Security and Privacy in Large-Scale Infrastructure
Total Page：16
File Type：pdf, Size：1020Kb
Die approbierte Originalversion dieser Dissertation ist in der Hauptbibliothek der Technischen Universität Wien aufgestellt und zugänglich. http://www.ub.tuwien.ac.at The approved original version of this thesis is available at the main library of the Vienna University of Technology. http://www.ub.tuwien.ac.at/eng Security and Privacy in Large-scale Infrastructure DISSERTATION submitted in partial fulfillment of the requirements for the degree of Doktor der Technischen Wissenschaften by Ing. Dipl.-Ing. Adrian Dabrowski, BSc Registration Number 0025933 to the Faculty of Informatics at the TU Wien Advisor: Privatdoz. Mag.rer.soc.oec. Dipl.-Ing. Dr.techn. Edgar R. Weippl The dissertation has been reviewed by: Thorsten Holz Stefanie Rinderle-Ma Vienna, 1st June, 2018 Adrian Dabrowski Technische Universität Wien A-1040 Wien Karlsplatz 13 Tel. +43-1-58801-0 www.tuwien.ac.at Acknowledgements I am thankful to have found that one special person – I wish to marry – that accepted the circumstances of my career choice and the deprivations and demands entailed with it. Additionally, I thank my parents for enabling me my studies. Furthermore, I could not have mastered these demanding and eventful times without Katharina Krombholz, Martina Lindorfer, and Martin Schmiedecker. I really appreciate your openness and the ability to give constructive feedback. You probably do not know how important your help and our support group is to me. When I started this endeavor, I was very naïve: Writing my Master’s Thesis was quite fun, so why not do it again – this time bigger and with proper science? Could not be that hard, could it? Subsequently, I engaged in a roller coaster ride, where I had to grow technically, academ- ically, and personally. I will leave it up to the committee to determine its sufficiency. Additionally I learned, how enigmatic academic funding – especially in security – can be. Luckily, I had an advisor, Edgar Weippl, with profound expertise in navigating the rough high seas of funding. Without him, I would not have been able to explore so many different research directions and expand my horizons. I still fell short to learn that short-term gratification should not hamper my long-term goals. In general, I need to learn to say no. Albeit demanding times, they where very diverse and highly interesting. I do not like to miss them. A friend once told me, a thesis is finished once you loose all aspirations. Here it is. iii Kurzfassung Große, kritische Infrastruktursysteme entwickeln sich nur langsam weiter und sind schwer zu modifizieren. Das ist in einer vernetzten Welt, die nach immer kürzeren Aktualisie- rungszyklen verlangt, ein Nachteil und unter Umständen gefährlich. Besonders große und komplexe Systeme können sich anders Verhalten, als das Einzelverhalten der Komponen- ten vermuten ließe. Dieses Zusammenspiel kann zu einer destruktiven Interferenz bei den Sicherheitseigenschaften des Gesamtsystems führen. Die vorliegende Dissertation untersucht verschiedene emergente und systemische Sicherheitsherausforderungen von besonders großen oder kritischen Systemen sowie von Systemen mit einer großen Installati- onsbasis auf der Ebene ausgewählter Komponenten als auch des ganzen Systems. Sie wirft einen Blick auf Sicherheitsprobleme und Lösungen von Stromnetzen, Mobilfunknetzen, Mehrdeutigkeit bei der Datenkodierung, Seitenkanälen in Webbrowsern, sowie die Privat- sphäre von Bildern in sozialen Netzwerken. Sie beschreibt nicht nur Angriffe, sondern auch Entdeckungs- und Abwehrmethoden. Die Ergebnisse wurden in Standardisierungsgremien eingebracht, um die Sicherheit zukünftiger Systeme zu verbessern. Für Stromnetze beschreiben wir neuartige Angriffe, die den physischen Teil dieser cyber- physikalischen Systeme als Angriffsvektor nutzen. Wir demonstrieren, wie stromkon- sumierende Geräte synchronisierte Verbrauchsspitzen produzieren können, welche die Regelungsleistung überstrapazieren. Dies kann durch automatische Notabschaltungen zu großflächigen Stromausfällen führen. Für Mobilfunknetze beschreiben wir Methoden, um falsche Basisstationen (IMSI Catchers) und andere Angriffe zu erkennen – sowohl von der Kunden- als auch von der Betreiberseite. Wir konnten unsere Ansätze auf einem echten Mobilfunknetz mit 4 Millionen Teilnehmern testen. Für mobile Browser untersuchen wir Seitenkanalangriffe, die den Browserverlauf verraten. Zum Schluss beschäftigen wir uns mit der Privatsphäre von Bildern in sozialen Netzwerken und anderen Bild-Datenbanken mit dem Ziel, Individuen die Kontrolle über ihre Abbildungen zu ermöglichen. Alle fünf Teile dieser Arbeit behandeln Sicherheits- und Datenschutzprobleme, welche aus der Komposition von Features, falschen Annahmen oder impliziten Vertrauen entstehen. Kompositorische