[论文解读] Discovering Physical Interaction Vulnerabilities in IoT Deployments.

Muslum Ozgur Ozmen, Xuansong Li+4 more|arXiv (Cornell University)|Feb 3, 2021

Advanced Malware Detection Techniques参考文献 41被引用 4

一句话总结

IoTSeer 是一种安全服务，可将物联网应用源代码转换为混合 I/O 自动机，以建模物理行为，将多个应用组合为联合行为模型，并使用基于网格的测试和可 falsification 技术检测不安全的物理交互。它能识别策略违规的根本原因并建议修复补丁，在配备 13 个执行器、6 个传感器和 37 个应用的真实房屋中证明了其有效性。

ABSTRACT

Internet of Things (IoT) applications drive the behavior of IoT deployments according to installed sensors and actuators. It has recently been shown that IoT deployments are vulnerable to physical interactions, caused by design flaws or malicious intent, that can have severe physical consequences. Yet, extant approaches to securing IoT do not translate the app source code into its physical behavior to evaluate physical interactions. Thus, IoT consumers and markets do not possess the capability to assess the safety and security risks these interactions present. In this paper, we introduce the IoTSeer security service for IoT deployments, which uncovers undesired states caused by physical interactions. IoTSeer operates in four phases (1) translation of each actuation command and sensor event in an app source code into a hybrid I/O automaton that defines an app's physical behavior, (2) combining apps in a novel composite automaton that represents the joint physical behavior of interacting apps, (3) applying grid-based testing and falsification to validate whether an IoT deployment conforms to desired physical interaction policies, and (4) identification of the root cause of policy violations and proposing patches that guide users to prevent them. We use IoTSeer in an actual house with 13 actuators and six sensors with 37 apps and demonstrate its effectiveness and performance.

研究动机与目标

• 为解决缺乏分析物联网部署中物理交互风险的工具的问题，将应用代码转换为物理行为模型。
• 实现对由应用交互引发的不安全物理交互的自动化检测，特别是那些导致意外或有害结果的交互。
• 通过识别策略违规的根本原因并建议修正补丁，提供可操作的反馈。
• 通过建模多个交互式物联网应用的联合行为，弥合高层应用逻辑与底层物理安全之间的差距。

提出的方法

• 将物联网应用源代码中的每个执行命令和传感器事件转换为混合 I/O 自动机，以表示物理行为。
• 通过组合单个应用的自动机构建复合自动机，以建模交互应用的联合物理行为。
• 应用基于网格的测试和模型 falsification 技术，系统性地探索状态空间，并检测对期望物理交互策略的违反。
• 使用形式化分析技术，将策略违规追溯到源代码中的根本原因，并生成用于缓解的补丁建议。
• 在配备 13 个执行器、6 个传感器和 37 个应用的真实部署中验证该方法，以评估其可扩展性和有效性。

实验结果

研究问题

• RQ1 物联网应用能否被系统性地转换为形式化模型，以捕捉其物理行为用于安全分析？
• RQ2 当多个物联网应用在共享环境中交互时，如何建模其联合物理行为？
• RQ3 基于网格的测试和 falsification 能否有效发现复杂物联网部署中的不安全物理交互状态？
• RQ4 在多大程度上可以自动诊断并修复物理交互漏洞的根本原因？
• RQ5 IoTSeer 框架在真实世界的大规模物联网环境中，其有效性和可扩展性如何？

主要发现

• IoTSeer 在配备 13 个执行器、6 个传感器和 37 个应用的真实房屋中成功检测到不安全的物理交互状态，证明了其实际适用性。
• 该框架识别出此前未知的交互漏洞，可能导致意外的物理后果，例如执行器命令冲突。
• 根因分析实现了对问题代码模式的精确识别，使开发人员能够实施针对性修复。
• 基于网格的测试和 falsification 显著提高了与随机测试相比的状态空间探索覆盖率。
• 复合自动机模型准确捕捉了多个应用之间的联合行为，从而能够检测出在孤立状态下不可见的新兴不安全交互。