Uutiset

Vaivaton tietoturva on altis vihamielisille hyökkäyksille

Tutkijat löysivät haavoittuvuuksia uudesta ZEBRA-käyttäjäntunnistusjärjestelmästä.
Turvallinen sisään- ja uloskirjautuminen on erityisen tärkeää esimerkiksi sairaaloissa, joissa koneilla on lukuisia käyttäjiä ja niillä käsiteltävät tiedot ovat salaisia.

Teknologiaan perustuvassa yhteiskunnassa tarvitaan salasana melkein kaikkeen pankissa asioimisesta viestintään. Koska salasanojen muistaminen on haasteellista, maailmalla kehitetään innolla helppoja mutta samalla turvallisia sisään- ja uloskirjautumistapoja.

– Tietoturvayhteisö on edistynyt hyvän tunnistautumisjärjestelmien kehityksessä. Silti yhtä aikaa käyttäjäystävällisen ja turvallisen järjestelmän kehittäminen ei ole helppo tehtävä, kertoo University of Alabama at Birminghamin (USA) apulaisprofessori Nitesh Saxena.

Saxena, ja hänen Alabaman ja Aalto-yliopiston kollegansa tietävät, mistä puhuvat, sillä he onnistuivat hiljattain osoittamaan ZEBRAn haavoittuvaisuuden vihamielisille hyökkäyksille. ZEBRA on Dartmouth Collegen tutkijoiden kehittämä helppokäyttöinen tietoturvajärjestelmä, joka pystyy tunnistamaan käyttäjän niin, että tämän tarvitsee nähdä vain vähän tai ei lainkaan vaivaan turvallisen käyttäjäistunnon eteen.

ZEBRA edellyttää jokaisen käyttäjän käyttävän Fitbitin tapaista ranneketta, joka mahdollistaa Bluetooth-yhteyden. Kun käyttäjä kirjautuu laitteeseen ensimmäistä kertaa, järjestelmä muodostaa yhteyden rannekkeeseen. Kun käyttäjä käyttää laitetta, ranneke lähettää mittaustuloksiaan käyttäjän ja laitteen vuorovaikutuksesta laitteelle. Tämän jälkeen laite puolestaan käyttää koneoppimiseen perustuvaa luokittelijaa kuvaamaan nämä toiminnat ennustettujen vuorovaikutusten ketjuna.

– Nyt laitteella on kaksi erilaista näkökulmaa samasta ilmiöstä: suorien vuorovaikutusten ketju ja mittausten perusteella päätelty ennustettujen vuorovaikutusten ketju, kertoo professori N. Asokan Aalto-yliopistosta.

– Jos nämä kaksi ketjua täsmäävät, ZEBRA voi tehdä johtopäätöksen, että kyseisen sisäänkirjautumisistunnon aikana laitetta ja ranneketta käyttää sama henkilö. Jos taas ketjut eroavat toisistaan, ZEBRA voi nopeasti ja automaattisesti kirjata käyttäjän ulos, hän selittää.

Keinotteleva hyökkääjä on vahvoilla

Tekemässään tutkimuksessa tutkijat huomasivat, että järjestelmä toimii erinomaisesti – rehellisillä käyttäjillä. Vihamielisten hyökkäysten edessä se oli kuitenkin melko suojaton. Kokeessa 20 koehenkilöä esitti erilaisia uhrin rooleja samalla, kun tutkijat olivat hyökkääjän roolissa. Hyökkääjät matkivat sitä, mitä uhrit tekivät laitteillaan.

– Halusimme tietää, pystyykö ZEBRAa huijaamaan. Tällä tavoin pystyisimme mittaamaan, kuinka turvalliseksi järjestelmä muodostuisi, mikäli joku yrittäisi aktiivisesti hyökätä käyttäjän avoinna olevaan käyttäjäistuntoon. Havaitsimme, että keinotteleva hyökkääjä pystyy melko helposti käyttämään tunnistautunutta käyttäjää hyväkseen, Saxena kertoo.

Keinotteleva hyökkääjä voi pysytellä lähellä uhria, nähden tai kuullen mitä hän tekee, ja sen perusteella päättää mitä hänen vuorovaikutustaan hän aikoo matkia.

