JP2022123854A - 省電力ワイヤレスデバイスを攻撃から保護するためのセキュリティ機器 - Google Patents

Abstract

【課題】複数のワイヤレスのモノのインターネット（ＩｏＴ）デバイスを、なりすまし攻撃から保護するためのンピュータセキュリティシステム及び方法を提供する。【解決手段】セキュリティ機器は、２つのデバイス間のワイヤレス接続を確立するプロトコルの一部として発行された可用性通知（たとえば、Ｂｌｕｅｔｏｏｔｈ（登録商標）Ｌｏｗ Ｅｎｇｅｒｙアドバタイズメント）を検出する。次に、セキュリティ機器は、検出された通知が、見かけの送信者のベースライン通知パターンに適合するか否かを判定する。適合しない場合、セキュリティ機器は、それぞれの可用性通知に応答してハンドシェイクを開始することにより、送信者デバイスを攻撃する。【選択図】図１

Description

関連出願
[0001]この出願は、２０２０年６月９日に出願され「Ｓｅｃｕｒｉｔｙ Ａｐｐｌｉａｎｃｅ ｆｏｒ Ｐｒｏｔｅｃｔｉｎｇ Ｐｏｗｅｒ－Ｓａｖｉｎｇ Ｗｉｒｅｌｅｓｓ Ｄｅｖｉｃｅｓ Ａｇａｉｎｓｔ Ａｔｔａｃｋ」（省電力ワイヤレスデバイスを攻撃から保護するためのセキュリティ機器）と題された米国仮特許出願第６２／７０５，０４４号の出願日の利益を主張し、その全内容は参照により本明細書に組み込まれる。

[0002]本発明は、コンピュータセキュリティシステムおよび方法、特に、悪意のあるデバイスによる攻撃からの電子機器の保護に関する。

[0003]非公式にモノのインターネット（ＩｏＴ）と呼ばれる多種多様なデバイスが、現在、通信ネットワークおよびインターネットに接続される。そのようなデバイスは、とりわけ、スマートフォン、スマートウォッチ、テレビおよび他のマルチメディアデバイス、ゲームコンソール、および、ドアロックや、家庭用ロボットや、冷蔵庫や、監視カメラや、様々なセンサや、サーモスタットや、スプリンクラなどの家電製品を含む。オンラインになるそのようなデバイスが増えると、悪意のあるソフトウェアやハッキングなどのセキュリティ脅威の標的になる。

[0004]別の最近の消費者の傾向は、とりわけ、バーコードのスキャン、食料品の支払い、家および車のドアのロック解除、および車の始動などの日常的なタスクを容易にするために、様々な小型で携帯可能な電子デバイスを使用することを含む。典型的な例では、スーパマーケットのＰＯＳデバイスは、顧客のモバイル電話または電子ウォレットデバイスとの一時的なワイヤレス接続を確立して、支払トランザクションを自動的に実行する場合がある。別の例では、車のコンピュータは、車の所有者のキーとの一時的なワイヤレス接続を確立し、車のドアを自動的に開くか、またはエンジンを始動し得る。さらに別の例では、スマートドアロックは、モバイル電話またはキーリングトークンなどのターゲットデバイスの近接を感知することに応答して、ハウスボルトのロックを自動的に解除し得る。

[0005]さらに別の傾向は、マーケティングおよび／または消費者行動に影響を与える様々な電子デバイスを使用することを含む。例は、顧客のモバイル電話との一時的なワイヤレス接続を確立し、顧客のモバイル電話に可用性通知を表示させるマーケティングビーコンを含む。そのようないくつかのデバイスは、たとえば、それぞれの人の場所、スケジュール、購買習慣、連絡先などを登録するなど、それぞれの顧客および／またはそれぞれのモバイル電話に関するデータを目立たないように収集し得る。したがって、保護されないままにしておくと、そのようなデバイスは、一般の人々を、実質的なプライバシリスクにさらす可能性がある。

[0006]上記を考慮して、マルウェアおよび悪意のある操作からワイヤレス電子デバイスを保護すること、ならびにそのようなデバイスとの間の通信を保護することの必要性が高まっている。

[0007]１つの態様によれば、セキュリティ機器は、クライアントデバイスをコンピュータセキュリティの脅威から保護するように構成される。管理デバイスとのピアツーピア接続を確立するための準備として発行された可用性通知を含む第１のワイヤレス通信を検出することに応答して、第１のワイヤレス通信が、クライアントデバイスに固有の通知パターンに適合するか否かを判定するように構成された少なくとも１つのハードウェアプロセッサを含むセキュリティ機器。少なくとも１つのハードウェアプロセッサはさらに、第１のワイヤレス通信が通知パターンに適合しない場合、管理デバイスによる応答を模倣するように構成された第２のワイヤレス通信を、第１のワイヤレス通信に送信するように構成される。少なくとも１つのハードウェアプロセッサはさらに、第２のワイヤレス通信を送信することに応答して、クライアントデバイスまたは管理デバイスを保護するためのセキュリティアクションを実行するように構成される。

[0008]別の態様によれば、クライアントデバイスをコンピュータセキュリティの脅威から保護する方法は、管理デバイスとのピアツーピア接続を確立するための準備として発行された可用性通知を含む第１のワイヤレス通信を検出することに応答して、第１のワイヤレス通信が、クライアントデバイスに固有の通知パターンに適合するか否かを判定するために、セキュリティ機器の少なくとも１つのハードウェアプロセッサを用いることを含む。この方法はさらに、第１のワイヤレス通信が通知パターンに適合しない場合、管理デバイスによる応答を模倣するように構成された第２のワイヤレス通信を、第１のワイヤレス通信に送信するために、少なくとも１つのハードウェアプロセッサを用いることを含む。この方法はさらに、第２のワイヤレス通信を送信することに応答して、クライアントデバイスまたは管理デバイスを保護するためのセキュリティアクションを実行するために、少なくとも１つのハードウェアプロセッサを用いることを含む。

[0009]別の態様によれば、非一時的なコンピュータ可読媒体は、セキュリティ機器の少なくとも１つのハードウェアプロセッサによって実行された場合、セキュリティ機器に対して、管理デバイスとのピアツーピア接続を確立するための準備として発行された可用性通知を含む第１のワイヤレス通信を検出することに応答して、第１のワイヤレス通信が、クライアントデバイスに固有の通知パターンに適合するか否かを判定させる命令を格納する。命令はさらに、セキュリティ機器に対して、第１のワイヤレス通信が通知パターンに適合しない場合、管理デバイスによる応答を模倣するように構成された第２のワイヤレス通信を第１のワイヤレス通信に送信させる。命令はさらに、セキュリティ機器に対して、第２のワイヤレス通信を送信することに応答して、クライアントデバイスまたは管理デバイスを保護するためのセキュリティアクションを実行させる。

[0010]本発明の前述の態様および利点は、以下の詳細な説明を読み、以下の図面を参照することにより、よりよく理解されるようになる。

[0011]図１は、本発明のいくつかの実施形態による、複数のクライアントワイヤレスデバイスを攻撃から保護するためのセキュリティ機器を示す図である。 [0012]図２は、省電力通信プロトコルにしたがう２つの電子デバイス間の典型的なメッセージ交換を示す図である。 [0013]図３は、悪意のあるデバイスが正当なデバイスになりすます攻撃中に発生する例示的なメッセージ交換を示す図である。 [0014]図４は、本発明のいくつかの実施形態にしたがって、攻撃から保護するように構成された実施形態における例示的なメッセージ交換を示す図である。 [0015]図５は、本発明のいくつかの実施形態によるセキュリティ機器の例示的な構成要素を示す図である。 [0016]図６は、本発明のいくつかの実施形態にしたがって、セキュリティ機器によって実行されるステップの例示的なシーケンスを示す図である。 [0017]図７は、本発明のいくつかの実施形態によるセキュリティ機器の例示的なハードウェア構成を示す図である。

