[论文解读] Security Vetting Process of Smart-home Assistant Applications: A First Look and Case Studies

Hang Hu, Limin Yang+2 more|arXiv (Cornell University)|Jan 13, 2020

Advanced Malware Detection Techniques参考文献 41被引用 4

一句话总结

本文研究了智能家居助手应用的安全审核流程，重点关注亚马逊Alexa和谷歌Home平台的云到端认证机制。研究发现，这两个平台均未能正确实施安全认证，导致攻击者可伪造云流量并入侵第三方终端设备；在实际环境中识别出219个存在漏洞的Alexa终端设备，包括控制智能设备和电动汽车的关键应用。

ABSTRACT

The popularity of smart-home assistant systems such as Amazon Alexa and Google Home leads to a booming third-party application market (over 70,000 applications across the two stores). While existing works have revealed security issues in these systems, it is not well understood how to help application developers to enforce security requirements. In this paper, we perform a preliminary case study to examine the security vetting mechanisms adopted by Amazon Alexa and Google Home app stores. With a focus on the authentication mechanisms between Alexa/Google cloud and third-party application servers (i.e. endpoints), we show the current security vetting is insufficient as developer mistakes can not be effectively detected and notified. A weak authentication would allow attackers to spoof the cloud to insert/retrieve data into/from the application endpoints. We validate the attack through ethical proof-of-concept experiments. To confirm vulnerable applications have indeed passed the security vetting and entered the markets, we develop a heuristic-based searching method. We find 219 real-world Alexa endpoints that carry the vulnerability, many of which are related to critical applications that control smart home devices and electronic cars. We have notified Amazon and Google about our findings and offered our suggestions to mitigate the issue.

研究动机与目标

• 考察亚马逊Alexa和谷歌Home平台用于第三方智能家居助手应用的安全审核机制。
• 识别审核流程中的漏洞，这些漏洞导致不安全的认证实践未被检测到。
• 通过伦理性的概念验证实验，验证针对第三方应用终端设备的云伪造攻击的可行性。
• 评估存在漏洞的应用在真实市场中的实际普遍性。
• 为改进审核流程和开发者指导提供可操作的建议，以提升应用安全性。

提出的方法

• 开发自定义的漏洞技能，以模拟真实世界中的实现错误，并完整走查Alexa和谷歌Home平台的自动化与人工审核流程。
• 开展受控的概念验证实验，通过攻击者自身技能生成的签名流量，演示云伪造攻击。
• 利用ZMap扫描存活的HTTPS主机，并重放非侵入性伪造查询，检测那些接受未签名或重放流量的终端设备。
• 分析结果，识别出未验证应用标识符和时间戳的终端设备，表明其认证机制薄弱。
• 向亚马逊和谷歌报告发现的问题，并提出改进自动化测试和SDK级别安全强制措施的建议。
• 采用基于启发式的方法扫描生产环境中潜在的漏洞终端设备，重点针对Alexa，因其具备自动化审核流程。

实验结果

研究问题

• RQ1 亚马逊Alexa和谷歌Home平台的自动化与人工审核流程在检测不安全的云到端认证机制方面有多有效？
• RQ2 当前审核流程在多大程度上未能检测到关键的认证缺陷，例如缺少应用ID验证和时间戳检查？
• RQ3 第三方智能家居助手应用市场中，存在漏洞的终端设备在现实世界中的普遍程度如何？
• RQ4 由于认证检查薄弱或缺失，攻击者是否能够成功伪造云流量以入侵第三方终端设备？
• RQ5 如何改进审核流程和开发者工具链，以从源头防止此类漏洞的引入？

主要发现

• 谷歌Home的审核流程不要求终端设备对云进行认证，使其容易受到伪造查询的攻击。
• 亚马逊Alexa的自动化审核流程未能检测到关键的认证缺陷，例如缺少应用标识符检查，导致存在漏洞的技能通过审核。
• 概念验证攻击表明，攻击者可复用其自身技能生成的有效云签名，伪装成云服务器并攻击其他合法终端设备。
• 基于ZMap的扫描识别出219个现实世界中易受云伪造攻击的Alexa终端设备，包括控制智能家居设备和电动汽车的应用。
• 其中许多存在漏洞的应用已通过自动化与人工审核，表明当前安全审查流程存在系统性缺陷。
• 本研究证实，当前的审核机制不足以防止不安全的认证模式进入生产市场。