Unsicherheit resultiert z.B. aus der Zusammensetzung von Methoden oder Standards, die sich in ihren Sicherheitseigenschaften gegenseitig destruktiv beeinflus- sen. Falsche Unabhängigkeitsannahmen können die operativen Grundlagen von Systemen bedrohen. Nicht überprüftes, implizites Vertrauen gibt Angreifern, die vorgeben eine privilegierte Komponente zu sein, unnötige Macht über ihre Opfer. v Abstract Large-scale and critical infrastructure systems face unique challenges: they are slow to evolve and difficult to modify, which is especially problematic in a connected world that demands ever shorter update cycles. Additionally, complex systems might behave unexpectedly compared to the behavior of their components. The latter can destructively interfere with security properties of the system as a whole. This thesis explores different emergent and systemic security challenges of large-scale systems by looking at security problems and solutions of power grids, mobile cell phone networks, building blocks such as ambiguity in data encoding, side-channels in privacy- enhancing systems, and privacy in social networks. However, we do not solely describe attacks, but also engage in detection, mitigation, and defense efforts as well as standard- ization to improve the security of future systems. The five systems and components have been studied as follows: In power grids, we describe novel attack techniques vie the physical part of these cyber-physical systems. We demonstrate how connected devices can produce synchronized power-usage peaks that outperform the grid’s reaction abilities and can lead to blackouts. In mobile phone networks, we describe the ability to detect fake base stations (IMSI Catchers) and other attacks from both the customer’s and the operator’s side. We were able to evaluate our approaches on a real mobile network with 4 million subscribers. On mobile browsers, we examine side-channels that can lead to the leakage of private browsing history. With social networks and other picture databases rapidly proliferating photographs of individuals at large scale as well as enriching those pictures with metadata, we explore the possibilities to empower individuals to gain more control over their pictures. In all five parts of this thesis, we encounter security and privacy problems due to a composition of subsystems, wrong premises, or unverified trust. Compositional insecurity stems from multiple methods or standards that, if combined, interfere destructively on security properties or guarantees. Wrong independence premises destroy statistical requirements, threatening the operational foundations of systems. Unverified trust gives impersonating attackers needlessly power over their victims. We discuss these challenges and their impact on large-scale systems on the level of selected components as well as for the whole system. vii Contents Kurzfassungv Abstract vii Contents ix 1 Introduction1 1.1 Power Grids................................. 2 1.2 Mobile Phone networks .......................... 3 1.3 Mobile and Handheld Devices....................... 5 1.4 Individual Picture Privacy......................... 7 1.5 Other Publications............................. 8 I Power Grids 11 2 Breaking the Independence Primitive 13 2.1 Context................................... 14 2.2 Background................................. 15 2.3 Threat Scenario............................... 20 2.4 Evaluation: Power-Modulation ...................... 24 2.5 Evaluation: Grid Effects.......................... 28 2.6 Discussion.................................. 34 2.7 Related Work................................ 37 2.8 Conclusion ................................. 38 II Mobile Phone Radio Networks 39 3 Background and Mobile Phone Networks Security Problems 41 3.1 Overview and Introduction ......................... 41 3.2 Mobile Network Background........................ 42 3.3 Systematization of Vulnerabilities..................... 48 3.4 Cause Overview............................... 55 ix 3.5 Root Cause: Specification Issue...................... 56 3.6 Root Cause: Implementation Issue.................... 63 3.7 Root Cause: Protocol Context Discrepancy............... 65 3.8 Root Cause: Wireless Channel ...................... 67 3.9 Fake Base Stations Attacks in Detail................... 67 3.10 Capabilities of Fake Base Stations .................... 68 3.11 Mobile Communications Acronyms.................... 74 4 Client-side Mobile Phone Network Attack Detection 77 4.1 Preface ................................... 78 4.2 History and Motivation .......................... 78 4.3 Background................................. 79 4.4 IMSI Catcher Artifacts and Detectability ................ 80 4.5 Catching an IMSI Catcher......................... 84 4.6 Implementation............................... 85