[论文解读] IoTGaze: IoT Security Enforcement via Wireless Context Analysis

Tianbo Gu, Zheng Fang+4 more|arXiv (Cornell University)|Jun 29, 2020

Advanced Malware Detection Techniques参考文献 28被引用 5

一句话总结

IoTGaze 是一种新颖的物联网安全框架，通过分析加密无线流量推断系统行为（无线上下文），并与基于应用描述和用户界面的用户期望衍生的物联网上下文进行对比，实现对异常和漏洞的检测。它利用无线数据包指纹识别、时间事件依赖挖掘和自然语言处理技术，通过温度、光照等物理通道发现隐藏的跨应用攻击链，在 SmartThings 平台上的实验验证了其有效检测能力。

ABSTRACT

Internet of Things (IoT) has become the most promising technology for service automation, monitoring, and interconnection, etc. However, the security and privacy issues caused by IoT arouse concerns. Recent research focuses on addressing security issues by looking inside platform and apps. In this work, we creatively change the angle to consider security problems from a wireless context perspective. We propose a novel framework called IoTGaze, which can discover potential anomalies and vulnerabilities in the IoT system via wireless traffic analysis. By sniffing the encrypted wireless traffic, IoTGaze can automatically identify the sequential interaction of events between apps and devices. We discover the temporal event dependencies and generate the Wireless Context for the IoT system. Meanwhile, we extract the IoT Context, which reflects user's expectation, from IoT apps' descriptions and user interfaces. If the wireless context does not match the expected IoT context, IoTGaze reports an anomaly. Furthermore, IoTGaze can discover the vulnerabilities caused by the inter-app interaction via hidden channels, such as temperature and illuminance. We provide a proof-of-concept implementation and evaluation of our framework on the Samsung SmartThings platform. The evaluation shows that IoTGaze can effectively discover anomalies and vulnerabilities, thereby greatly enhancing the security of IoT systems.

研究动机与目标

• 为应对物联网系统日益增长的安全与隐私威胁，特别是由于权限过度的应用和隐藏的跨应用交互所导致的问题。
• 克服现有解决方案依赖静态或动态程序分析的局限性，将关注点转向无线流量监控。
• 开发一种第三方、非侵入式框架，无需修改应用或平台即可检测异常行为。
• 发现通过温度、光照和湿度等隐藏物理通道引发的跨应用交互漏洞。
• 通过对比无线上下文与从应用元数据中提取的物联网上下文，检测偏离用户期望的行为，识别潜在的异常行为。

提出的方法

• IoTGaze 被动监控并分析加密无线数据包，基于数据包级特征检测并识别物联网事件的指纹。
• 通过将无线流量模式与应用逻辑相关联，构建应用与设备之间交互事件的序列。
• 从事件序列中挖掘时间事件依赖关系，生成表示物联网系统无线上下文的事件转换图。
• 利用自然语言处理技术从应用描述和用户界面元素中提取基于用户期望的物联网上下文。
• 通过对比观察到的无线上下文与预期的物联网上下文检测异常；不匹配表明可能存在安全问题。
• 通过分析通过物理通道（如照度、温度）进行的跨应用交互链，识别隐藏漏洞，这些漏洞可能被用于隐蔽攻击。

实验结果

研究问题

• RQ1 仅通过无线流量分析是否能够检测物联网系统中的异常，而无需访问源代码或修改平台？
• RQ2 无线数据包特征在多大程度上可用于推断应用层事件序列和时间依赖关系？
• RQ3 从应用描述和用户界面中通过自然语言处理提取的用户期望，在多大程度上能检测到实际系统行为的偏差？
• RQ4 通过无线上下文分析能够发现哪些类型的隐藏通道漏洞，特别是在跨应用交互中？
• RQ5 该框架能否检测现实世界中的安全威胁，例如权限滥用或通过物理通道进行的隐蔽数据外泄？

主要发现

• IoTGaze 通过分析加密无线流量成功推断出物联网系统的无线上下文，实现了无需逆向工程即可检测实际系统行为。
• 该框架在分析中识别出 127 条与 'switch(light)' 功能相关的潜在跨应用交互链，该功能在所有分析功能中风险评分最高。
• 共发现 9 种参与跨应用交互的物理通道，其中照度、能耗和温度在隐藏通道攻击中最为常见。
• 系统检测到实际设备行为偏离用户期望（基于应用描述和用户界面推断）的情况，表明可能存在异常行为或权限滥用。
• 在三星 SmartThings 平台上的评估证实，IoTGaze 能够检测到由通过物理通道进行的跨应用交互引发的先前未知漏洞。
• IoTGaze 展示了在无需访问源代码或平台级修改的情况下，检测异常和漏洞的可行性与有效性。