JP2014535195A - 移動端末上で移動無線のインターフェースを監視する方法および装置 - Google Patents

Abstract

移動端末上で移動無線のインターフェースを監視する方法および装置であって、移動端末はベースバンドおよびアプリケーション・プロセッサを備え、−アプリケーション・プロセッサ上でオペレーティング・システムを実行するステップと、−アプリケーション・プロセッサ上で仮想モデムを実行するステップとを備え、前記モデムは、オペレーティング・システムとベースバンドとの間のデータ交換を排他的に行い、また、ベースバンドの機能性を提供して、それによってデータへのアクセスを取得し、かつ、それによって認証されていないデータを濾過して除去する。

Description

本発明は、移動端末上で移動無線のインターフェースを監視する方法および装置に関し、より詳細には、ＡＴアクセスを監視するための仮想モデムに関する。

近年、スマートフォンのオペレーティング・システムの安全性を高めるために多くのことが行われている。これに関連して、その目的は攻撃およびマルウェア（トロイ、コンピュータウィルス）からユーザを保護することである。そのような対策の例として、
・慎重に扱うべき（ｓｅｎｓｉｔｉｖｅ）リソース（たとえば、位置データ、ＳＭＳデータベース、アドレス帳）へのアクセスを制限かつ監視できるようにするための強制アクセス制御（ＭＡＣ）
・データ・ケージング（ｄａｔａ ｃａｇｉｎｇ）
・セキュリティの隙を突きにくくするためのアドレス空間配置のランダム化（ＡＳＬＲ）
を含む。

移動電話の乗っ取りによる移動無線のネットワークに対する攻撃が周知であるにもかかわらず、これまで、移動無線のネットワークのインフラストラクチャを保護する方法はほとんど知られていない。これまで、移動無線のネットワークの操作者には、そのネットワークにＳＭＳフィルタをインストールして不要なＳＭＳメッセージを濾過して除去（ｆｉｌｔｅｒ ｏｕｔ）できるようにする選択肢しかない。むしろ、これらの攻撃は、現在のセキュリティ対策が攻撃に対する装置の保護を目的とし、それらの対策が作用する環境（移動無線のネットワーク）の程度がより小さいものであることを証明している。

米国特許第５，６２８，０３０号は、同時に動作している複数の通信アプリケーションに通信チャネルを提供する装置としての仮想モデムについて記述する。仮想モデムは次に、通信アプリケーションを物理モデムに選択的に接続する。仮想モデムは、抽象モデム・インターフェースを実装（ｉｍｐｌｅｍｅｎｔａｔｉｏｎ）する。

これに対して、本発明は物理モデムを多重化する方法を開示せず、その代わりに、移動端末上の移動無線のネットワークへの移動端末のアクセスが安全なやり方で監視され得る方法を開示する。その上、米国特許第５，６２８，０３０号は、デスクトップ・コンピュータに関してのみである。

ＤＥ００００６９９２５７３２Ｔ２は、セキュリティ・ファームウェアが組み込まれた移動電話について記述する。これは、保護されていないネットワークを介するイントラネットへの安全なアクセスを可能にする方法について記述する。この場合、セキュリティ層はファームウェアまたは外部ハードウェア・モジュールの形で移動電話に実装される。

一方、本発明は保護されたファームウェアまたは外部ハードウェア・モジュールを必要としない。その上、本発明は通信関係を保護する方法について記述しない。

信号伝達メッセージは移動電話によって生成され、通常、移動交換センター（ＭＳＣ）およびホーム・ロケーション・レジスタ（ＨＬＲ）に送信される。データ接続の場合、サービングＧＰＲＳサポート・ノード（ＳＧＳＮ）およびゲートウェイＧＰＲＳサポート・ノード（ＧＧＳＮ）も含まれる。

移動無線のネットワークにおいて、データは、いわゆるパケット・データ・プロトコル（ＰＤＰ）を介して送信される。ＰＤＰ接続の確立は複雑なプロセスである。移動端末はまず、「ＧＰＲＳアタッチ」メッセージをＳＧＳＮに送信する。ＳＧＳＮは、ＨＬＲを用いて移動端末を認証する。これに続いて、ＰＤＰコンテクストが生成され、ＳＧＳＮおよびＧＧＳＮに保存される。ＰＤＰコンテクストはとりわけ、課金、サービスの質およびこの接続のＩＰアドレスに関する情報を保存するために用いられる。移動無線のネットワークの異なる構成要素を介するＰＤＰコンテクストの管理および切換は、非常に複雑である。

