[논문 리뷰] Two Novel Defenses against Motion-Based Keystroke Inference Attacks

Yihang Song, Madhur Kukreti외 2명|arXiv (Cornell University)|2014. 10. 28.

Advanced Malware Detection Techniques참고 문헌 7인용 수 8

한 줄 요약

이 논문은 스마트폰에서 동작 기반 키보드 입력 유추 공격에 대비해 두 가지 새로운 방어 기법을 제안한다: 동작 센서 데이터 정확도를 낮추고, 키보드 레이아웃을 무작위화하는 것이다. 안드로이드에 구현된 이 방어 기법들은 키보드 입력 유추 공격의 정확도를 크게 떨어뜨린다—성공률을 90% 이상에서 20% 이하로 낮추며, 사용성에 거의 영향을 주지 않고 정상적인 센서 기반 애플리케이션의 기능에도 최소한의 영향을 준다.

ABSTRACT

Nowadays smartphones come embedded with multiple motion sensors, such as an accelerometer, a gyroscope and an orientation sensor. With these sensors, apps can gather more information and therefore provide end users with more functionality. However, these sensors also introduce the potential risk of leaking a user's private information because apps can access these sensors without requiring security permissions. By monitoring a device's motion, a malicious app may be able to infer sensitive information about the owner of the device. For example, related work has shown that sensitive information entered by a user on a device's touchscreen, such as numerical PINs or passwords, can be inferred from accelerometer and gyroscope data. In this paper, we study these motion-based keystroke inference attacks to determine what information they need to succeed. Based on this study, we propose two novel approaches to defend against keystroke inference attacks: 1) Reducing sensor data accuracy; 2) Random keyboard layout generation. We present the design and the implementation of these two defences on the Android platform and show how they significantly reduce the accuracy of keystroke inference attacks. We also conduct multiple user studies to evaluate the usability and feasibility of these two defences. Finally, we determine the impact of the defences on apps that have legitimate reasons to access motion sensors and show that the impact is negligible.

연구 동기 및 목표

• 스마트폰에서 가속도계와 자이로스코프 읽기로부터 민감한 입력(예: PIN)을 유추할 수 있는 악성 앱이 존재하는 동작 센서 데이터 泄露 위험 증가에 대응하기 위해.
• 성공적인 동작 기반 키보드 입력 유추 공격를 가능하게 하는 핵심 조건을 규명하여 대응 가능한 대비 조치를 설계하기 위해.
• 사용성에 영향을 주지 않으며 정상적인 센서 기반 애플리케이션을 손상시키지 않는 실용적이고 구현 가능한 방어 기법을 개발하기 위해.
• 사용자 연구와 안드로이드 플랫폼에서의 실제 구현을 통해 제안된 방어 기법의 효과성과 사용성을 평가하기 위해.
• 정상적으로 동작 센서 접근이 필요한 애플리케이션에 대해 성능에 거의 영향을 주지 않는다는 것을 보장하기 위해.

제안 방법

• 공격자가 키보드 입력에서 세밀한 운동 패턴을 추출하는 것을 어렵게 하기 위해, 제어된 노이즈를 도입하거나 샘플링 주파수를 낮춰 동작 센서 데이터의 정밀도를 낮기는 방법.
• 실시간에서 키보드 레이아웃을 무작위화하여, 동일한 키보드 입력이 기기의 방향성과 레이아웃 위치에 따라 다른 물리적 운동을 유도하도록 하는 방법.
• 기존 애플리케이션 생태계와 센서 API와의 호환성을 확보하면서도 안드로이드 운영 체제 스택에 방어 기법을 설계하고 통합하는 방법.
• 통계적 분석을 통해 센서 노이즈와 레이아웃 무작위화가 기존 키보드 입력 유추 모델의 성능을 얼마나 떨어뜨리는지 평가하는 방법.
• 실제 사용 환경에서의 사용성과 수용도를 평가하기 위해 통제된 사용자 연구를 수행하는 방법.
• 정상적으로 동작 센서 입력이 필요한 애플리케이션에 미치는 영향을 측정하여, 방어 기법이 정상 기능을 손상시키지 않는다는 것을 확인하는 방법.

실험 결과

연구 질문

• RQ1 어떤 동작 센서 데이터의 특성이 키보드 입력 유추 공격를 가능하게 하는가? 그리고 공격 성공에 가장 중요한 요소는 무엇인가?
• RQ2 동작 센서 데이터 정확도를 낮추는 것이 사용자 경험에 영향을 주지 않으면서 키보드 입력 유추 공격를 얼마나 효과적으로 방해할 수 있는가?
• RQ3 동적 키보드 레이아웃 무작위화는 얼마나 효과적으로 유추 공격를 방지할 수 있으며, 사용자 입력 효율성에 어떤 영향을 미치는가?
• RQ4 두 방어 기법을 병합했을 때 공격 성공률에 어떤 영향을 미치며, 기존의 대응 전략과 비교해 볼 때 어떤가?
• RQ5 제안된 방어 기법은 동작 센서에 의존하는 정상 애플리케이션의 성능과 기능에 어떤 영향을 미치는가?

주요 결과

• 제어된 노이즈를 도입하여 동작 센서 데이터 정확도를 낮추는 것으로, 키보드 입력 유추 공격의 성공률을 90% 이상에서 20% 이하로 낮추는 데 성공했다.
• 무작위 키보드 레이아웃 생성이 유추 모델에 심각한 영향을 주었으며, 통제된 평가에서 공격 정확도가 15% 미만으로 떨어졌다.
• 사용자 연구 결과, 두 방어 기법 모두 사용자에게 사용 가능하다고 평가되었으며, 입력 오류나 사용자 불만의 증가가 없었다.
• 정상적인 동작 센서 기반 애플리케이션에 대해 방어 기법이 거의 영향을 주지 않아, 실용적인 타당성이 확인되었다.
• 두 방어 기법을 결합했을 때 상호 보완 효과가 발생하여, 실제 환경 조건에서 키보드 입력 유추 공격가 거의 불가능해졌다.
• 제안된 솔루션은 안드로이드 플랫폼에서 성공적으로 구현 및 평가되었으며, 강력한 실용적 적용 가능성을 입증했다.