Vaivaton tietoturva on altis vihamielisille hyökkäyksille

Tutkijat löysivät haavoittuvuuksia uudesta ZEBRA-käyttäjäntunnistusjärjestelmästä.
Turvallinen sisään- ja uloskirjautuminen on erityisen tärkeää esimerkiksi sairaaloissa, joissa koneilla on lukuisia käyttäjiä ja niillä käsiteltävät tiedot ovat salaisia.

Teknologiaan perustuvassa yhteiskunnassa tarvitaan salasana melkein kaikkeen pankissa asioimisesta viestintään. Koska salasanojen muistaminen on haasteellista, maailmalla kehitetään innolla helppoja mutta samalla turvallisia sisään- ja uloskirjautumistapoja.

– Tietoturvayhteisö on edistynyt hyvän tunnistautumisjärjestelmien kehityksessä. Silti yhtä aikaa käyttäjäystävällisen ja turvallisen järjestelmän kehittäminen ei ole helppo tehtävä, kertoo University of Alabama at Birminghamin (USA) apulaisprofessori Nitesh Saxena.

Saxena, ja hänen Alabaman ja Aalto-yliopiston kollegansa tietävät, mistä puhuvat, sillä he onnistuivat hiljattain osoittamaan ZEBRAn haavoittuvaisuuden vihamielisille hyökkäyksille. ZEBRA on Dartmouth Collegen tutkijoiden kehittämä helppokäyttöinen tietoturvajärjestelmä, joka pystyy tunnistamaan käyttäjän niin, että tämän tarvitsee nähdä vain vähän tai ei lainkaan vaivaan turvallisen käyttäjäistunnon eteen.

ZEBRA edellyttää jokaisen käyttäjän käyttävän Fitbitin tapaista ranneketta, joka mahdollistaa Bluetooth-yhteyden. Kun käyttäjä kirjautuu laitteeseen ensimmäistä kertaa, järjestelmä muodostaa yhteyden rannekkeeseen. Kun käyttäjä käyttää laitetta, ranneke lähettää mittaustuloksiaan käyttäjän ja laitteen vuorovaikutuksesta laitteelle. Tämän jälkeen laite puolestaan käyttää koneoppimiseen perustuvaa luokittelijaa kuvaamaan nämä toiminnat ennustettujen vuorovaikutusten ketjuna.

– Nyt laitteella on kaksi erilaista näkökulmaa samasta ilmiöstä: suorien vuorovaikutusten ketju ja mittausten perusteella päätelty ennustettujen vuorovaikutusten ketju, kertoo professori N. Asokan Aalto-yliopistosta.

– Jos nämä kaksi ketjua täsmäävät, ZEBRA voi tehdä johtopäätöksen, että kyseisen sisäänkirjautumisistunnon aikana laitetta ja ranneketta käyttää sama henkilö. Jos taas ketjut eroavat toisistaan, ZEBRA voi nopeasti ja automaattisesti kirjata käyttäjän ulos, hän selittää.

Keinotteleva hyökkääjä on vahvoilla

Tekemässään tutkimuksessa tutkijat huomasivat, että järjestelmä toimii erinomaisesti – rehellisillä käyttäjillä. Vihamielisten hyökkäysten edessä se oli kuitenkin melko suojaton. Kokeessa 20 koehenkilöä esitti erilaisia uhrin rooleja samalla, kun tutkijat olivat hyökkääjän roolissa. Hyökkääjät matkivat sitä, mitä uhrit tekivät laitteillaan.

– Halusimme tietää, pystyykö ZEBRAa huijaamaan. Tällä tavoin pystyisimme mittaamaan, kuinka turvalliseksi järjestelmä muodostuisi, mikäli joku yrittäisi aktiivisesti hyökätä käyttäjän avoinna olevaan käyttäjäistuntoon. Havaitsimme, että keinotteleva hyökkääjä pystyy melko helposti käyttämään tunnistautunutta käyttäjää hyväkseen, Saxena kertoo.

