[论文解读] IoT Inspector

Danny Yuxing Huang, Noah Apthorpe+3 more|arXiv (Cornell University)|Jun 15, 2020

Privacy, Security, and Data Protection参考文献 8被引用 26

一句话总结

IoT Inspector 是一款开源工具，通过众包方式收集来自真实智能家居设备的标记网络流量，数据采集时间跨度为2019年4月至2020年1月，覆盖5,404名用户共54,094台设备。研究揭示了广泛使用过时的TLS版本、未加密通信以及向第三方追踪服务进行跨境数据传输的现象，包括亚马逊和谷歌等主要厂商也存在此类情况。

ABSTRACT

The proliferation of smart home devices has created new opportunities for empirical research in ubiquitous computing, ranging from security and privacy to personal health. Yet, data from smart home deployments are hard to come by, and existing empirical studies of smart home devices typically involve only a small number of devices in lab settings. To contribute to data-driven smart home research, we crowdsource the largest known dataset of labeled network traffic from smart home devices from within real-world home networks. To do so, we developed and released IoT Inspector, an open-source tool that allows users to observe the traffic from smart home devices on their own home networks. Between April 10, 2019 and January 21, 2020, 5,404 users have installed IoT Inspector, allowing us to collect labeled network traffic from 54,094 smart home devices. At the time of publication, IoT Inspector is still gaining users and collecting data from more devices. We demonstrate how this data enables new research into smart homes through two case studies focused on security and privacy. First, we find that many device vendors, including Amazon and Google, use outdated TLS versions and send unencrypted traffic, sometimes to advertising and tracking services. Second, we discover that smart TVs from at least 10 vendors communicated with advertising and tracking services. Finally, we find widespread cross-border communications, sometimes unencrypted, between devices and Internet services that are located in countries with potentially poor privacy practices. To facilitate future reproducible research in smart homes, we will release the IoT Inspector data to the public.

研究动机与目标

• 为解决智能家庭设备真实世界、带标签的网络流量数据稀缺问题，以支持实证研究。
• 支持在真实家庭环境中对物联网安全与隐私开展大规模、数据驱动的研究。
• 开发并部署一款开源工具，使用户能够监控并贡献设备的网络流量数据。

提出的方法

• 部署 IoT Inspector，一款开源工具，运行于用户的个人设备上，用于监控并记录联网智能家居设备的网络流量。
• 通过用户自愿参与，收集真实家庭网络中设备的带标签网络流量。
• 利用自动化流量分析技术，基于设备类型、厂商及通信模式对网络流进行分类与标记。
• 应用网络协议分析技术，检测TLS版本使用情况、数据外泄行为以及与第三方服务的通信。
• 在10个月的时间内聚合来自5,404名用户的流量数据，形成目前已知最大的带标签智能家居设备流量数据集。
• 公开发布该数据集，以支持智能家庭安全与隐私领域可复现的未来研究。

实验结果

研究问题

• RQ1 在真实部署环境中，智能家居设备的常见网络通信模式是什么？
• RQ2 主要物联网厂商在设备通信中在多大程度上使用了过时或不安全的TLS版本？
• RQ3 智能家居设备向第三方追踪或广告服务商发送未加密数据的频率如何？
• RQ4 智能家居设备向位于隐私保护较弱国家的服务进行跨境数据传输的普遍程度如何？
• RQ5 大规模、用户驱动的数据采集能否揭示物联网安全与隐私风险的可操作洞察？

主要发现

• 许多智能家居设备，包括亚马逊和谷歌的产品，使用过时的TLS版本，使其更容易受到密码学攻击。
• 大量设备即使存在加密替代方案，仍会发送未加密流量，通常发送至广告和追踪服务。
• 至少来自10个不同厂商的智能电视被发现与第三方追踪和广告服务通信。
• 广泛存在跨境数据传输现象，流量经常被路由至隐私法规可能较弱的国家的服务。
• 本研究表明，真实设备行为往往与安全最佳实践相悖，凸显了当前物联网部署模式中的系统性风险。