[0018]以下の説明では、構成間のすべての列挙された接続は、中間構成を介した直接的な動作接続または間接的な動作接続とできることが理解される。要素のセットは、１つまたは複数の要素を含む。要素のどの説明も、少なくとも１つの要素を指すと理解される。複数の要素は、少なくとも２つの要素を含む。特に必要がない限り、説明される方法ステップは、必ずしも特定の例示された順序で実行される必要はない。第２の要素から導出される第１の要素（たとえば、データ）は、第２の要素に等しい第１の要素、ならびに、第２の要素と任意選択の他のデータとを処理することによって生成された第１の要素を包含する。パラメータにしたがって判定または決定を行うことは、パラメータにしたがって、および任意選択で他のデータにしたがって判定または決定を行うことを含む。特に指定のない限り、ある数量／データを示すインジケータは、数量／データ自体、または数量／データ自体とは異なるインジケータである可能性がある。コンピュータプログラムは、タスクを実行する一連のプロセッサ命令である。本発明のいくつかの実施形態で説明されるコンピュータプログラムは、他のコンピュータプログラムのスタンドアロンソフトウェアエンティティまたはサブエンティティ（たとえば、サブルーチン、ライブラリ）であり得る。「データベース」という用語は、本明細書では、任意の組織化されたデータの集合を示すために使用される。可用性通知は、他のデバイスと接続するためのプロトコルの一部としてデバイスによって発行される通信であり、可用性通知は、接続を開始する準備として発行される。コンピュータ可読媒体は、磁気、光、および半導体ストレージ媒体（たとえば、ハードドライブ、光ディスク、フラッシュメモリ、ＤＲＡＭ）などの非一時的な媒体のみならず、導電性ケーブルおよび光ファイバリンクなどの通信リンクを含む。いくつかの実施形態によれば、本発明は、とりわけ、本明細書に記載の方法を実行するようにプログラムされたハードウェア（たとえば、１つまたは複数のプロセッサ）、ならびに本明細書に記載の方法を実行するためのコンピュータ可読媒体符号化命令を含むコンピュータシステムを提供する。

[0019]以下の説明は、本発明の実施形態を、例として、必ずしも限定としてではなく例示する。
[0020]図１は、本発明のいくつかの実施形態にしたがって、セキュリティ機器２０によって攻撃から保護される例示的な省電力クライアントデバイス１２ａ～ｅのセットを示す。各クライアントデバイス１２ａ～ｅは、プロセッサおよびメモリを有し、他のクライアントデバイスおよび／または管理デバイス１６と電子メッセージを交換することができる電子デバイスを含み得る。例示的なクライアントデバイス１２ａ～ｅは、パーソナルコンピュータ、タブレットコンピュータ、スマートフォン、ゲームコンソール、家庭用機器（たとえば、スマートテレビ、メディアプレーヤ、家庭用ロボット、サーモスタット、照明機器、ドアロック）、ならびにウェアラブルコンピュータデバイス（たとえば、スマートウォッチ、バーチャルリアリティヘッドセット、健康および／またはフィットネスデバイスなど）を含む。例示的なクライアントデバイス１２ａ～ｅの別のカテゴリは、とりわけ、支払端末（たとえば、ＰＯＳデバイス）および商業的近接アドバタイズデバイスを含む。

[0021]「省電力」という用語は、本明細書では、通信のエネルギコストを下げることを特に目的としたデバイスおよび／または通信戦略／プロトコルを示すために使用される。一部の省電力デバイスは、比較的小型でバッテリ駆動であり、それらのハードウェア仕様および通信プロトコルは、バッテリの寿命を延ばし、それぞれのデバイスの自律性を高めるために意図的に選択される。１つの例示的な省電力戦略は、放出電力を制限し、したがって、通信の範囲（たとえば、Ｂｌｕｅｔｏｏｔｈ（登録商標）Ｌｏｗ Ｅｎｅｒｇｙデバイスの場合は、最大１００メートル、Ｚｉｇｂｅｅ（登録商標）デバイスの場合は、１０～２０メートルなど）を制限することを含む。別の省電力戦略は、通信データレートを（たとえば、Ｚｉｇｂｅｅ（登録商標）デバイスの場合、最大で毎秒２５０キロビットに）制限する。一部の省電力デバイスは、意図的に省電力通信プロトコルを使用しており、通信は、集中された断続的なバーストで発生する。それぞれの省電力デバイスは、ほとんどの場合、低電力／スリープモードである可能性があり、その存在、場所、および／またはサービスをアドバタイズするために時々ウェイクアップし得る。管理デバイス１６（図１）などの他のデバイスは、それぞれの可用性通知に応答し、それぞれの省電力デバイスと連携して接続をネゴシエートし得る。次に、通信する当事者は、確立された接続を介してデータを交換することができ、交換が終了した後、省電力デバイスは、低電力状態に戻ることができる。例示的な省電力プロトコルには、Ｂｌｕｅｔｏｏｔｈ（商標登録）Ｌｏｗ Ｅｎｅｒｇｙ（ＢＬＥ）プロトコル規格を含む。簡潔化および明確化のために、以下の説明では、通信がＢＬＥプロトコルにしたがって実行されることを前提とする。しかしながら、ＢＬＥは１つの例としてのみ使用されており、本発明の範囲を限定することを意味するものではない。熟練した技術者は、本教示が、保護されるデバイスが、可用性通知をブロードキャストすることによってその存在／可用性をアナウンスし、接続が、それぞれの可用性通知に応答するパートナデバイスによって開始される、任意の通信プロトコルに適合され得ることを理解するであろう。

[0022]各クライアントデバイス１２ａ～ｅは、図１における項目１４ａ～ｅとして例示されるように、ワイヤレス接続を介してパートナデバイス（たとえば、管理デバイス１６）と通信し得る。接続１４ａ～ｅは、キャリア周波数帯域およびそれぞれの通信パートナの物理アドレスのペア（たとえば、媒体アクセス制御－ＭＡＣアドレス）などの相互に合意されたパラメータのセットによって特徴付けられるピアツーピアリンク／通信チャネルを表す。「ピアツーピア」という用語は、本明細書では、データが接続エンドポイント間で直接交換される、すなわち、ネットワークコントローラなどのサードパーティを介してルーティングされることなく通信する方式を示すために使用される。コンピュータネットワーキングのオープンシステム相互接続（ＯＳＩ）モデルでは、接続１４ａ～ｅは、データリンク層、すなわち、それぞれの接続のエンドポイント間でデータを転送する機能的および手続的手段を表すことができる。個々のワイヤレス接続１４ａ～ｅは、ＢＬＥなどの省電力通信プロトコルにしたがってセットアップおよび操作され得る。

