Security and privacy aspects of mobile platforms and applications

Dmitrienko, Alexandra (2015)
Security and privacy aspects of mobile platforms and applications.
Technische Universität Darmstadt
Ph.D. Thesis, Primary publication

Preview

Text
dissertation-Dmitrienko-final.pdf
Copyright Information: CC BY-NC-ND 3.0 Unported - Creative Commons, Attribution, NonCommercial, NoDerivs.
Download (3MB) | Preview

Item Type:

Ph.D. Thesis

Type of entry:

Primary publication

Title:

Security and privacy aspects of mobile platforms and applications

Language:

English

Referees:

Waidner, Prof. Dr. Michael ; Capkun, Prof. Dr. Srdjan

Date:

15 July 2015

Place of Publication:

Darmstadt

Date of oral examination:

15 June 2015

Abstract:

Mobile smart devices (such as smartphones and tablets) emerged to dominant computing platforms for end-users. The capabilities of these convenient mini-computers seem nearly boundless: They feature compelling computing power and storage resources, new interfaces such as Near Field Communication (NFC) and Bluetooth Low Energy (BLE), connectivity to cloud services, as well as a vast number and variety of apps. By installing these apps, users can turn a mobile device into a music player, a gaming console, a navigation system, a business assistant, and more. In addition, the current trend of increased screen sizes make these devices reasonable replacements for traditional (mobile) computing platforms such as laptops.

On the other hand, mobile platforms process and store the extensive amount of sensitive information about their users, ranging from the user’s location data to credentials for online banking and enterprise Virtual Private Networks (VPNs). This raises many security and privacy concerns and makes mobile platforms attractive targets for attackers. The rapid increase in number, variety and sophistication of attacks demonstrate that the protection mechanisms offered by mobile systems today are insufficient and improvements are necessary in order to make mobile devices capable of withstanding modern security and privacy threats.

This dissertation focuses on various aspects of security and privacy of mobile platforms. In particular, it consists of three parts: (i) advanced attacks on mobile platforms and countermeasures; (ii) online authentication security for mobile systems, and (iii) secure mobile applications and services.

Specifically, the first part of the dissertation concentrates on advanced attacks on mobile platforms, such as code re-use attacks that hijack execution flow of benign apps without injecting malicious code, and application-level privilege escalation attacks that allow malicious or compromised apps to gain more privileges than were initially granted. In this context, we develop new advanced code re-use attack techniques that can bypass deployed protection mechanisms (e.g., Address Space Layout Randomization (ASLR)) and cannot be detected by any of the existing security tools (e.g., return address checkers). Further, we investigate the problem of application-level privilege escalation attacks on mobile platforms like Android, study and classify them, develop proof of concept exploits and propose countermeasures against these attacks. Our countermeasures can mitigate all types of application-level privilege escalation attacks, in contrast to alternative solutions proposed in literature.

In the second part of the dissertation we investigate online authentication schemes frequently utilized by mobile users, such as the most common web authentication based upon the user’s passwords and the recently widespread mobile 2-factor authentication (2FA) which extends the password-based approach with a secondary authenticator sent to a user’s mobile device or generated on it (e.g, a One-time Password (OTP) or Transaction Authentication Number (TAN)). In this context we demonstrate various weaknesses of mobile 2FA schemes deployed for login verification by global Internet service providers (such as Google, Dropbox, Twitter, and Facebook) and by a popular Google Authenticator app. These weaknesses allow an attacker to impersonate legitimate users even if their mobile device with the secondary authenticator is not compromised. We then go one step further and develop a general attack method for bypassing mobile 2FA schemes. Our method relies on a cross-platform infection (mobile-to-PC or PC-to-mobile) as a first step in order to compromise the Personal Computer (PC) and a mobile device of the same user. We develop proof-of-concept prototypes for a cross-platform infection and show how an attacker can bypass various instantiations of mobile 2FA schemes once both devices, PC and the mobile platform, are infected. We then deliver proof-of-concept attack implementations that bypass online banking solutions based on SMS-based TANs and visual cryptograms, as well as login verification schemes deployed by various Internet service providers. Finally, we propose a wallet-based secure solution for password-based authentication which requires no secondary authenticator, and yet provides better security guaranties than, e.g., mobile 2FA schemes.

