[论文解读] MITHYS: Mind The Hand You Shake - Protecting mobile devices from SSL usage vulnerabilities

Mauro Conti, Nicola Dragoni+1 more|arXiv (Cornell University)|Jun 28, 2013

Advanced Malware Detection Techniques参考文献 9被引用 5

一句话总结

MITHYS 是一个平台无关的系统，通过在应用层验证 TLS 握手，检测并保护移动应用免受基于 SSL 的中间人（MITM）攻击。它无需操作系统修改或特殊权限即可运行，通过运行时监控和证书验证，降低了 PayPal 和 Facebook 等易受攻击应用的风险，平均性能开销约为 5 秒，可接受且可衡量。

ABSTRACT

Recent studies have shown that a significant number of mobile applications, often handling sensitive data such as bank accounts and login credentials, suffers from SSL vulnerabilities. Most of the time, these vulnerabilities are due to improper use of the SSL protocol (in particular, in its \emph{handshake} phase), resulting in applications exposed to man-in-the-middle attacks. In this paper, we present MITHYS, a system able to: (i) detect applications vulnerable to man-in-the-middle attacks, and (ii) protect them against these attacks. We demonstrate the feasibility of our proposal by means of a prototype implementation in Android, named MITHYSApp. A thorough set of experiments assesses the validity of our solution in detecting and protecting mobile applications from man-in-the-middle attacks, without introducing significant overheads. Finally, MITHYSApp does not require any special permissions nor OS modifications, as it operates at the application level. These features make MITHYSApp immediately deployable on a large user base.

研究动机与目标

• 解决移动应用因 TLS 握手实现不当而广泛存在的基于 SSL/TLS 的中间人（MITM）攻击漏洞。
• 提供一种无需操作系统访问权限或特殊权限的应用层解决方案，用于检测存在漏洞的应用。
• 通过强制执行正确的证书验证，保护用户免受不受信任的 Wi-Fi 网络中的数据外泄。
• 为开发者提供一种工具，用于测试其应用对中间人攻击的抗压能力。
• 在真实部署环境中，在保持强安全保证的同时，将性能开销降至最低。

提出的方法

• MITHYS 通过代理方式拦截 TLS 握手，在应用层操作，检查并验证证书链。
• 它利用 Android 的 logcat 精确测量登录/登出操作的时间，检测网络行为中的异常。
• 系统对 SSL/TLS 握手序列进行运行时分析，检测缺失或弱的证书验证检查。
• 它实现了一个证书验证模块，对服务器证书执行严格检查，拒绝不受信任或自签名的证书。
• MITHYSApp（Android 原型）无需代码修改即可与现有应用集成，使用标准 Android API 进行网络监控。
• 系统包含用户控制功能，可在检测到易受攻击的应用时发出警告或阻止其运行。

实验结果

研究问题

• RQ1 轻量级、基于应用层的系统能否检测出导致中间人攻击的移动应用中 SSL/TLS 漏洞？
• RQ2 此类系统能否在不修改操作系统或获取提升权限的情况下，实时保护用户免受中间人攻击？
• RQ3 在真实移动应用中，运行时 SSL 验证和监控会引入多大的性能开销？
• RQ4 该系统在检测广泛使用应用（如 PayPal 和 Facebook）中的已知漏洞方面效果如何？
• RQ5 该系统能否扩展至 Android 以外的其他移动平台？

主要发现

• MITHYSApp 通过分析 TLS 握手行为和证书验证实践，成功检测出移动应用中的基于 SSL 的中间人漏洞。
• 该系统在每次登录/登出操作中引入了约五秒的平均性能开销，且在不同应用中表现一致。
• 由于增加了网络检查和验证，Facebook 的登录延迟增加了约 55%，登出延迟增加了 33%。
• 用户认为该性能开销是可以接受的，尤其是在其能有效防范公共 Wi-Fi 网络中数据盗窃的情况下。
• 作者估计，通过优化（尤其是证书缓存），平均延迟可降低至两到三秒。
• MITHYSApp 无需操作系统修改或特殊权限即可运行，可立即在大规模用户群体中部署。