[0023]いくつかの実施形態では、管理デバイス１６は、選択されたクライアントデバイス１２ａ～ｅによって提供される接続および／またはサービスを管理するコンピューティング機器（たとえば、スマートフォン、パーソナルコンピュータ）を含む。接続（たとえば、図１における接続１４ａ～ｅ）の管理は、とりわけ、ネットワークアドレス、周波数帯域、および暗号化パラメータなどの接続パラメータの設定／ネゴシエーションを含み得る。サービスの管理は、たとえば、それぞれのサービスおよび／またはクライアントデバイスのパラメータを構成し、それぞれのクライアントデバイスにコマンドを送信することを含み得、コマンドは、それぞれのデバイスに、固有のタスク（たとえば、サーモスタットにおける所望の温度の設定、ドアロックの開放、支払登録など）を実行させる。ＢＬＥプロトコルを実装するいくつかの実施形態では、管理デバイス１６は、マスタ／中央デバイスを表し得る一方、クライアントデバイスは、スレーブ／周辺デバイスを表し得る。図１は単一の管理デバイス１６を示しているが、技術者は、すべてのクライアントデバイス１２ａ～ｅが同じ管理デバイスに接続できるわけではないことを理解するであろう。実施形態では、別個のクライアントデバイスは、別個の管理デバイスに接続することができる。しかしながら、例示的な実施形態では、単一の管理デバイス１６（たとえば、スマートフォン）は、サーモスタット、ドアロック、およびフィットネスバンドなどの複数のクライアントデバイス１２ａ～ｅに実際に接続して管理することができる。

[0024]悪意のあるデバイス１８は、選択されたクライアントデバイスおよび／または管理デバイス１６の攻撃を試みる可能性がある。ここでの攻撃とは、ターゲットデバイスの通常の動作を妨害したり、および／または、ターゲットデバイスによって受信または発行されたデータをスニッフィングしたりするなど、不正／悪意のある目的でターゲットデバイスに接続しようとする試みを意味する。ターゲットデバイスを攻撃することは、ターゲットデバイスを騙して、悪意のあるデバイス１８からの接続を受け入れるか、または悪意のあるデバイス１８との接続を開始させるために、ターゲットデバイスの正当なパートナになりすますことをさらに含み得る。攻撃の例について、以下でさらに詳しく説明する。

[0025]いくつかの実施形態では、セキュリティ機器２０は、以下に説明するように、クライアントデバイス１２ａ～ｅを攻撃から保護することを目的として、クライアントデバイス１２ａ～ｅ、管理デバイス１６、および／または悪意のあるデバイス１８からの電子通信を検出する、および／または、それらとの電子通信に従事するように構成された電子デバイスを含む。機器２０は、プロセッサおよびワイヤレス通信ハードウェア（たとえば、アンテナおよび関連付けられたインターフェースなど）を有する任意の電子デバイスを含み得る。例示的なセキュリティ機器２０は、本棚に配置され、壁などに取り付けられるようにサイズ設定および構成されたコンテナに封入された電子回路構成を含む別個の専用機器を含む。他の実施形態では、セキュリティ機器２０は、キーチェーン、腕時計、財布、または他のウェアラブルオブジェクトなどのアクセサリに統合された携帯可能なバッテリ式デバイスを含み得る。

[0026]代替実施形態では、セキュリティ機器２０は、汎用コンピュータまたは移動電気通信デバイス（たとえば、スマートフォン）などのホストデバイスとハードウェアを共有する。したがって、セキュリティ機器２０は、保護されたクライアントデバイス１２ａ～ｅ、管理デバイス１６、および／またはサードパーティデバイスに組み込まれ得る。そのような例示的なセキュリティ機器の１つは、スマートフォンのハードウェアプロセッサ上で実行され、保護されたクライアントデバイス１２ａ～ｅおよび潜在的に悪意のあるデバイスと接続するためにそれぞれのスマートフォンの通信ハードウェアを使用するソフトウェアモジュールのセットを含む。別の例示的な機器２０は、ホストデバイスのマザーボードにはんだ付けされるか、さもなければ接続される電子構成要素（たとえば、集積回路）の別個のセットとして具体化され得る。たとえば、セキュリティ機器２０は、当該技術分野で知られているフォームファクタのいずれかを有する周辺コンポーネント相互接続（ＰＣＩ）エクスプレスカードとして具体化され得る。別の例示的な実施形態は、ユニバーサルシリアルバス（ＵＳＢ）インターフェースを介してクライアントデバイスに接続されたドングルを含む。そのような例示的なカード／ドングルの１つは、無線アンテナおよび関連付けられたインターフェースなどの通信ハードウェアを含み得、それぞれのホストデバイスのメインプロセッサとは異なる専用のハードウェアプロセッサを有する場合もあれば、有さない場合もある。

[0027]図２は、Ｂｌｕｅｔｏｏｔｈ（登録商標）Ｌｏｗ Ｅｎｅｒｇｙ（ＢＬＥ）などの省電力プロトコルにしたがう、選択されたクライアントデバイス１２と、管理デバイス１６との間の例示的なデータ交換を示す。例示されるクライアントデバイス１２は、一般に、図１におけるクライアントデバイス１２ａ～ｅのいずれかを表す。その存在／可用性をアドバタイズするために、クライアントデバイス１２は、可用性通知２２をワイヤレスでブロードキャストし得る。ＢＬＥの実施形態では、可用性通知２２は、ＢＬＥアドバタイズメントを含み得る。

[0028]可用性通知２２は、接続を確立するための準備として、それぞれのデバイスによって発行される通信を含む。通知２２は、専用のデータフィールド／フラグによって他の種類の通信と区別され得る。例示的なＢＬＥの実施形態では、各データパケットの固有のセグメント（プロトコルデータユニット－ＰＤＵとして知られている）は、それぞれのデータパケット／通信が、可用性通知（ＢＬＥ用語ではアドバタイズメントとして知られている）であるか否かを示す。ＰＤＵはさらに、それぞれの可用性通知の通知タイプを指定し得る。例示的なＢＬＥ通知タイプは、とりわけ、非特定（デバイスは、利用可能な任意のパートナと接続可能）、有向（デバイスは、固有の中央／管理デバイスと接続可能）、および非接続（デバイスは、接続のために利用できない）などを含む。可用性通知２２はさらに、とりわけ、ユニバーサルユニーク識別子（ＵＵＩＤ）、ＭＡＣアドレス、製造業者ＩＤ、および／またはデバイス名などのデバイス識別子を含み得る。いくつかの可用性通知２２は、クライアントデバイス１２の機能の様々な態様を示すインジケータ／フラグのセット、たとえば、デバイスタイプのインジケータ、それぞれのクライアントデバイス（たとえば、サーモスタット、ＰＯＳデバイスなど）によって提供されるサービスのタイプのインジケータ、通信に利用できる周波数／チャネルのセットなどを含み得る。

[0029]その間、管理デバイス１６は、可用性通知をスキャンし得る。可用性通知２２の検出に応答して、管理デバイス１６は、ハンドシェイク交換２４を介してクライアントデバイス１２との接続を開始することができ、その間、デバイス１２、１６は、通信パラメータ値（たとえば、暗号化キー、周波数帯域など）のセットをネゴシエートすることができる。それに応答して、デバイス１２～１６は、ネゴシエートされたパラメータ値にしたがってフォーマットされたペイロードメッセージ２８のセットを交換することができ、ペイロードメッセージ２８は、たとえば、クライアントデバイス１２の現在の状態（たとえば、サーモスタットの場合、現在の温度）、管理デバイス１６からクライアントデバイス１２へ送信されるコマンドの符号化などを示すインジケータを備える。