– ZEBRA ei pystynyt kirjaamaan ulos keinottelevaa hyökkääjää, joka oli päässyt kiinni avoimeen istuntoon ja valitsi siellä huolellisesti tekemisensä, Asokan sanoo.

– Itse asiassa keinottelevat hyökkääjät välttivät kiinnijäämisen 40 % ajasta, matkimalla uhria vain silloin, kun he ajattelivat sen onnistuvan.

Vaikka ZEBRA on haavoittuvainen keinottelevien hyökkääjien tapauksessa, se toimii hyvin käyttäjien huolimattomuustilanteissa.

– Käyttäjän tekemisten mallintaminen on vaikeaa. Me osoitamme tutkimuksessa, kuinka riittämätön hyökkääjän mallintaminen voi johtaa vääriin johtopäätöksiin järjestelmän turvallisuudesta. Jos käytettävissä on realistinen malli hyökkääjän toiminnasta, järjestelmän puutteet tulevat paremmin näkyviin ja ne voidaan ratkaista, Asokan painottaa.

Tutkimuksen tekivät yhteistyössä Otto Huhta, Mika Juuti, Swapnil Udar ja N. Asokan Aalto-yliopistosta sekä Prakash Shretsha ja Nitesh Saxena University of Alabama at Birminghamista, ja se esitettiin helmikuussa 2016 Network and Distributed System Security Symposiumissa San Diegossa. Tutkimusta rahoittivat National Science Foundation ja Suomen Akatemia. 

Lisätietoja:

Professori N. Asokan
Aalto-yliopiston tietotekniikan laitos
Tietoturvan tutkimusryhmä (Secure Systems)
Puh. 050 483 6465
[email protected]

Linkki julkaisuun: Pitfalls in Designing Zero-Effort Deauthentication: Opportunistic Human Observation Attacks (arxiv.org)

Taustatietoa tutkimuksesta blogista

  • Julkaistu:
  • Päivitetty:
Jaa
URL kopioitu

Lue lisää uutisia

Aalto University Meet Our Teachers SCI Janne Halme 2022. Photo: Mikko Raskinen.
Tutkimus ja taide Julkaistu:

Yliopistonlehtori Janne Halme: Aurinkoenergia on ihan huippua!

: Janne Halmetta inspiroi lehmuskuja, jossa yhdistyvät puut, lehdet ja valo, joka siivilöityy puiden välistä. Vaikka aurinkokennon avulla voidaan tuottaa sähköä, elämää ylläpitävää fotosynteesiä se ei pysty korvaamaan.
Annika Järvelin and Hanna Castrén-Niemi have spent three weeks at three different clinics in Helsinki. Photo: Otto Olavinen, Biodesign.
Tutkimus ja taide Julkaistu:

Neuvola täyttää sata vuotta – tutkijat selvittävät, miten neuvolan seuraavan vuosisadan tarpeisiin voitaisiin vastata terveysteknologiaa hyödyntäen

Tutkijat selvittävät sitä, miten neuvolan seuraavan vuosisadan tarpeisiin voitaisiin vastata Stanfordin yliopistosta lähtöisin olevien Biodesign-menetelmien keinoin.
Elias Rantapuska, photo by Evelin Kask
Yhteistyö, Tutkimus ja taide Julkaistu:

OP Ryhmän Tutkimussäätiöltä 1,2 miljoonaa euroa kolmen suomalaisyliopiston tutkimushankkeelle

Laadukasta tutkimusta ei synny ilman kallista tutkimusdataa ja ihmisiä, toteaa rahoitusalan ja rahoitusinstituutioiden tutkimushanketta Aalto-yliopiston kauppakorkeakoulussa johtava professori Elias Rantapuska.
students and a book shelf
Tutkimus ja taide Julkaistu:

Välillisten verojen rooli kasvaa globaalisti

Välillisten verojen tarkoitus on paitsi fiskaalinen eli varojen kerääminen valtion kassaan, myös kulutuksen ohjaaminen halutulla tavalla joko keppiä tai porkkanaa käyttäen.