Vaivaton tietoturva on altis vihamielisille hyökkäyksille

Teknologiaan perustuvassa yhteiskunnassa tarvitaan salasana melkein kaikkeen pankissa asioimisesta viestintään. Koska salasanojen muistaminen on haasteellista, maailmalla kehitetään innolla helppoja mutta samalla turvallisia sisään- ja uloskirjautumistapoja.

– Tietoturvayhteisö on edistynyt hyvän tunnistautumisjärjestelmien kehityksessä. Silti yhtä aikaa käyttäjäystävällisen ja turvallisen järjestelmän kehittäminen ei ole helppo tehtävä, kertoo University of Alabama at Birminghamin (USA) apulaisprofessori Nitesh Saxena.

Saxena, ja hänen Alabaman ja Aalto-yliopiston kollegansa tietävät, mistä puhuvat, sillä he onnistuivat hiljattain osoittamaan ZEBRAn haavoittuvaisuuden vihamielisille hyökkäyksille. ZEBRA on Dartmouth Collegen tutkijoiden kehittämä helppokäyttöinen tietoturvajärjestelmä, joka pystyy tunnistamaan käyttäjän niin, että tämän tarvitsee nähdä vain vähän tai ei lainkaan vaivaan turvallisen käyttäjäistunnon eteen.

ZEBRA edellyttää jokaisen käyttäjän käyttävän Fitbitin tapaista ranneketta, joka mahdollistaa Bluetooth-yhteyden. Kun käyttäjä kirjautuu laitteeseen ensimmäistä kertaa, järjestelmä muodostaa yhteyden rannekkeeseen. Kun käyttäjä käyttää laitetta, ranneke lähettää mittaustuloksiaan käyttäjän ja laitteen vuorovaikutuksesta laitteelle. Tämän jälkeen laite puolestaan käyttää koneoppimiseen perustuvaa luokittelijaa kuvaamaan nämä toiminnat ennustettujen vuorovaikutusten ketjuna.

– Nyt laitteella on kaksi erilaista näkökulmaa samasta ilmiöstä: suorien vuorovaikutusten ketju ja mittausten perusteella päätelty ennustettujen vuorovaikutusten ketju, kertoo professori N. Asokan Aalto-yliopistosta.

– Jos nämä kaksi ketjua täsmäävät, ZEBRA voi tehdä johtopäätöksen, että kyseisen sisäänkirjautumisistunnon aikana laitetta ja ranneketta käyttää sama henkilö. Jos taas ketjut eroavat toisistaan, ZEBRA voi nopeasti ja automaattisesti kirjata käyttäjän ulos, hän selittää.

Keinotteleva hyökkääjä on vahvoilla

Tekemässään tutkimuksessa tutkijat huomasivat, että järjestelmä toimii erinomaisesti – rehellisillä käyttäjillä. Vihamielisten hyökkäysten edessä se oli kuitenkin melko suojaton. Kokeessa 20 koehenkilöä esitti erilaisia uhrin rooleja samalla, kun tutkijat olivat hyökkääjän roolissa. Hyökkääjät matkivat sitä, mitä uhrit tekivät laitteillaan.

– Halusimme tietää, pystyykö ZEBRAa huijaamaan. Tällä tavoin pystyisimme mittaamaan, kuinka turvalliseksi järjestelmä muodostuisi, mikäli joku yrittäisi aktiivisesti hyökätä käyttäjän avoinna olevaan käyttäjäistuntoon. Havaitsimme, että keinotteleva hyökkääjä pystyy melko helposti käyttämään tunnistautunutta käyttäjää hyväkseen, Saxena kertoo.

Keinotteleva hyökkääjä voi pysytellä lähellä uhria, nähden tai kuullen mitä hän tekee, ja sen perusteella päättää mitä hänen vuorovaikutustaan hän aikoo matkia.

– ZEBRA ei pystynyt kirjaamaan ulos keinottelevaa hyökkääjää, joka oli päässyt kiinni avoimeen istuntoon ja valitsi siellä huolellisesti tekemisensä, Asokan sanoo.

– Itse asiassa keinottelevat hyökkääjät välttivät kiinnijäämisen 40 % ajasta, matkimalla uhria vain silloin, kun he ajattelivat sen onnistuvan.

Vaikka ZEBRA on haavoittuvainen keinottelevien hyökkääjien tapauksessa, se toimii hyvin käyttäjien huolimattomuustilanteissa.

– Käyttäjän tekemisten mallintaminen on vaikeaa. Me osoitamme tutkimuksessa, kuinka riittämätön hyökkääjän mallintaminen voi johtaa vääriin johtopäätöksiin järjestelmän turvallisuudesta. Jos käytettävissä on realistinen malli hyökkääjän toiminnasta, järjestelmän puutteet tulevat paremmin näkyviin ja ne voidaan ratkaista, Asokan painottaa.

Tutkimuksen tekivät yhteistyössä Otto Huhta, Mika Juuti, Swapnil Udar ja N. Asokan Aalto-yliopistosta sekä Prakash Shretsha ja Nitesh Saxena University of Alabama at Birminghamista, ja se esitettiin helmikuussa 2016 Network and Distributed System Security Symposiumissa San Diegossa. Tutkimusta rahoittivat National Science Foundation ja Suomen Akatemia. 

Lisätietoja:

Professori N. Asokan
Aalto-yliopiston tietotekniikan laitos
Tietoturvan tutkimusryhmä (Secure Systems)
Puh. 050 483 6465
[email protected]

Linkki julkaisuun: Pitfalls in Designing Zero-Effort Deauthentication: Opportunistic Human Observation Attacks (arxiv.org)

Taustatietoa tutkimuksesta blogista