[0030]悪意のある攻撃者は、クライアントデバイスと管理デバイス１６との間のそのような通信に侵入して、受動的に盗聴し、および／または攻撃に積極的に参加する可能性がある。当該技術分野では、いくつかの種類の攻撃が知られている。図３に例示される１つの例では、悪意のあるデバイス１８を使用して、クライアントデバイス１２および／または管理デバイス１６への接続を開始することができる（たとえば、図１における接続１４ｆ～ｇを参照）。悪意のあるデバイス１８は、不正な可用性通知１２２をブロードキャストすることによってクライアントデバイス１２になりすますことができ、したがって、不正なハンドシェイク交換１２４ａに従事することによって、管理デバイス１６を騙して、悪意のあるデバイス１８との接続を確立させることができる。成功裡のハンドシェイク後、悪意のあるデバイス１８は、クライアントデバイス１２宛ての通信を読み取る可能性がある。別の例では、悪意のあるデバイス１８は、管理デバイス１６になりすまして、クライアントデバイス１２によってブロードキャストされた可用性通知に応答し、それによって、クライアントデバイス１２との不正なハンドシェイク交換１２４ｂに従事し得る。したがって、悪意のあるデバイス１８は、それぞれのクライアントデバイスを騙して、管理デバイス１６の代わりに、悪意のあるデバイス１８に接続させる可能性がある。成功した場合、そのような攻撃戦略は、悪意のあるデバイス１８を中間位置に置き、クライアントデバイス１２と管理デバイス１６との間の正当なデータ交換をスヌープ、抑制、および／または変更することができる。

[0031]図４は、本発明のいくつかの実施形態による、悪意のあるデバイス１８とセキュリティ機器２０との間の例示的な通信交換を示し、例示された交換は、悪意のあるデバイス１８による攻撃からクライアントデバイス１２および／または管理デバイス１６を保護するために実行される。いくつかの実施形態では、セキュリティ機器２０は、悪意のあるデバイス１８によって発行された不正な可用性通知２２２をリッスンして応答し、したがって、悪意のあるデバイス１８との接続を開始することができる。接続を開始するために、セキュリティ機器２０のいくつかの実施形態は、管理デバイス１６になりすましている間、悪意のあるデバイス１８との不正なハンドシェイク交換２２４に従事する。別の言い方をすれば、いくつかの実施形態は、悪意のあるデバイス１８を騙して、管理デバイス１６と通信していると信じさせる（たとえば、図１における接続１４ｇ）一方、実際には、それぞれの接続は、セキュリティ機器２０と確立される（たとえば、図１における接続１４ｈ）。いくつかの実施形態では、セキュリティ機器２０は、デバイス識別データおよび／またはデバイス１６の他の特徴（たとえば、同じ周波数帯域、同じ周波数ホッピングパターン、同じネットワークアドレスなど）を使用して管理デバイス１６になりすまして、不正なハンドシェイク２２４を実行する。接続の確立に応答して、セキュリティ機器２０は、たとえば、以下により詳細に示されるように、代理データをデバイス１８に送信することによって、悪意のあるデバイス１８との不正なペイロード交換２２８に従事することができる。代替実施形態は、単にそれぞれの接続を無期限に、または所定の時間維持し、したがって、悪意のあるデバイス１８が他の接続を試みることを阻止できる。

[0032]図５は、本発明のいくつかの実施形態によるセキュリティ機器２０の例示的な構成要素を示し、前記構成要素は、攻撃モジュール６４に通信可能に結合されたデバイス監視モジュール６２を含む。モジュール６２および／または６４は、機器２０のメモリに格納され、機器２０の少なくとも１つのハードウェアプロセッサ上で実行されるソフトウェア（コンピュータプログラム）として具体化され得る。しかしながら、ソフトウェアの実施形態は、本明細書では例としてのみ与えられており、本発明の範囲を限定することを意味するものではない。熟練した技術者は、モジュール６２および／または６４の機能が、ファームウェアまたは専用ハードウェアモジュール、たとえば、説明された方法さえも実行するように構成された特定用途向け集積回路（ＡＳＩＣ）またはフィールドプログラマブルゲートアレイ（ＦＰＧＡ）のセットに実装され得ることを理解するであろう。

[0033]いくつかの実施形態では、監視モジュール６２は、セキュリティ機器２０の近くで発生するワイヤレス通信を監視するように構成される。監視は、通信を検出し、それぞれの通信を分析して、特徴的な特徴のセットを抽出することを含み得る。監視はさらに、選択された通信が、それぞれの通信の見かけの送信者のベースライン通信パターンに適合するか否かを判定することをさらに含み得る。いくつかの実施形態はさらに、各クライアントデバイス１２ａ～ｅおよび／または管理デバイス１６に固有の通信のそのようなベースラインパターンを決定するように構成される。

[0034]本明細書におけるデバイスのベースライン通信パターンは、それぞれのデバイスによって送信される電子通信を集合的に特徴付けるデータのセットを含み、前記特徴データは、それぞれの通信によって含まれるメッセージのコンテンツ／ペイロードにしたがって抽出または決定されない。代わりに、特徴データは、通信メタデータ、および／または、他の特徴、とりわけ、たとえば、それぞれのデバイスからの通信の発生のカウントおよび／または周波数、カレンダ、スケジュール、またはそのような通信の時間分布の他の尺度、それぞれのデバイスから発信される連続的な通信間の時間遅延、それぞれの通信を伝送する信号の、セキュリティ機器２０またはいくつかの外部センサなどの参照場所において測定される強度／電力／振幅のインジケータ（たとえば、受信信号強度インジケータ－ＲＳＳＩ）、それぞれの通信を伝送する信号の信号対雑音比、それぞれの通信を伝送する信号の波動周波数、発信ネットワークアドレス（たとえば、ＢＬＥアドレス）、および、送信者デバイス識別子の識別子（たとえば、デバイス名、ＭＡＣアドレス）から抽出および／または決定され得る。いくつかの実施形態は、ヘッダのコンテンツにしたがって、および／または、傍受された各通信に含まれるメタデータにしたがって、そのような特徴的な特徴を抽出および／または決定し得る。

[0035]監視モジュール６２の好適な実施形態は、以下に詳細に説明するように、検出された可用性通知が、その見かけの送信者デバイスのベースライン通知パターンに適合するか否かを判定するように構成される。本明細書におけるデバイスのベースライン通知パターンは、それぞれのデバイスによってブロードキャストされる可用性通知を特徴付けるベースライン通信パターンを含む（たとえば、図２における項目２２を参照）。通知パターンデータは、個々の通知のコンテンツ／ペイロード以外の通信特徴にしたがって抽出および／または決定される。デバイスの例示的な通知パターンは、とりわけ、連続する可用性通知間の時間間隔の特徴的な長さ、特徴的な通知周波数（すなわち、単位時間あたりの可用性通知の数）、それぞれのクライアントから受信され、セキュリティ機器２０または別の参照場所で測定された、キャリア信号の特徴的なＲＳＳＩ、それぞれのクライアントによって発行された可用性通知を伝送する信号の特徴的な波動周波数、および、それぞれのクライアントから受信された可用性通知について計算された特徴的な信号対雑音比を含み得る。１つの例では、ベースライン通知パターンの各特徴的な特徴は、それぞれのデバイスから受信した個々の可用性通知に対して実行された測定または判定の集合の平均（たとえば、平均値、中央値など）として表され得る。たとえば、１つのクライアントデバイスは、２Ｈｚの平均アドバタイズ周波数（すなわち、１秒あたり平均２回の可用性通知、または連続する可用性通知間が０．５秒）によって特徴付けられ得る。典型的なアドバタイズ周波数は、標準偏差などの変動性の尺度によってさらに特徴付けられ得る。一部の特徴的な特徴は、数値範囲（たとえば、ネットワークアドレスの一般的な範囲）として表され得る。他の特徴的な特徴は、ブール値であり得、その他は、（たとえば、デバイス名のように）数値ではない場合がある。