移動無線のネットワークへの移動端末の接続は、ベースバンドと呼ばれる構成要素を介して行われ、たとえばベースバンド・プロセッサ、無線モジュール、ソフトウェアなどの複数の個別の構成要素から構成されてよい。このベースバンドは通常、標準プロセッサ、デジタル信号プロセッサ（ＤＳＰ）、および無線接続に必要な無線構成要素を含む。移動無線のネットワークにおいて使用可能とされる前に、ベースバンドと、ベースバンド・プロセッサおよびそのソフトウェアなどのベースバンドの構成要素とは、異なる機関によって認定かつ認証されなければならない。このプロセスは複雑で、コストが大きい。これが、世界にベースバンドの製造業者がわずかしかいない理由である。

ベースバンドに加えて、移動端末は通常、いわゆるアプリケーション・プロセッサも含む。移動電話の場合、電話オペレーティング・システム（たとえば、ｉＯＳまたはアンドロイド）はアプリケーション・プロセッサ上で動作する。いわゆるＵＭＴＳスティックの場合、アプリケーション・プロセッサはコンピュータのプロセッサである。いずれの場合も、ベースバンドおよびアプリケーション・プロセッサは、幾つかの場所で、とりわけ制御チャネルを介して互いに接続されるのみである。ベースバンドを制御するために、アプリケーション・プロセッサは、制御チャネルを介して、制御コマンドを用いて通信する。

移動端末の信号伝達チャネルを監視するための本発明（以下、仮想モデム）は、ベースバンド・ハードウェアまたはソフトウェアのいかなる変更も必要としない。仮想モデムはアプリケーション・プロセッサ上で完全に動作し、ベースバンドに対する排他的な制御を備える。アプリケーション・プロセッサ上の既存のオペレーティング・システムは、もはやベースバンドに直接アクセスできない。その代わりに、仮想モデムはオペレーティング・システムにベースバンドへのインターフェースを提供し、それゆえ、ベースバンドへのすべてのアクセスを監視することができる。図１は、このアーキテクチャを示す。インターフェースは２つのチャネルを備えるのが好ましく、それ以上のチャネルも考えられる。一実施形態において、チャネルの１つは制御コマンドの流れに用いられ、２つめのチャネルはデータの流れに用いられる。

詳細には、本発明は、移動端末上で移動無線のインターフェースを監視する方法に関し、この移動端末はベースバンドおよびアプリケーション・プロセッサを備える。この方法は、アプリケーション・プロセッサ上でオペレーティング・システムを実行するステップを備える。この場合、アプリケーション間で、インターネットブラウザまたはカメラなどはアプリケーション・プロセッサ上で実行される。

さらなるステップとして、方法はアプリケーション・プロセッサ上での仮想モデムの実行を備え、仮想モデムはオペレーティング・システムとベースバンドとの間のデータ交換を排他的に行い、また、ベースバンドの機能性を提供して、それによってアクセス・データを取得し、かつ、それによって認証されていないデータおよびアクセスを濾過して除去する。

好ましい形式では、仮想モデムは仮想信号チャネルおよび仮想データ・チャネルを提供し、ここで、仮想モデムを制御する制御コマンドは仮想信号チャネルを介して送信されるのが好ましい。さらに、他のデータに加えて、ＩＰデータもデータ・チャネルを介して送信される。音声データは、ボイス・オーバー・アイピーとして送信されることも可能であり、ＩＰデータとして送信される。

好ましい実施形態において、制御コマンド・フィルタは仮想モデムの構成要素であり、制御コマンド・フィルタはオペレーティング・システムとベースバンドとの間の制御コマンドの流れを監視し、かつ仕様に従ってフィルタリングする。

ＩＰフィルタもまた、仮想モデムの構成要素であってよく、ファイアウォールを実装することによって外部または内部からの望ましくないアクセスをブロックする。

仮想モデムは、ベースバンドの機能性およびインターフェースが提供される抽象モデム・インターフェースの形でベースバンドを提供する。したがって、オペレーティング・システムおよびハードウェアの変更は必要ないか、またはわずかである。これは、ソフトウェア・ソリューションであるのが好ましい。明らかに、ハードウェアとソフトウェアとの組合せが提供されることも考えられる。