Keinotteleva hyökkääjä voi pysytellä lähellä uhria, nähden tai kuullen mitä hän tekee, ja sen perusteella päättää mitä hänen vuorovaikutustaan hän aikoo matkia.

– ZEBRA ei pystynyt kirjaamaan ulos keinottelevaa hyökkääjää, joka oli päässyt kiinni avoimeen istuntoon ja valitsi siellä huolellisesti tekemisensä, Asokan sanoo.

– Itse asiassa keinottelevat hyökkääjät välttivät kiinnijäämisen 40 % ajasta, matkimalla uhria vain silloin, kun he ajattelivat sen onnistuvan.

Vaikka ZEBRA on haavoittuvainen keinottelevien hyökkääjien tapauksessa, se toimii hyvin käyttäjien huolimattomuustilanteissa.

– Käyttäjän tekemisten mallintaminen on vaikeaa. Me osoitamme tutkimuksessa, kuinka riittämätön hyökkääjän mallintaminen voi johtaa vääriin johtopäätöksiin järjestelmän turvallisuudesta. Jos käytettävissä on realistinen malli hyökkääjän toiminnasta, järjestelmän puutteet tulevat paremmin näkyviin ja ne voidaan ratkaista, Asokan painottaa.

Tutkimuksen tekivät yhteistyössä Otto Huhta, Mika Juuti, Swapnil Udar ja N. Asokan Aalto-yliopistosta sekä Prakash Shretsha ja Nitesh Saxena University of Alabama at Birminghamista, ja se esitettiin helmikuussa 2016 Network and Distributed System Security Symposiumissa San Diegossa. Tutkimusta rahoittivat National Science Foundation ja Suomen Akatemia. 

Lisätietoja:

Professori N. Asokan
Aalto-yliopiston tietotekniikan laitos
Tietoturvan tutkimusryhmä (Secure Systems)
Puh. 050 483 6465
[email protected]

Linkki julkaisuun: Pitfalls in Designing Zero-Effort Deauthentication: Opportunistic Human Observation Attacks (arxiv.org)

Taustatietoa tutkimuksesta blogista

  • Julkaistu:
  • Päivitetty:
Jaa
URL kopioitu

Lisää tästä aiheesta

Super Stomp. Kuva: Valo Motion.
Tutkimus ja taide Julkaistu:

Kahden pelaajan Super Stomp -trampoliinipeli voi motivoida ihmisiä liikkumaan - pelaaja voi kokea olevansa supersankari

Voimaannuttava pelikokemus perustuu kehittyneeseen tietokonenäköön, liikkeiden liioitteluun sekä monipuolisiin pelisuunnittelutekniikoihin.
Picture of Professor Raimo Hämäläinen
Palkitut, Tutkimus ja taide Julkaistu:

Professorille kansainvälinen palkinto päätöksenteon tutkimuksesta

Emeritusprofessori Raimo P. Hämäläisen elämäntyötä kunnioitettiin vuoden 2019 Frank P. Ramsey mitalilla
Graphic Illustration of 5G network with symbols. Graphic design: Safa Hovinen
Kampus, Tiedotteet, Tutkimus ja taide Julkaistu:

Robottiliikenteen ja esineiden internetin tutkimus saa vauhtia – 5G-verkko avattiin Otaniemeen

Huippunopeassa mobiiliverkossa opiskelijat, tutkijat ja yritykset pääsevät testaamaan ja kehittämään tulevaisuuden teknologiaa.
portrait of assistant professor Martin Andraud. Photo: Evelin Kask
Nimitykset, Tutkimus ja taide Julkaistu:

Martin Andraud: Tutkimuksella ja urheilulla on paljon yhteistä

Apulaisprofessori Martin Andraudin tutkimuksella arkipäiväisistä laitteistamme voidaan kehittää aiempaa energiatehokkaampia ja mukautuvampia.