Vaivaton tietoturva on altis vihamielisille hyökkäyksille
Teknologiaan perustuvassa yhteiskunnassa tarvitaan salasana melkein kaikkeen pankissa asioimisesta viestintään. Koska salasanojen muistaminen on haasteellista, maailmalla kehitetään innolla helppoja mutta samalla turvallisia sisään- ja uloskirjautumistapoja.
– Tietoturvayhteisö on edistynyt hyvän tunnistautumisjärjestelmien kehityksessä. Silti yhtä aikaa käyttäjäystävällisen ja turvallisen järjestelmän kehittäminen ei ole helppo tehtävä, kertoo University of Alabama at Birminghamin (USA) apulaisprofessori Nitesh Saxena.
Saxena, ja hänen Alabaman ja Aalto-yliopiston kollegansa tietävät, mistä puhuvat, sillä he onnistuivat hiljattain osoittamaan ZEBRAn haavoittuvaisuuden vihamielisille hyökkäyksille. ZEBRA on Dartmouth Collegen tutkijoiden kehittämä helppokäyttöinen tietoturvajärjestelmä, joka pystyy tunnistamaan käyttäjän niin, että tämän tarvitsee nähdä vain vähän tai ei lainkaan vaivaan turvallisen käyttäjäistunnon eteen.
ZEBRA edellyttää jokaisen käyttäjän käyttävän Fitbitin tapaista ranneketta, joka mahdollistaa Bluetooth-yhteyden. Kun käyttäjä kirjautuu laitteeseen ensimmäistä kertaa, järjestelmä muodostaa yhteyden rannekkeeseen. Kun käyttäjä käyttää laitetta, ranneke lähettää mittaustuloksiaan käyttäjän ja laitteen vuorovaikutuksesta laitteelle. Tämän jälkeen laite puolestaan käyttää koneoppimiseen perustuvaa luokittelijaa kuvaamaan nämä toiminnat ennustettujen vuorovaikutusten ketjuna.
– Nyt laitteella on kaksi erilaista näkökulmaa samasta ilmiöstä: suorien vuorovaikutusten ketju ja mittausten perusteella päätelty ennustettujen vuorovaikutusten ketju, kertoo professori N. Asokan Aalto-yliopistosta.
– Jos nämä kaksi ketjua täsmäävät, ZEBRA voi tehdä johtopäätöksen, että kyseisen sisäänkirjautumisistunnon aikana laitetta ja ranneketta käyttää sama henkilö. Jos taas ketjut eroavat toisistaan, ZEBRA voi nopeasti ja automaattisesti kirjata käyttäjän ulos, hän selittää.
Keinotteleva hyökkääjä on vahvoilla
Tekemässään tutkimuksessa tutkijat huomasivat, että järjestelmä toimii erinomaisesti – rehellisillä käyttäjillä. Vihamielisten hyökkäysten edessä se oli kuitenkin melko suojaton. Kokeessa 20 koehenkilöä esitti erilaisia uhrin rooleja samalla, kun tutkijat olivat hyökkääjän roolissa. Hyökkääjät matkivat sitä, mitä uhrit tekivät laitteillaan.
– Halusimme tietää, pystyykö ZEBRAa huijaamaan. Tällä tavoin pystyisimme mittaamaan, kuinka turvalliseksi järjestelmä muodostuisi, mikäli joku yrittäisi aktiivisesti hyökätä käyttäjän avoinna olevaan käyttäjäistuntoon. Havaitsimme, että keinotteleva hyökkääjä pystyy melko helposti käyttämään tunnistautunutta käyttäjää hyväkseen, Saxena kertoo.
Keinotteleva hyökkääjä voi pysytellä lähellä uhria, nähden tai kuullen mitä hän tekee, ja sen perusteella päättää mitä hänen vuorovaikutustaan hän aikoo matkia.
– ZEBRA ei pystynyt kirjaamaan ulos keinottelevaa hyökkääjää, joka oli päässyt kiinni avoimeen istuntoon ja valitsi siellä huolellisesti tekemisensä, Asokan sanoo.
– Itse asiassa keinottelevat hyökkääjät välttivät kiinnijäämisen 40 % ajasta, matkimalla uhria vain silloin, kun he ajattelivat sen onnistuvan.
Vaikka ZEBRA on haavoittuvainen keinottelevien hyökkääjien tapauksessa, se toimii hyvin käyttäjien huolimattomuustilanteissa.
– Käyttäjän tekemisten mallintaminen on vaikeaa. Me osoitamme tutkimuksessa, kuinka riittämätön hyökkääjän mallintaminen voi johtaa vääriin johtopäätöksiin järjestelmän turvallisuudesta. Jos käytettävissä on realistinen malli hyökkääjän toiminnasta, järjestelmän puutteet tulevat paremmin näkyviin ja ne voidaan ratkaista, Asokan painottaa.
Tutkimuksen tekivät yhteistyössä Otto Huhta, Mika Juuti, Swapnil Udar ja N. Asokan Aalto-yliopistosta sekä Prakash Shretsha ja Nitesh Saxena University of Alabama at Birminghamista, ja se esitettiin helmikuussa 2016 Network and Distributed System Security Symposiumissa San Diegossa. Tutkimusta rahoittivat National Science Foundation ja Suomen Akatemia.
³¢¾±²õä³Ù¾±±ð³Ù´ÇÂá²¹:
Professori N. Asokan
Aalto-yliopiston tietotekniikan laitos
(Secure Systems)
Puh. 050 483 6465
n.asokan@aalto.fi
Linkki julkaisuun: (arxiv.org)
Taustatietoa tutkimuksesta
Lue lisää uutisia
Tutkijatohtori Eloi Moliner on tehnyt historiaa viisinkertaisena palkinnonsaajana
Eloi Moliner on yksi Aalto-yliopiston palkituimmista väitöskirjatutkijoista; haluamme juhlia hänen menestystään ja panosta signaalinkäsittelyn alalla.
Kahden miljoonan lahjoitus Aalto-yliopiston uuteen monialaiseen kandidaattiohjelmaan – lahjoittajina Matti Alahuhta, Sari Baldauf, Antti Herlin ja Jorma Ollila
Monialainen kandidaattiohjelma yhdistää tekniikkaa, kauppatieteitä, taiteita ja suunnittelua.Ohjelman ensimmäinen vuosikurssi aloittaa syksyllä 2027.
Tutkimus hyvinvoinnista osoittaa: vapaus valita tekee onnellisemmaksi – erityisesti vauraissa ja yksilökeskeisissä maissa
Autonomia eli kokemus siitä, että voi vaikuttaa omaan elämäänsä on yhteydessä hyvinvointiin kaikkialla maailmassa. Tuore tutkimus kertoo, että sen merkitys onnellisuudelle korostuu vauraissa ja yksilökeskeisissä maissa.