The third part of the dissertation concerns design and development of security sensitive mobile applications and services. In particular, our first application allows mobile users to replace usual keys (for doors, cars, garages, etc.) with their mobile devices. It uses electronic access tokens which are generated by the central key server and then downloaded into mobile devices for user authentication. Our solution protects access tokens in transit (e.g., while they are downloaded on the mobile device) and when they are stored and processed on the mobile platform. The unique feature of our solution is offline delegation: Users can delegate (a portion of) their access rights to other users without accessing the key server. Further, our solution is efficient even when used with constraint communication interfaces like NFC.

The second application we developed is devoted to resource sharing among mobile users in ad-hoc mobile networks. It enables users to, e.g., exchange files and text messages, or share their tethering connection. Our solution addresses security threats specific to resource sharing and features the required security mechanisms (e.g., access control of resources, pseudonymity for users, and accountability for resource use). One of the key features of our solution is a privacy-preserving access control of resources based on FoF Finder (FoFF) service, which provides a user-friendly means to configure access control based upon information from social networks (e.g., friendship information) while preserving user privacy (e.g., not revealing their social network identifiers).

The results presented in this dissertation were included in several peer-reviewed publications and extended technical reports. Some of these publications had significant impact on follow up research. For example, our publications on new forms of code re-use attacks motivated researchers to develop more advanced forms of ASLR and to re-consider the idea of using Control-Flow Integrity (CFI). Further, our work on application-level privilege escalation attacks was followed by many other publications addressing this problem. Moreover, our access control solution using mobile devices as access tokens demonstrated significant practical impact: in 2013 it was chosen as a highlight of CeBIT – the world’s largest international computer expo, and was then deployed by a large enterprise to be used by tens of thousands of company employees and millions of customers.

Alternative Abstract:

Alternative Abstract

Language

Mobile Smart Devices, wie Smartphones und Tablets, sind ein fester Bestandteil unseren täglichen Lebens und haben sich zu dominierenden Endnutzerplattformen entwickelt. Sie haben in vielerlei Hinsicht die Art und Weise, wie wir kommunizieren, enorm verändert. Die Fähigkeiten dieser handlichen Mini-Computer scheinen nahezu unbegrenzt - starke Rechenleistung und Speicherkapazitäten, neue Benutzerschnittstellen wie Near Field Communication (NFC) oder Bluetooth Low Energy (BLE), ständige Verbindung mit Cloud-Services wie sozialen Netzwerken, sowie eine Vielzahl verschiedenster Apps. Mit diesen Apps kann der Nutzer sein Mobilgerät in einen MP3-Player, eine Spielekonsole, ein Navigationssystem, einen persönlichen Assistenten und vieles mehr verwandeln. Durch den Trend zu größeren Bildschirmen werden diese Geräte zum praktischen Ersatz für traditionelle (mobile) Plattformen, wie zum Beispiel Laptops.

Allerdings verarbeiten und speichern mobile Geräte auch eine zunehmende Menge sensibler Daten ihrer Nutzer, von Standortdaten bis hin zu Zugangsdaten für Onlinebanking oder dem Firmen-VPN. Dies birgt große Risiken bezüglich Sicherheit und Privatsphäre und macht diese Geräte zu beliebten Zielen für Angreifer. Jedoch zeigen sowohl die rapide zunehmende Zahl von Angriffen als auch die steigende Vielfalt und Komplexität der Angriffe, dass die Schutzmechanismen heutiger mobiler Systeme nicht ausreichen und verbessert werden müssen, damit diese in der Lage sind, modernen und anspruchsvollen Sicherheitsbedrohungen standzuhalten.