[0036]代替実施形態では、選択されたクライアントデバイス１２について決定されたベースライン通知パターンは、レコードの集合を含み得、各レコードは、それぞれのクライアントデバイス１２から受信された別個の可用性通知２２に対応し、各レコードは、それぞれの可用性通知を特徴付けるデータのセットを含む。可用性通知の例示的な特徴データセットは、たとえば、タイムスタンプ、周波数帯域、信号強度、および、それぞれの可用性通知の発信ネットワークアドレスを含み得、発信デバイスのデバイス識別子をさらに含み得る。

[0037]いくつかの実施形態では、保護されたクライアントデバイスのセットを特徴付ける通知パターンは、セキュリティ機器２０自体によって収集および／または決定され得る。そのような１つの例では、機器２０は、その範囲内の各クライアントデバイスについて、可用性通知をリッスンするトレーニング期間を費やし、それぞれのデバイスを特徴付けるベースライン通知パターンを徐々に構築／決定することができる。代替実施形態では、ベースライン通知パターンは、サービスプロバイダによって決定され、後にセキュリティ機器２０にプロビジョンされ得る。そのような１つの例では、サービスプロバイダは、様々な製造元およびモデルのＩｏＴデバイスを特徴付けるベースライン通知パターンのカタログを決定し得る。セキュリティ機器２０は、選択されたクライアントデバイスの識別子（たとえば、ＭＡＣアドレス、製造元、およびモデル）をサービスプロバイダに送信し、それに応答して、それぞれのクライアントデバイスのベースライン通知パターンの符号化を受信し得る。それぞれのパターンは、ソフトウェア更新メカニズムを介して最新に保つことができる。

[0038]ベースライン通知パターンデータは、たとえば、セキュリティ機器２０の一部である（または通信可能に結合された）不揮発性のコンピュータ可読記憶媒体上で、デバイスプロファイルデータベース６０に格納され得る。そのようなデータは、当該技術分野で知られている任意のコンピュータ可読フォーマットで、たとえば、数値の配列として、拡張可能マークアップ言語（ＸＭＬ）のバージョンで、またはＪａｖａＳｃｒｉｐｔオブジェクト表記（ＪＳＯＮ）で符号化され得る。

[0039]いくつかの実施形態では、攻撃モジュール６４は、悪意のあるデバイス１８との接続を開始するように構成される（たとえば、図１の接続１４ｈを参照）。接続を開始することは、接続パラメータのセットをネゴシエートするためにデバイス１８とのハンドシェイク交換に従事することを含み得る。ハンドシェイク中に、いくつかの実施形態は、管理デバイス１６または保護されたクライアントデバイスになりすまして、悪意のあるデバイス１８を騙して、デバイス１６またはそれぞれのクライアントに現在接続していると信じ込ませることができる。攻撃モジュール６４はさらに、たとえば、悪意のあるデバイス１８をデータパケット（たとえば、ピング）で攻撃することによって、確立された接続を無期限に存続させ、それによってその悪意のある活動の実行を阻止することによって、デバイス１８に対してサービス拒否攻撃を実行するように構成され得る。

[0040]図６は、本発明のいくつかの実施形態による、クライアントデバイスのセットを攻撃から保護するためにセキュリティ機器２０によって実行されるステップの例示的なシーケンスを示す。いくつかの実施形態は、管理デバイス１６を騙して、クライアントデバイス１２の代わりに、悪意のあるデバイス１８に接続させるために、デバイス１８が、他の時間に、および／または、実質的にそれぞれのクライアントデバイスよりも大きい回数、不正な可用性通知２２２（図４）を送信する必要があり得るという観察に依存する。たとえば、悪意のあるデバイス１８は、管理デバイス１６が、標的デバイスからの正当な可用性通知の代わりに、これらのメッセージの少なくとも１つをピックアップして応答することを期待して、標的クライアントデバイスよりも短い時間間隔で可用性通知を送信し得る。別の言い方をすれば、悪意のあるデバイス１８は、保護されたクライアントデバイスのベースライン通知パターンから逸脱する方式でアドバタイズする必要があり得る。したがって、いくつかの実施形態は、保護された各クライアントデバイス１２のベースライン通知パターンを決定し、続いて、クライアントデバイスで発信されているように見える現在の可用性通知が、それぞれのクライアントデバイスのベースラインパターン内に適合するか否かを確認する。ベースラインパターンからの逸脱は、悪意のあるデバイスが、現在それぞれのクライアントデバイスになりすましていることを示している可能性があるため、そのような疑わしい可用性通知の識別に応答して、いくつかの実施形態は、それぞれの疑わしい可用性通知のソースを自動的に攻撃し得る。

[0041]一連のステップ４０２～４０４において、機器２０は、可用性通知をリッスンし得る。可用性通知が検出されると、ステップ４０６は、たとえば、ネットワークアドレスにしたがって、および／または、デバイス識別子（たとえば、ＭＡＣアドレス、デバイス名、デバイス製造業者など）にしたがって、それぞれのメッセージの送信者を識別し得る。いくつかの実施形態は、それぞれの可用性通知のキャリア信号の振幅、強度、または信号対雑音比などの他の識別特徴を使用し得る。ステップ４０８～４１０のシーケンスは、ベースラインパターンデータが、識別された送信者デバイスに利用可能であるか否かを判定し得る。利用可能ではない場合、ステップ４１１は、新しいベースライン通知パターンを作成し、新しいパターンを、それぞれのクライアントデバイスに関連付けることができる。

[0042]ステップ４１１は、傍受された可用性通知から特徴のセットを抽出し、抽出された特徴にしたがってそれぞれのクライアントを特徴付けるベースラインパターンデータのセットを計算することを含み得る。例示的なベースライン通知パターンデータは、それぞれのクライアントによって発行された連続する可用性通知を分離する平均時間間隔、それぞれのクライアントのキャリア信号の平均強度、それぞれのクライアントが可用性通知を発行する周波数帯域などを含み得る。ステップ４１１は、現在の可用性通知に関連付けられた新しいデータベースエントリ／レコードを作成し、それぞれの可用性通知から抽出されたデータをレコードに入力し、ステップ４０６で識別されたクライアントデバイスにそれぞれのレコードを接続する関連付けインジケータとともに、プロファイルデータベース６０にそれぞれのレコードを格納することをさらに含み得る。代替実施形態では、ステップ４１１は、サードパーティ（たとえば、サービス提供サーバ）からベースライン通知パターンデータをフェッチすることを含み得る。

[0043]識別されたデバイスについて通知パターンデータが利用可能である場合、ステップ４１２において、セキュリティ機器２０は、現在の可用性通知がそれぞれのデバイスのベースライン通知パターンに適合するか否かを判定し得る。そのような判定は、現在の可用性通知から抽出された選択された特徴を、それぞれのクライアントから以前に受信された可用性通知の特徴的な特徴と比較することを含み得る。いくつかの実施形態では、ステップ４１２は、現在の可用性通知と、同じクライアントデバイスから、または、それぞれのクライアントデバイスと同一のデバイス（たとえば、同じ製造元およびモデル）から以前に受信した可用性通知との間の類似性の度合いを定量化する、類似性の尺度（たとえば、数値スコア）を計算することを含む。

[0044]１つの例示的な実施形態では、ステップ４１２は、同じクライアントデバイスから受信された最新の可用性通知から経過した時間間隔の長さを判定し、それを、それぞれのデバイスによってブロードキャストされた連続的な可用性通知間の典型的な（たとえば、平均、中央）時間遅延と比較することを含み得る。現在の時間遅延と、記録された特徴的な時間遅延との間の差が、所定のしきい値よりも小さい場合、いくつかの実施形態は、現在の可用性通知が、それぞれのクライアントデバイスのベースライン通知パターンに適合するか、そうでないかを判定することができる。ステップ４１２が「適合する」を返す場合、いくつかの実施形態はさらにステップ４２０に進むことができ、ここで、それぞれのクライアントデバイスの既存のベースライン通知パターンは、現在の可用性通知にしたがって抽出および／または計算されたデータを含むように更新される。

