or revealing private information to unauthorized entities due to complex chain reactions among devices. Prior work on trigger-action programming either focuses on conflict resolution or usability issues, or fails to accurately and efficiently detect such attack chains. This paper explores security vulnerabilities when users have the freedom to customize automation rules using trigger-action programming. We define two broad classes of attack--privilege escalation and privacy leakage--and present a practical model-checking-based system called SAFECHAIN that detects hidden attack chains exploiting the combination of rules. Built upon existing model-checking techniques, SAFECHAIN identifies attack chains by modeling the IoT ecosystem as a Finite State Machine. To improve practicability, SAFECHAIN avoids the need to accurately model an environment by frequently re-checking the automation rules given the current states, and employs rule-aware optimizations to further reduce overhead. Our comparative analysis shows that SAFECHAIN can efficiently and accurately identify attack chains, and our prototype implementation of SAFECHAIN can verify 100 rules in less than one second with no false positives.

研究の動機と目的

• デバイスの複雑さとルールの相互依存性の増加に伴い、IoTのトリガー・アクションプログラミングにおけるセキュリティリスクの増大に対処すること。
• ユーザーが定義した自動化ルールの組み合わせを悪用する、これまでに発見されていなかった攻撃チェーンを同定すること。
• 特権昇格およびプライバシー漏洩脆弱性の両方を検出できる、実用的でスケーラブルなソリューションを開発すること。
• 完全な環境モデリングを回避し、ルールに特化した最適化を用いることで、検証のオーバーヘッドを低減すること。
• 誤検出ゼロで、悪意あるルールの組み合わせを高精度かつ低遅延で検出することを保証すること。

提案手法

• デバイスの状態とルールによる遷移を表現するために、IoTエコシステムを有限状態機械（FSM）としてモデル化する。
• モデルチェックイング技術を適用し、ルール実行の任意のシーケンスが不正な状態遷移を引き起こすかどうかを体系的に検証する。
• 現在のデバイス状態に基づいてルールを動的に再検証することで、正確な環境モデリングの必要性を回避する。
• ルールの依存関係と伝搬経路を分析することで、冗長なチェックを削減するルールに特化した最適化を導入する。
• 既存のモデルチェックイングフレームワークを活用し、セキュリティ検証をルール作成プロセスに統合する。
• 時間論理のアサーションとしてセキュリティ特性を定式化し、攻撃チェーンの不在を形式的に検証する。

実験結果

リサーチクエスチョン

• RQ1 デバイス間の相互作用の複雑さにもかかわらず、どのようにしてトリガー・アクションプログラミングにおける隠れた攻撃チェーンを体系的かつ効果的に検出できるか？
• RQ2 動的IoT環境において、高い正確性を維持しながら検証のオーバーヘッドを低減する技術は何か？
• RQ3 ルールに特化した最適化は、攻撃チェーン検出のスケーラビリティをどの程度向上できるか？
• RQ4 提案されたシステムは、誤検出ゼロで特権昇格およびプライバシー漏洩脆弱性の両方を検出できるか？
• RQ5 ルール数やデバイス数の増加に伴い、SafeChainのパフォーマンスはどのようにスケーリングするか？

主な発見

• SafeChainは、複数のルールを組み合わせて不正な結果を達成する隠れた攻撃チェーンを正常に検出できた。
• 特権昇格およびプライバシー漏洩脆弱性の検出において、誤検出ゼロを達成した。
• SafeChainは100のトリガー・アクションルールを1秒未塔で検証でき、高いパフォーマンスとスケーラビリティを示した。
• ルールに特化した最適化により、冗長な状態探索を最小限に抑えることで、検証のオーバーヘッドが顕著に削減された。
• 現在のデバイス状態に基づく動的再検証により、正確な環境モデリングの必要性が排除された。
• プロトタイプ実装により、SafeChainが現実的なIoTルールの複雑さのもとで、効率的かつ正確であることが確認された。