Das Ziel dieser Dissertation ist es, verschiedene Sicherheits- und Datenschutzbedrohungen für mobile Plattformen zu analysieren und entsprechende Sicherheitsarchitekturen und -lösungen zu präsentieren. Wir beschäftigen uns insbesondere mit drei Aspekten mobiler Sicherheit: (i) fortgeschrittene Angriffe und Gegenmaßnahmen (ii) Online-Authentifizierung für mobile Systeme und (iii) sichere mobile Anwendungen.

Im Detail konzentriert sich der erste Teil auf fortgeschrittene Angriffstechniken wie Code Reuse, die den Ausführungsfluss "gutartiger" Programme kapern, ohne bösartigen Code einzuschleusen, sowie auf sogenannte Privilege Escalation Angriffe auf der Applikationsebene, die bösartigen oder kompromittierten Apps mehr Rechte geben, als diesen ursprünglich gewährt wurde. In diesem Zusammengang entwickeln wir neue Techniken für Code Reuse Attacken, welche die eingesetzten Schutzmechanismen wie Address Space Layout Randomization (ASLR) umgehen und nicht von existierenden Sicherheitstools (z.B. Return Address Checkers) entdeckt werden können. Hinsichtlich der Privilege Escalation Angriffe betrachten wir Android-basierte Plattformen, da Android das am weitesten verbreitete Betriebssystem weltweit ist. Wir stellen das Konzept und die Entwicklung von Proof-of-Concept Exploits und Gegenmaßnahmen vor. Im Gegensatz zu den bisherigen Lösungen, kann unsere Sicherheitsarchitektur Privilege Escalation Angriffe auf Applikationsebene effektiv und effizient detektieren bzw. verhindern.

Im zweiten Teil dieser Dissertation untersuchen wir weitverbreitete Online-Authentifizierungsverfahren insbesondere die mobile 2-Faktoren-Authentifizierung (2FA). In diesem Kontext diskutieren wir verschiedene Schwachstellen mobiler 2FA Systeme, die für die Verifikation des Logins bei globalen Internet-Serviceprovidern (Google, Dropbox, Twitter und Facebook) und bei einer beliebten Google Authenticator App eingesetzt werden. Diese Schwachstellen erlauben einem Angreifer sich als der rechtmäßige Benutzer auszugeben, sogar wenn das Mobilgerät mit dem zweiten Authenticator nicht kompromittiert ist. In einem weiteren Schritt entwickeln wir eine generelle Angriffsmethode, um mobile 2FA Systeme zu umgehen. Unsere Methode beruht in einem ersten Schritt auf einer Cross-Plattform-Infektion (mobil-auf-PC oder PC-auf-mobil) um den Personal Computer (PC) und ein mobiles Gerät desselben Nutzers zu kompromittieren. Wir entwickeln Proof of Concept Prototypen für eine Cross-Plattform-Infektion und zeigen, wie ein Angreifer verschiedene Instanziierungen mobiler 2FA Schemata umgehen kann, wenn erst einmal beide Geräte, PC und mobile Plattform, infiziert sind. Wir liefern dann Implementierungen von Proof of Concept Exploits, die sowohl Onlinebanking-Lösungen umgehen, die auf SMS-TAN und visuellen Kryptogrammen basieren, als auch Systeme zur Login-Überprüfung, die von verschiedenen Internet-Providern eingesetzt werden. Schließlich schlagen wir eine Wallet-basierte sichere Lösung für Passwort-basierte Authifizierung vor, die keinen zweiten Authenticator erfordert und trotzdem eine bessere Sicherheitsgarantie bieten kann als z.B. mobile 2FA-Systeme.

