타이젠 용 데스크톱 버스 (D-Bus) 권한 우회 취약점 분석 및 자동 탐지

국문 초록 (Abstract)

스마트워치로 대표되는 웨어러블 기기들은 시스템 내에서 민감한 개인정보를 처리하고 저장하기 때문에 높은 보안 기능이 요구된다. 타이젠 운영체제는 애플리케이션에서 특별한 권한을 요구하는 서비스에 접근 시 시스템 데스크톱 버스(D-Bus)를 통하여 요청하는데, 시스템은 해당 애플리케이션의 권한을 검증하여 서비스 접근 허용 여부를 결정한다. 본 논문에서는 타이젠 웨어러블 운영체제의 권한 정책과 접근 제어에 취약한 서비스들을 검출하기 위해 데스크톱 버스 분석 자동화 도구를 소개한다. 자동화 도구는 타이젠 시스템 내 다양한 서비스들에서 권한 검증을 우회할 수 있는 다수의 취약한 호출 메소드들을 발견하였다. 상용 애플리케이션을 제작하여 무선랜 위치 추적, 푸시알림 수집 등 최소 5개의 취약점에 대한 시연을 하였다.

다국어 초록 (Multilingual Abstract)

Wearable devices, such as a smart watch and a wrist band, store owner’s private information in the devices so that security in a high level is required. Applications developed by third parties in Tizen request for an access to designated services through the desktop bus (D-Bus). The D-Bus verifies application’s privileges to grant the request for an access. We developed a fuzzing tool, so-called DAN (the D-bus ANalyzer), to detect errors in implementations for privilege verifications and access controls within Tizen"s system services. The DAN has found a number of vulnerable services which granted accesses to unauthorized applications. We built a proof-of-concept application based on those findings to demonstrate a bypass in the privilege examination.

목차 (Table of Contents)

• 요약
• ABSTRACT
• I. 서론
• II. 배경 지식
• III. 데스크톱 버스 분석 자동화 도구
• IV. 실험 및 결과
• V. 결론
• References

참고문헌 (Reference)

1 GitHub, "kiding/dan: Automatic privilege evaluation of D-Bus services"

2 GNOME Developer Center, "gdbus:GIO Reference Manual"

3 Tizen Wiki, "Tizen 3.X Overview"

4 Tizen Wiki, "Tizen 2.X dbus"

5 Tizen Wiki, "Tizen 2.X Architecture"

6 O. Gadyatskaya, "Security in the Firefox OS and Tizen Mobile Platforms" 47 (47): 57-63, 2014

7 Samsung Mobile, "Notify Update"

8 Tizen Developers, "Introduction to Nati ve Applications"

9 Google Maps Platform, "Google Maps Geolocation API"

10 S. Waltzer, "Global Smartwatch OS Market Share by Region : Q2 2017, Strategy Analytics" 2017

11 M. Marhefka, "Dfuzzer: A D-Bus Service Fuzzing Tool" 383-389, 2014

12 dbus, "D-Bus Specification"

13 K. Vervloesem, "Control your Linux desktop with D-Bus" 199 (199): 2010

14 V. Amorim, "A Constraint-Driven Assessment of Operating Systems for Wearable Devices" 150-155, 2016