[0045]代替実施形態は、現在の可用性通知が、他の基準にしたがって、それぞれのデバイスのベースラインパターンに適合するか否かを判定することができる。たとえば、いくつかの実施形態は、それぞれのクライアントデバイスから受信された他の通信のベースラインＲＳＳＩに関して、現在の可用性通知を伝送するワイヤレス信号のＲＳＳＩの変化を検出することができる。いくつかの実施形態は、現在の可用性通知と、それぞれのクライアントデバイスについて決定されたベースラインとの間の送信ノイズまたは信号対ノイズ比の差を検出することができる。ベースラインからの比較的大きな逸脱は、現在の可用性通知の送信者が、保護されたクライアントデバイス１２を装った別のデバイスであることを示す可能性がある。他の例示的な基準は、現在の可用性通知を送信するために使用される周波数帯域を含む。たとえば、いくつかの実施形態は、保護されたクライアントデバイスに特徴的な周波数帯域間のホッピングのベースラインパターンを決定し、現在の可用性通知の周波数帯域にしたがって、さらにそれぞれのクライアントデバイスから受信した、以前の可用性通知のセットの周波数帯域にしたがって、現在の可用性通知が、ベースラインパターン内に適合するか否かを判定し得る。

[0046]いくつかの実施形態では、類似性尺度／スコアは、それぞれのデバイスから受信された可用性通知の複数の特徴的な特徴（たとえば、可用性通知と平均信号強度との間の平均時間間隔）を組み合わせることができる。そのような１つの例では、個々の類似性スコアは、特徴的な特徴のセットのおのおのにしたがって計算され得る。次に、集約類似性スコアは、たとえば加重平均として、個々のスコアにしたがって決定され得る。

Ｓ_Ａ＝Σ_ｉｗ_ｉσ_ｉ ［１］
ここで、σ_ｉは、個々の類似性スコア（たとえば、連続する可用性通知間の時間間隔にしたがって決定されたスコア、ＲＳＳＩにしたがって導出されたスコアなど）を示し、ｗ_ｉは、たとえば、集約類似性スコアＳ_Ａが、所定の範囲の間（たとえば、０と１との間）に収まるように正規化された個々の重みを示す。重みｗ_ｉは、個々の各特徴と、集計スコアＳ_Ａとの関連性を反映するように個別に調整され得る。次に、いくつかの実施形態は、Ｓ_Ａを所定のしきい値と比較した結果にしたがって、現在の可用性通知がそれぞれのクライアントデバイスのベースライン通知パターンに適合するか否かを判定し得る。

[0047]いくつかの実施形態は、現在の可用性通知が、それぞれのクライアントデバイスのベースライン通知パターンに適合するか否かを判定するために、より洗練された方法を適用することができる。そのような１つの例では、セキュリティ機器２０は、様々な機械学習手順を使用して、正当な可用性通知のコーパスでトレーニングされたニューラルネットワークのセットを含み得る。トレーニングに続いて、そのようなニューラルネットワークを使用して、現在検出されている可用性通知が、学習された正当なパターンに適合するか否かを判定することができる。そのような実施形態では、ベースラインパターンは、トレーニングされたニューラルネットワークのパラメータのセット（たとえば、シナプスの重み）に符号化され得る。別の例示的な実施形態は、保護された各クライアントデバイス１２ａ～ｅのベースライン通知パターンを学習するようにサポートベクターマシン（ＳＶＭ）をトレーニングし、次に、それぞれのＳＶＭを適用して、現在の可用性通知がベースラインパターンに適合するか否かを判定することができる。さらに別の例示的な実施形態は、メッセージ特徴の抽象空間におけるベクトルとして各可用性通知を表し得る。次に、クライアントデバイスのベースラインパターンは、それぞれの抽象空間内のベクトルのクラスタとして表され得る。次に、いくつかの実施形態は、現在の可用性通知が、現在のメッセージを表すベクトルと、それぞれのクライアントデバイスを表すクラスタの中心／重心との間の距離にしたがって、ベースラインパターンに適合するか否かを判定することができる。

[0048]現在の可用性通知がそれぞれのデバイスのベースラインパターンに適合しない場合、機器２０は、攻撃モジュール６４を適用して、それぞれの通知の送信者（おそらく、悪意のあるデバイス１８、図４を参照）を攻撃することができる。ステップ４１４は、現在の通知への管理デバイス１６による応答を模倣すること、たとえば、ピアツーピア接続を確立するために送信者デバイスとのハンドシェイクを開始することを含み得る。本明細書において、模倣は、デバイス１６がそれぞれの状況でとるであろうアクションを再現すること、および同じ効果を生み出す別のアクションのセットを実行することを包含する。模倣はさらに、管理デバイス１６の資格情報（たとえば、ネットワークアドレス、デバイス識別子など）および／または通信特性（たとえば、周波数帯域／チャネル、信号強度）を使用することによって、管理デバイス１６になりすますことをさらに含み得る。

[0049]ハンドシェイク交換を成功裡に完了し、現在の可用性通知の送信者との接続を確立すると、ステップ４１６において、いくつかの実施形態は、悪意のあるデバイス１８による攻撃から管理デバイス１６および／またはクライアントデバイス１２ａ～ｅを保護するためのセキュリティアクションを実行し得る。１つの例示的なセキュリティアクションは、悪意のあるデバイス１８をデータ（たとえば、ピング）で攻撃することによって、ステップ４１４で確立された接続を所定の期間または無期限に存続させることを含む。別の例示的なセキュリティアクションは、確立された接続を介して送信者デバイスとの不正なペイロード交換に従事すること、たとえば、正当なコマンドまたは他の正当な通信を模倣するためにそれぞれのデバイスに代理データを送信することを含む。本明細書における「代理データ」という用語は、管理デバイス１６が所与の状況で送信することができる正当なデータと同じデータタイプ、フォーマット、および／または範囲を有する置換データを意味する。代理データは、アドホックに（たとえば、ランダムに）生成、または事前定義され得る。

[0050]さらに別の例では、ステップ４１６は、疑わしいイベントの発生についてユーザ／管理者に通知するために、セキュリティアラート２５（図４）を送信することを含み得る。アラートは、それぞれの保護されたクライアントデバイス１２の識別子（すなわち、疑わしい可用性通知の見かけの送信者）および／または出来事の説明を含み得る。アラート２５は、ローカルワイヤレス接続を使用して管理デバイス１６へ直接送信され得るか、または、管理デバイス１６、または、アラート２５を処理および／または表示するように構成された別のデバイスへのさらなる送信のために、インターネットなどの拡張ネットワークを介してリモートサーバコンピュータへ送信され得る。

[0051]図７は、本発明のいくつかの実施形態によるセキュリティ機器２０の例示的なハードウェア構成を示す。例示される構成は、機器２０の機能がソフトウェアで実装される実施形態に対応する。たとえば、図７は、本明細書に記載の方法のいくつかを実行するパーソナルコンピュータを表すことができる。サーバ、タブレットコンピュータ、スマートフォンなどの他のコンピューティングシステムのアーキテクチャは、図７に示されるものとは異なる場合がある。代替実施形態では、モジュール６２および／または６４（図５）の説明された機能は、専用のハードウェアで実装され得るか、またはハードウェアとソフトウェアとの間で分割され得る。さらに、いくつかの実施形態では、例示された構成要素のいくつかは、ＰＣＩ Ｅｘｐｒｅｓｓバスなどの標準インターフェースを使用して、パーソナルコンピュータに接続された別個の回路基板上にともにグループ化され得る。