Im dritten Teil dieser Dissertation wenden wir uns sicherheitskritischen Anwendungen und Diensten zu. Insbesondere entwerfen wir zwei sicherheitsrelevante Anwendungen, die den Schutz sicherheits- und datenschutzkritischer Informationen erfordern. Die erste Anwendung erlaubt es Nutzern ihre mobilen Geräte für Zugriffskontrolle einzusetzen, also normale Schlüssel (für Türen, Autos, Parkhäuser etc.) durch ihre Mobilgeräte zu ersetzen. Sie nutzt elektronische Zugangs-Token, die von einem zentralen Schlüssel-Server erzeugt und dann zur Nutzer-Authentifizierung auf die mobilen Geräte heruntergeladen werden. Unsere Lösung schützt Zugangs-Tokens sowohl im Transit (beim Herunterladen auf das mobile Gerät) als auch wenn sie auf der mobilen Plattform gespeichert und verarbeitet werden. Das Alleinstellungsmerkmal unserer Lösung ist die Offline-Delegation: Nutzer können ihre Zugangsrechte (oder Teile davon) sicher an andere Nutzer ohne Zugang zum Schlüsselserver übertragen. Außerdem ist unsere Authentifizierungslösung effizient, selbst wenn sie mit eingeschränkten Kommunikationstechnologien wie Near Field Communication (NFC) genutzt wird. Die zweite Anwendung widmet sich dem Teilen von Ressourcen (Resource Sharing) wie Medieninhalte oder Internetverbindung zwischen mobilen Nutzern. Unsere Lösung adressiert die spezifischen Sicherheitsbedrohungen und stellt die nötigen Sicherheitsmechanismen für Zugangskontrolle, Datenschutz und Nachvollziehbarkeit der Ressourcen-Nutzung zur Verfügung. Eines der Hauptmerkmale unserer Lösung ist eine privatheitsschützende Zugangskontrolle zu Ressourcen, die auf dem Friend-of-Friend Finder (FOFF) Service basiert, der eine benutzerfreundliche Lösung bereitstellt, um die Zugangskontrolle basierend auf Informationen aus sozialen Netzwerken (z.B. Freundschaftsbeziehung) zu konfigurieren, während die Privatsphäre des Benutzers gewahrt wird (z.B. ihre Identität aus sozialen Netzwerken). Beispielsweise erlaubt dieser Dienst einem Nutzer die Tethering-Funktion eines Freundes oder dessen Freund automatisch zu nutzen.

Die Ergebnisse, die in dieser Dissertation präsentiert werden, wurden als begutachtete Forschungsarbeiten sowie als erweiterte technische Berichte veröffentlicht. Einige dieser Publikationen hatten einen signifikanten Einfluss auf folgende Forschung. Beispielsweise motivierten unsere Arbeiten an neuen Formen von Code Reuse Attacken nachfolgende Forschungsarbeiten, anspruchsvollere Schutzmechanismen wie feingranulare Adressraum-Randomisierung oder Control-Flow Integrity (CFI) gegen Code Reuse zu entwerfen. Außerdem folgten eine Reihe von Forschungsarbeiten nach unserer Arbeit an Privilege Escalation Attacken und Gegenmaßnahmen, die sich mit dieser Problemstellung beschäftigten.

Weiterhin erzeugte unsere Zugangskontroll-Lösung [110, 65], die mobile Geräte als Zugangs-Token verwendet, eine große Resonanz bei der Industrie: 2013 wurde unsere Lösung als Highlight der CeBIT, der weltweit größten internationalen Computerausstellung, ausgewählt und wird in einem großen Umfang in industriellen Lösungen eingesetzt werden.

German

URN:

urn:nbn:de:tuda-tuprints-46111

Classification DDC:

000 Generalities, computers, information > 004 Computer science

Divisions:

20 Department of Computer Science
20 Department of Computer Science > Security Engineering

Date Deposited:

15 Jul 2015 10:21

Last Modified:

06 Mar 2024 11:29

URI: