[论文解读] Guardian of the HAN: Thwarting Mobile Attacks on Smart-Home Devices Using OS-level Situation Awareness

Soteris Demetriou, Nan Zhang+5 more|arXiv (Cornell University)|Mar 4, 2017

Advanced Malware Detection Techniques参考文献 36被引用 5

一句话总结

Hanguard 是一种轻量级、向后兼容的系统，通过结合手机端操作系统的应用监控与路由器端基于角色的访问控制（RBAC）模型的网络强制机制，保护智能家居物联网设备免受移动设备发起的攻击。该系统无需修改物联网设备、手机或路由器，即可实现细粒度的、基于应用的访问控制，并已在 Android 和 iOS 上成功实现并评估，支持真实世界中的路由器。

ABSTRACT

A new development of smart-home systems is to use mobile apps to control IoT devices across a Home Area Network (HAN). Those systems tend to rely on the Wi-Fi router to authenticate other devices; as verified in our study, IoT vendors tend to trust all devices connected to the HAN. This treatment exposes them to the attack from malicious apps, particularly those running on authorized phones, which the router does not have information to control, as confirmed in our measurement study. Mitigating this threat cannot solely rely on IoT manufacturers, which may need to change the hardware on the devices to support encryption, increasing the cost of the device, or software developers who we need to trust to implement security correctly. In this work, we present a new technique to control the communication between the IoT devices and their apps in a unified, backward-compatible way. Our approach, called Hanguard, does not require any changes to the IoT devices themselves, the IoT apps or the OS of the participating phones. Hanguard achieves a fine-grained, per-app protection through bridging the OS-level situation awareness and the router-level per-flow control: each phone runs a non-system userspace Monitor app to identify the party that attempts to access the protected IoT device and inform the router through a control plane of its access decision; the router enforces the decision on the data plane after verifying whether the phone should be allowed to talk to the device. Hanguard uses a role-based access control (RBAC) schema which leverages type enforcement (TE) and multi-category security (MCS) primitives to define highly flexible access control rules. We implemented our design over both Android and iOS (>95% of mobile OS market share) and a popular router. Our study shows that Hanguard is both efficient and effective in practice.

研究动机与目标

• 应对智能家庭物联网设备日益增长的移动应用攻击威胁，特别是来自授权手机上运行的恶意应用的攻击。
• 克服现有网络级防御机制无法区分可信设备上合法与恶意应用流量的局限性。
• 设计一种无需修改物联网设备、移动操作系统或路由器硬件即可强制实施细粒度访问控制的解决方案。
• 在保持与现有家庭自动化网络（HAN）基础设施向后兼容的同时，为共享的物联网设备提供强大且基于策略的保护。
• 通过统一的分布式访问控制模型，弥合手机端应用级上下文与路由器端网络级强制之间的语义鸿沟。

提出的方法

• 在移动设备上部署一个非系统级的用户空间监控应用（Monitor），以检测授权应用是否尝试与受保护的物联网设备通信。
• 利用类型强制（TE）和多类别安全（MCS）原语，通过操作系统级别的上下文感知技术识别应用的角色和类别。
• 通过安全控制平面将监控应用的访问决策发送至路由器，告知路由器是否应允许该应用访问设备。
• 基于接收到的决策，在路由器端实施基于流的细粒度控制，使用基于角色的访问控制（RBAC）模式强制执行访问策略。
• 使用标准协议（包括NAT和端口受限的锥形NAT）与现有网络基础设施集成，以支持依赖云的应用。
• 通过扩展NAT检查并基于策略和时间约束验证远程流量，同时支持本地HAN通信和基于云的通信。

实验结果

研究问题

• RQ1 是否可以设计一种轻量级、向后兼容的系统，在不修改现有设备或操作系统的情况下，对智能家居物联网设备实施细粒度的访问控制？
• RQ2 如何有效将操作系统级别的应用上下文（如应用角色和类别）映射到路由器端的网络级强制控制？
• RQ3 基于角色的访问控制（RBAC）结合类型强制（TE）和多类别安全（MCS）的分布式访问控制模型，能否有效防范针对可信HAN设备的移动应用攻击？
• RQ4 此类系统在真实家庭自动化网络环境中的实际可行性及性能开销如何？
• RQ5 系统如何安全地处理从外部源发起连接的依赖云的物联网应用？

主要发现

• Hanguard 通过区分合法与恶意应用流量，成功防止了对物联网设备的移动应用攻击，且无需修改设备或操作系统。
• 该系统已在 Android 和 iOS 上实现并评估，证明与超过 95% 的移动操作系统市场份额兼容。
• Hanguard 通过统一的策略模型，结合操作系统级别的上下文感知与路由器端的强制执行，实现了细粒度的、基于应用的访问控制。
• 该解决方案同时支持本地HAN通信和基于云的通信，通过时间绑定的策略验证安全处理远程流量。
• 通过真实世界部署与评估，系统在实现有效保护的同时，性能开销极低。
• Hanguard 的设计支持渐进式部署——仅需更新路由器并安装移动应用，使其具备广泛部署的实用性。