[论文解读] Tyche: Risk-Based Permissions for Smart Home Platforms

Amir Rahmati, Earlence Fernandes+2 more|arXiv (Cornell University)|Jan 14, 2018

Advanced Malware Detection Techniques参考文献 10被引用 5

一句话总结

Tyche 提出了一种基于风险的权限模型，用于智能家居平台，该模型根据用户感知的风险而非功能相似性对设备操作进行分组，从而减少过度授权。通过将操作分类为低、中、高风险三类，并采用基于调查的风险评估，Tyche 使应用程序仅请求必要的风险级别访问权限，在评估的 SmartApps 中将高风险操作的暴露减少了 60%，且未增加用户的决策负担。

ABSTRACT

Emerging smart home platforms, which interface with a variety of physical devices and support third-party application development, currently use permission models inspired by smartphone operating systems-they group functionally similar device operations into separate units, and require users to grant apps access to devices at that granularity. Unfortunately, this leads to two issues: (1) apps that do not require access to all of the granted device operations have overprivileged access to them, (2) apps might pose a higher risk to users than needed because physical device operations are fundamentally risk-asymmetric-"door.unlock" provides access to burglars, and "door.lock" can potentially lead to getting locked out. Overprivileged apps with access to mixed-risk operations only increase the potential for damage. We present Tyche, a system that leverages the risk-asymmetry in physical device operations to limit the risk that apps pose to smart home users, without increasing the user's decision overhead. Tyche introduces the notion of risk-based permissions. When using risk-based permissions, device operations are grouped into units of similar risk, and users grant apps access to devices at that risk-based granularity. Starting from a set of permissions derived from the popular Samsung SmartThings platform, we conduct a user study involving domain-experts and Mechanical Turk users to compute a relative ranking of risks associated with device operations. We find that user assessment of risk closely matches that of domain experts. Using this ranking, we define risk-based groupings of device operations, and apply it to existing SmartThings apps, showing that risk-based permissions indeed limit risk if apps are malicious or exploitable.

研究动机与目标

• 为解决智能家居平台中的过度授权问题，即应用程序因按功能分组的权限而获得不必要的高风险设备操作访问权限。
• 利用物理设备操作中的风险不对称性——例如，'door.unlock' 属于高风险，'door.lock' 属于中风险——以设计更安全的权限模型。
• 通过基于风险的访问类别限制对高风险操作的访问，从而减少恶意或被攻破的应用程序可能造成的损害。
• 评估用户感知风险是否与专家判断一致，从而为访问控制提供可信的风险分组依据。
• 证明现有智能家居应用程序可通过重构使用基于风险的权限，同时保持功能完整性，并将高风险访问减少 60%。

提出的方法

• 通过领域专家和 Mechanical Turk 参与者开展用户研究，对 SmartThings 平台中 61 种设备类型的 146 项设备操作按感知风险进行排序。
• 采用受 Felt 等人启发的基于调查的风险评估方法，计算设备操作的相对风险排名，确保用户感知与专家判断的一致性。
• 基于用户和专家风险评估的聚合结果，将设备操作划分为低、中、高三个风险类别。
• 通过静态应用程序重写技术，修改现有 SmartApps，使其仅请求必要的风险级别权限（例如，使用 'door.medRisk' 而非 'door.highRisk'）。
• 在运行时通过重写机制强制实施基于风险的权限模型，将应用程序请求映射到相应的风险级别访问控制。
• 通过评估三个真实世界的 SmartApps 验证该模型，测量高风险操作访问的减少情况，同时保持功能完整性。

实验结果

研究问题

• RQ1 能否可靠地对智能家居中设备操作的用户感知风险进行排序，并据此定义基于风险的权限类别？
• RQ2 非专家用户对物理设备操作的风险感知在多大程度上与领域专家一致？
• RQ3 现有智能家居应用程序能否在不牺牲功能的前提下重构为使用基于风险的权限？
• RQ4 在保持应用程序可用性的前提下，基于风险的权限模型最多可将高风险操作访问减少多少？
• RQ5 与按功能分组的模型相比，基于风险的权限模型是否能减少恶意或被攻破应用程序可能造成的损害？

主要发现

• 用户对设备操作的感知风险与领域专家高度一致，验证了使用用户研究进行风险分类的可行性。
• 基于风险的模型在评估的 SmartApps 中成功将高风险操作的访问减少了 60%，同时保持了完整功能。
• 该模型通过在风险粒度上合理分组操作，避免了用户因过多权限决策而产生负担，从而维持了可用性。
• 物理设备操作的风险不对称性——例如，'door.unlock' 为高风险，'door.lock' 为中风险——在访问控制分组中被证明是有效的。
• 静态风险模型在初始部署中表现良好，但基于用户上下文的动态风险适应仍是一个值得未来探索的有前景方向。
• 应用程序重写机制成功强制实施了基于风险的权限，且无需对底层平台或设备固件进行任何修改。