仮想モデムはベースバンド・ドライバも備え、ベースバンド・ドライバはベースバンドへのインターフェースを提供する。このドライバは、オペレーティング・システムのドライバの構造と類似または同一の構造を有し、通常、ベースバンドに直接アクセスする。したがって、このドライバはオペレーティング・システムのベースバンド・ドライバへの接続を確立する。

仮想モデムの中心となる構成要素のひとつは、制御コマンド・フィルタである。これはオペレーティング・システムとベースバンドとの間の制御コマンドの流れを監視し、かつフィルタリングする。これによって、ベースバンドに関する信号伝達チャネルについての安全指針が強化される。

ＩＰフィルタの構成要素はファイアウォールを実装し、このファイアウォールはたとえば、外部または内部からの望ましくないアクセスをブロックする。ＩＰフィルタは、そこを通過するデータ通行を監視し、決められたルールに基づいて、あるネットワーク・パケットを通過させるか否かを決定する。このような方法で、認証されていないネットワーク・アクセスをブロックするよう試みる。ファイアウォールは、プロトコル・レベル、ポート・レベル、コンテント・レベルで動作することができ、あるパターンで攻撃を識別し（たとえばＤｏＳ）、処理状態を把握した監視（ステートフル・インスペクション）を提供することができる。また、侵入検出および予防システムも考えられる。

オペレーティング・システムの観点からすると、仮想モデムは「実際の」ベースバンドであるかのように振る舞う。既存のオペレーティング・システムを変更する必要はない。新たなベースバンドの統合には通常の適応で十分である。

本発明は仮想モデムを用い、たとえば、以下のアプリケーションに利用されてもよい。すなわち、
・プレミアムＳＭＳフィルタ
・プレミアム番号フィルタ
・信号伝達チャネル・ベースのＤｏＳ攻撃からの移動無線のインフラストラクチャの保護
・移動ボットネットの抑制
・遠隔メンテナンスのアクセス指針の更新（遠隔更新）
・いわゆるプレミアムサービスについてのユーザ定義の仕様／アクセス指針の更新
・不可避のＶＰＮアクセス
・移動端末上のファイアウォール
である。

従来技術と比較して、仮想モデムは以下の改善を提供する。すなわち、
・実装によって、既存のオペレーティング・システムの修正は必要ないか、またはわずかである。
・既存の移動ハードウェアの修正は必要でない。
・乗っ取られた移動端末から移動無線のネットワークを保護する。
・移動無線のネットワークのインフラストラクチャの過負荷が避けられるように、移動端末上で信号伝達手段を直接フィルタリングする。
・仮想モデムは移動端末に直接実装され、インフラストラクチャの変更を必要としないことによる、より費用効果の高い利用法。
・付加価値のある高額のサービス（いわゆるプレミアムＳＭＳまたはプレミアム番号）をブロックする。
・データ・アクセスを監視する。

それゆえ、本発明は、
・ＳＭＳトロイのブロックの成功
・ＳＭＳを介したコマンド−制御チャネルの発見的認識
・移動無線のネットワークの操作者のインフラストラクチャに対するＤｏＳ攻撃がより複雑である（少なくとも７００％の加入者の増加）
・危険なコマンドの速度制限による、移動無線のインフラストラクチャの負荷の軽減
を容易にする。

次に図面の簡単な説明を続ける。

仮想モデムの概念および層構造を示す図である。 制御コマンド・フィルタの基本的方法のフロー・チャートを示す図である。

図１は、本発明の移動端末の層構造を示す。オペレーティング・システムは、アプリケーション・プロセッサすなわち一般に実際のハードウェア上で動作するが、しかし個々の場合では仮想化されてもよい。

仮想化の場合、オペレーティング・システム、たとえばアンドロイドは、ハイパーバイザとしても知られる仮想化層で動作し、ここで仮想モデムは、仮想ハードウェアとして、またはさらに仮想マシンとしてのハイパーバイザに配置され、ハイパーバイザ上で動作する。オペレーティング・システムはアプリケーション・ソフトウェアのスタックを備え、スタック上でユーザ用アプリケーションが動作する。このスタックは、たとえば、アプリケーションによって使用されるライブラリおよびフレームワークを備えることができる。これはまた、オペレーティング・システムのカーネルへのインターフェースを提供する。このカーネルの内部には仮想モデムへの仮想信号チャネルおよび仮想データ・チャネルがあり、仮想モデムは中間層としてベースバンドとオペレーティング・システムとの間で切り換えられる。したがって、オペレーティング・システムは、仮想モデムを介してベースバンドへのアクセスを有するのみである。仮想信号チャネルは、一般に、仮想モデムを制御するタスクを有する制御コマンドを送信するために用いられる。モデムが設定されると、データは次に、たとえばデータの流れとして仮想データ・チャネルを介して送信される。データの流れは会話の流れを含むことができるが、インターネットデータ（ＩＰデータ）も含むことができる。次に、フィルタが各データの流れに適用されて（ＡＴコマンド・フィルタおよびＩＰフィルタ）、認証されていない、または不要なデータを両方向に濾過して除去する。フィルタは調整可能であり、また、濾過して除去されるべきルールまたはパターンに基づいている。たとえば、マルウェアの内容を認識するスキャナ、またはプロトコル・フィルタなどの他のコンテンツ・フィルタさえも、ＩＰフィルタに適用されてもよい。仮想モデム内に配置されるのはベースバンド・ドライバであり、これは、上記のとおり、必要であれば２つの流れを結合させ、これらをベースバンド／ユニットに転送する。しかしながら、別の方法として、データは２つの別個のチャネルを介して転送されてもよい。

図２は、本発明のアプリケーションの例を示す。

この場合、ある攻撃が認識され、濾過して除去される。

電話転送の攻撃
危険にさらされた移動電話の多くは電話の転送設定を絶えず変更し、それゆえ、移動無線のネットワークの供給者のインフラストラクチャにかなりの負荷を生じさせる。

アプリケーション・ソフトウェアは電話の転送設定を変更するためのコマンドを生成する。このコマンドは仮想信号チャネルを介して仮想モデムに送信される。制御コマンド・フィルタは調整可能な閾値を参照して、この機能についてのコマンド／タイム・ユニットの認証された番号が閾値を超えたか否かを確認し、当てはまる場合には、次回のインターバルの開始までコマンドをブロックする。認証された番号が閾値をまだ超えない場合、コマンドはベースバンド・ドライバに転送され、最終的にはベースバンドから移動無線のネットワークに送信される。図２は、最終のコマンドとインターバルとを合わせた時間が現時点より大きい場合、カウンタが確認され、カウンタが閾値を超える場合、メッセージはブロックされることを示す。そうでなければ、メッセージは転送される。

プレミアムＳＭＳメッセージ
ＳＭＳトロイは、ユーザが知らないうちに高額のプレミアムＳＭＳメッセージを送信し、したがって、ユーザに著しい財政損害をもたらす可能性がある。

ＳＭＳトロイは、仮想信号チャネルを介してプレミアム番号にＳＭＳを送信する。制御コマンド・フィルタは、そのＳＭＳが送信されるべきか否かを、ブラックリスト／ホワイトリストを参照して確認する。受信者の番号がブラックリストに含まれていれば、適切な警告が示されることができ、また任意に、ユーザの確認が要求されることができる。ユーザが送信を拒絶すれば、ＳＭＳメッセージは破棄される。これらのリストは、たとえば、オンラインで定期的に更新されてもよい。

Claims (12)

1. 移動端末上で移動無線のインターフェースを監視する方法であって、前記移動端末はベースバンドおよびアプリケーション・プロセッサを備え、
   −前記アプリケーション・プロセッサ上でオペレーティング・システムを実行するステップと、
   −前記アプリケーション・プロセッサ上で仮想モデムを実行するステップとを備え、前記仮想モデムは前記オペレーティング・システムと前記ベースバンドとの間のデータ交換を排他的に行い、また、前記ベースバンドの機能性を提供して、それによってデータへのアクセスを取得し、かつ、それによって認証されていないデータを濾過して除去する
   方法。
2. 前記仮想モデムは、仮想信号伝達チャネルおよび仮想データ・チャネルを提供し、制御コマンドは好ましくは前記仮想信号伝達チャネルを介して送信され、前記制御コマンドは前記仮想モデムを制御し、ＩＰデータは前記データ・チャネルを介して送信される、請求項１に記載の方法。
3. 制御コマンド・フィルタは、前記オペレーティング・システムと前記ベースバンドとの間の前記制御コマンドの流れを監視し、かつ仕様に従って前記制御コマンドの流れをフィルタリングする前記仮想モデムの構成要素であり、
   かつ／または、
   ＩＰフィルタは前記仮想モデムの構成要素であり、ファイアウォールを実装することによって外部または内部からの望ましくないアクセスをブロックする、請求項１又は２に記載の方法。
4. 以下の構成要素、すなわち、
   ・番号フィルタ
   ・信号伝達チャネル・ベースのＤｏＳ攻撃から前記移動無線のインフラストラクチャを保護するためのフィルタ
   ・移動ボットネットを抑制するためのフィルタ
   ・定期的な更新の対象となる、アクセス指針の構成要素の更新
   ・いわゆるプレミアムサービスについてのユーザ定義の仕様／前記アクセス指針の更新に関する構成要素
   ・ＶＰＮアクセスを制限するための制御構成要素
   の１つまたは複数が、前記データをフィルタリングするために前記フィルタで用いられる、請求項１乃至３のいずれか一項に記載の方法。
5. 前記仮想モデムは前記ベースバンドを実装し、前記ベースバンドの前記機能性および前記インターフェースが提供される、請求項１乃至４の１つまたは複数に記載の方法。
6. 前記仮想モデムはベースバンド・ドライバを備え、前記ベースバンド・ドライバは前記ベースバンドへのインターフェースを提供する、請求項１乃至５のいずれか一項に記載の方法。
7. 移動無線のインターフェースを備える移動端末であって、
   ベースバンドおよびアプリケーション・プロセッサを備え、前記アプリケーション・プロセッサはオペレーティング・システムを実行する手段を備え、
   前記アプリケーション・プロセッサはさらに仮想モデムを実装する手段を特徴とし、前記仮想モデムは前記オペレーティング・システムと前記ベースバンドとの間のデータ交換を排他的に行い、前記ベースバンドの機能性を提供して、それによってデータへのアクセスを取得し、かつ、それによって認証されていないデータを濾過して除去する
   移動端末。
8. 前記仮想モデムは仮想信号チャネルおよび仮想データ・チャネルを提供し、前記仮想モデムを制御する制御コマンドは、好ましくは前記仮想信号伝達チャネルを介して受信されてもよく、また、ＩＰデータは前記データ・チャネルを介して送信されてよい、請求項１乃至７のいずれか一項に記載の移動端末。
9. 制御コマンド・フィルタは、前記オペレーティング・システムと前記ベースバンドとの間の前記制御コマンドの流れを監視し、かつ仕様に従って前記制御コマンドの流れをフィルタリングする前記仮想モデムの構成要素であり、
   かつ／または、
   ＩＰフィルタは前記仮想モデムの構成要素であり、ファイアウォールを実装することによって外部または内部からの望ましくないアクセスをブロックする、請求項１乃至８のいずれか一項に記載の移動端末。
10. 以下の構成要素、すなわち、
    ・番号フィルタ
    ・信号伝達チャネル・ベースのＤｏＳ攻撃に対して前記移動無線のインフラストラクチャを保護するためのフィルタ
    ・移動ボットネットを抑制するためのフィルタ
    ・定期的な更新の対象となる、アクセス指針の構成要素の更新
    ・いわゆるプレミアムサービスについてのユーザ定義の仕様／前記アクセス指針の更新に関する構成要素
    ・ＶＰＮアクセスを制限するための制御構成要素
    の１つまたは複数が、前記データをフィルタリングするために前記フィルタ内に存在する、請求項１乃至９のいずれか一項に記載の移動端末。
11. 前記仮想モデムは、前記ベースバンドの前記機能性および前記インターフェースが提供される前記ベースバンドをエミュレートするよう構成された、前記移動端末の請求項７乃至１０の１つまたは複数に記載の移動端末。
12. 前記仮想モデムは前記ベースバンドへのインターフェースを提供するベースバンド・ドライバを備える、請求項７乃至１１のいずれか一項に記載の移動端末。

Images