[0052]プロセッサ７２は、信号および／またはデータのセットを用いて計算および／または論理演算を実行するように構成された物理デバイス（たとえば、マイクロプロセッサ、半導体基板上に形成されたマルチコア集積回路）を含む。そのような信号またはデータは、符号化され、プロセッサ命令、たとえば、機械語の形態でプロセッサ７２に配信され得る。プロセッサ７２は、中央処理装置（ＣＰＵ）および／またはグラフィックス処理装置（ＧＰＵ）のアレイを含み得る。

[0053]メモリユニット７４は、動作を実行する過程でプロセッサ７２によってアクセスまたは生成されるデータ／信号／命令符号を格納する揮発性コンピュータ可読媒体（たとえば、ダイナミックランダムアクセスメモリ－ＤＲＡＭ）を含み得る。入力デバイス７６は、とりわけ、ユーザがデータおよび／または命令を機器２０に導入することを可能にするそれぞれのハードウェアインターフェースおよび／またはアダプタを含む、キーボード、マウス、およびマイクロフォンを含み得る。出力デバイス７８は、とりわけ、モニタおよびスピーカなどのディスプレイデバイス、ならびにグラフィックカードなどのハードウェアインターフェース／アダプタを含み得、それぞれのコンピューティングシステムがユーザにデータを通信することを可能にする。いくつかの実施形態では、入力デバイスおよび出力デバイス７６～７８は、共通のハードウェアの部品（たとえば、タッチスクリーン）を共有する。ストレージデバイス８２は、ソフトウェア命令および／またはデータの不揮発性ストレージ、読取、および書込を可能にするコンピュータ可読媒体を含む。例示的なストレージデバイスは、磁気および光ディスク、フラッシュメモリデバイス、ならびにＣＤおよび／またはＤＶＤディスクおよびドライブなどのリムーバブルな媒体を含む。通信インターフェース８４は、セキュリティ機器２０が電子通信ネットワーク、クライアントデバイス１２ａ～ｅ、および／または他の電子デバイスに接続することを可能にする。電気通信のオープンシステム相互接続（ＯＳＩ）モデルでは、インターフェース８４は、データリンクおよび／またはネットワーク層の要素を実装することができる。インターフェース８４は、とりわけ、イーサネット、Ｗｉ－Ｆｉ、およびＢｌｕｅｔｏｏｔｈ（登録商標）などの複数のキャリア媒体およびプロトコルを可能にし得る。機器２０は、本明細書では、通信の物理層のハードウェア実装要素を一般的に表すアンテナ９０をさらに含むことができる。

[0001]セキュリティ機器２０のいくつかの実施形態はさらに、例示されるハードウェア構成要素に電力を供給するように構成されたバッテリ９２、および電力消費およびバッテリ９２の充電を管理するように構成されたハードウェアを含む電力マネジャ８８を含み得る。たとえば、電力マネジャ８８は、エネルギを節約するために機器２０をアクティブ状態からスリープ状態に切り替えることができ、着信通信に応答して機器２０をウェイクアップすることができる。電力マネジャ８８はさらに、バッテリ９２を充電する目的で外部エネルギ源を電気に変換するように構成された太陽電池または任意の他のデバイスを含み得る。

[0054]コントローラハブ８０は、一般に、複数のシステム、周辺機器、および／またはチップセットバス、および／またはプロセッサ７２と、セキュリティ機器２０の残りのハードウェア構成要素との間の通信を可能にする他のすべての回路構成を表す。たとえば、コントローラハブ８０は、メモリコントローラ、入力／出力（Ｉ／Ｏ）コントローラ、および割込コントローラを含み得る。ハードウェア製造業者に応じて、いくつかのそのようなコントローラは、単一の集積回路に組み込まれ得、および／またはプロセッサ７２と統合され得る。別の例では、コントローラハブ８０は、プロセッサ７２をメモリ７４に接続するノースブリッジ、および／またはプロセッサ７２をデバイス７６、７８、８２、８４、および８８に接続するサウスブリッジを含み得る。

[0055]上記の例示的なシステムおよび方法は、様々なモノのインターネット（ＩｏＴ）デバイスを、攻撃および悪意のある操作から保護することを可能にする。例示的な保護されるデバイスは、とりわけ、スマートロックと、電子自動車キーと、ＰＯＳおよびアドバタイズビーコンデバイスと、サーモスタットおよび照明器具などの家電製品と、フィットネスセンサおよびスマートウォッチなどのウェアラブルデバイスとを含む。いくつかの実施形態は、省電力ワイヤレスデバイス、すなわち、とりわけＢｌｕｅｔｏｏｔｈ（登録商標）Ｌｏｗ Ｅｎｅｒｇｙ（ＢＬＥ）などの省電力通信プロトコルを使用するように構成された電子デバイスを保護するのに特に適している。そのようなデバイスは通常、休止状態にあり、時々ウェイクアップしてその存在とサービスをアドバタイズする。

[0056]典型的な攻撃は、正当なＩｏＴデバイスになりすまして、通信パートナを騙して、それぞれのＩｏＴデバイスとデータを交換していると信じ込ませる悪意のあるデバイスを含む。いくつかの実施形態では、クライアントデバイスを保護することは、デバイスの可用性通知をリッスンすることによって、保護されるデバイスのベースライン通知パターンを決定し、それぞれの可用性通知を特徴付ける特徴のセットを決定することを含む。例示的な特徴的な特徴は、とりわけ、典型的な信号強度（たとえば、ＲＳＳＩ）、およびそれぞれのデバイスによって発行された２つの連続する可用性通知を分離する典型的な時間の長さを含む。通知パターンが確立されると、セキュリティ機器は可用性通知をスキャンし得る。可用性通知の検出に応答して、セキュリティ機器のいくつかの実施形態は、送信者デバイスを識別し、現在の可用性通知が、識別されたデバイスに固有のベースライン通知パターンに適合するか否かの判定を試みることができる。不一致は、現在の可用性通知が、識別されたデバイスを装った悪意のあるデバイスによって送信されたことを示している可能性がある。したがって、現在の可用性通知が、識別された保護されるデバイスのベースライン通知パターンに適合しない場合、いくつかの実施形態は、可用性通知に応答し、送信者デバイスとの接続を開始することによって、それぞれの可用性通知の送信者を攻撃する。次に、接続が、長期間存続され、および／または、代理データで送信者デバイスを汚染するために使用され、したがって、意図した悪意のあるアクティビティを送信者デバイスが実行することを阻止する。

[0057]いくつかの実施形態では、現在の可用性通知が、保護されるデバイスのベースライン通知パターンに適合するか否かを判定することは、現在の可用性通知と、保護されるそれぞれのデバイスによって発行された典型的な可用性通知との間の類似性の尺度を計算することを含む。たとえば、いくつかの実施形態は、現在の可用性通知の測定された信号強度と、保護されるそれぞれのデバイスから受信された他の可用性通知について測定された平均信号強度との差を判定する。類似性の別の例示的な尺度は、保護されるデバイスによる以前の可用性通知からの経過時間と、保護されるデバイスに固有の典型的な可用性通知間時間間隔との差にしたがって判定され得る。比較的強い類似性（わずかな差）は、現在の可用性通知がベースラインパターンに適合していることを示し得る。逆に、通常の値から大幅に逸脱している場合は、現在の可用性通知がベースラインパターンに適合していないことを示し得る。

[0058]いくつかの実施形態は、現在の可用性通知が、ベースライン通知パターンに適合するか否かを判定するために、より洗練された方法を用いることができる。あるコンピュータ実験では、動径基底関数カーネルを備えたサポートベクターマシン（ＳＶＭ）が、ＲＳＳＩと、複数のＢＬＥデバイスの通知周波数データでトレーニングされ、その後、正当な可用性通知と、なりすまし者によって生成された通知とを区別するために使用された。テストは、そのようなＳＶＭは、わずか２０～３０秒のデータのウィンドウでトレーニングされた場合、少なくとも８０％の精度で、悪意のある可用性通知を識別できることを示した。別の言い方をすれば、保護されるデバイスを２０～３０秒間リッスンした後、例示的なＳＶＭ分類器は、８０％の精度でなりすまし攻撃を検出できる十分な信頼性で、それぞれのデバイスのベースライン通知パターンを学習できた。ＳＶＭ分類器のトレーニングに使用する期間を延長することにより、精度をさらに高めることができる。熟練した技術者は、この例が本発明の範囲を制限することを意味するものではなく、本明細書に記載された方法のいくつかを、他の分類器アーキテクチャ（たとえば、ニューラルネットワークなど）およびＲＳＳＩおよびアドバタイズ周波数を超える他のトレーニングデータに適合させることができることを理解するであろう。

[0059]以下の説明は、本発明のいくつかの実施形態のいくつかの使用例のシナリオを概説する。

ＢＬＥドアロックの保護
[0060]犯罪者は、悪意のあるＢＬＥデバイスを使用してロックになりすまし、したがってマスタデバイス（ロックアクチュエータ、ホームセキュリティシステムなど）を騙して、ロック自体の代わりに、悪意のあるデバイスに接続することにより、ＢＬＥドアロックによって保護された家に侵入しようとする可能性がある。マスタデバイスとの成功裡のハンドシェイク後、悪意のあるデバイスは、ロックコマンドを傍受することにより、マスタデバイスがドアロックを作動させるのを妨げる可能性がある。その間、ユーザは、ドアがロックされているという印象を受ける可能性がある。いくつかの実施形態では、本明細書に開示されるセキュリティ機器は、ドアロックおよびロックアクチュエータデバイスのＢＬＥ範囲内に設置され得る。セキュリティ機器は、悪意のあるデバイスがロックアクチュエータに接続しようとする試みを検出し、悪意のあるデバイスを騙して、代わりにセキュリティ機器に接続させ、ロックの悪意のある操作を阻止する。そのようなセキュリティ機器は、たとえば、ホームセキュリティシステムに統合され得る。
スマート電源プラグまたは照明システムの保護
[0061]泥棒は、標的の家の特定のセクションの電源および／または照明をオフにしようと試み得る。本明細書に記載のセキュリティ機器は、スマートライトまたは電源スイッチの範囲内に配置され、悪意のあるデバイスを騙して、スイッチアクチュエータデバイスの代わりにセキュリティ機器に接続させ、悪意のあるデバイスが、それぞれの電源プラグまたは照明システムを制御することを阻止する。

スマートピルディスペンサの保護
[0062]例示的なスマートピルディスペンサは、たとえば、患者に、固有の薬物を服用するように指示するために、患者のスマートフォンに通知を送信するように構成され得る。通知は、ピルの種類および数を示し、オプションで、それらを服用する方式（たとえば、食べ物と一緒に、水に溶かすなど）を示す場合がある。攻撃者は、攻撃を使用してスマートフォンを騙し、ピルディスペンサになりすました悪意のあるデバイスに接続させ、その後、投薬スケジュールを自由に操作する可能性がある。本明細書に記載のセキュリティ機器は、たとえば、患者のポケットに入れて持ち運んだり、患者のスマートフォンおよびピルディスペンサの範囲内のナイトスタンドに置いたりできる、小型のバッテリ式デバイス（たとえば、キーチェーン）として具体化され得る。セキュリティ機器は、ピルディスペンサのアドバタイズ挙動の明らかな変化を検出し、それに応答して、疑わしい可用性通知を送信するデバイス（恐らくは、保護されたピルディスペンサを装った悪意のあるデバイス）を攻撃することができる。

タイヤ空気圧センサの保護
[0063]例示的なタイヤ空気圧センサは、それぞれのタイヤの空気圧が、トリガ値を下回ったときに、自動車のコンピュータにアラートを送信し得る。犯罪者は、悪意のあるデバイスを使用してタイヤ空気圧センサになりすまし、車のコンピュータを騙して圧力センサの代わりに悪意のあるデバイスに接続させる可能性がある。次に、攻撃者は、車のタイヤがパンクしていることを示す不正な信号を車のコンピュータに送信し、運転者に強制的に車を止めさせる。本明細書に記載のセキュリティ機器は、車のユニバーサルシリアルバス（ＵＳＢ）インターフェースまたはオンボード診断（ＯＢＤ）データポートにプラグインするように構成されたドングルなどの小型ポータブルデバイスとして具体化することができる。例示的な機器は、車のシガレットライタに差し込むように構成された電源アダプタ／バッテリ充電器にさえ統合され得る。さらに別の例示的な実施形態では、セキュリティ機器２０は、既存のカーアラームシステムに統合されるか、またはアドオンとして接続され得る。セキュリティ機器は、圧力センサから発信されたと思われる疑いのある可用性通知を検出し、それに応答して、それぞれのメッセージの送信者（おそらく圧力センサを装った悪意のあるデバイス）を攻撃し、悪意のあるデバイスを無力化する。

ロケーションビーコンを有するデバイスの保護
[0064]いくつかの盗難防止システムは、ロケーションビーコンデバイスを貴重な資産に接続し、ビーコンデバイスは、貴重な資産の現在の物理的場所を示す、または、それぞれの資産が現在、検出器の範囲内にあるか否かを示す信号を送信するように構成される。泥棒は、悪意のあるデバイスを使用して、検出器を攻撃し、ロケーションビーコンになりすます可能性がある。次に、悪意のあるデバイスは、不正な信号を検出器に送信して、すべてが正常であることを示すが、実際には、貴重な資産は、想定される安全な場所から移動されている。本明細書で説明するセキュリティ機器は、疑わしい通知を検出して、悪意のあるデバイスに接続し、攻撃を阻止する。例示的な実施形態では、セキュリティ機器は、検出器デバイスに統合されるか、またはアドオンとして接続され得る。

[0065]上記の実施形態は、本発明の範囲から逸脱することなく、多くの手法で変更され得ることが当業者には明らかであろう。したがって、本発明の範囲は、以下の特許請求の範囲およびそれらの法的均等物によって判定されるべきである。

[0066]

Claims (23)

1. クライアントデバイスをコンピュータセキュリティの脅威から保護するように構成されたセキュリティ機器であって、前記セキュリティ機器は少なくとも１つのハードウェアプロセッサを含み、該少なくとも１つのハードウェアプロセッサは、
   管理デバイスとのピアツーピア接続を確立するための準備として発行された可用性通知を含む第１のワイヤレス通信を検出することに応答して、前記第１のワイヤレス通信が、前記クライアントデバイスに固有の通知パターンに適合するか否かを判定し、
   それに応答して、前記第１のワイヤレス通信が前記通知パターンに適合しない場合、前記管理デバイスによる前記第１のワイヤレス通信に対する応答を模倣するように構成された第２のワイヤレス通信を送信し、
   前記第２のワイヤレス通信を送信することに応答して、前記クライアントデバイスまたは前記管理デバイスを保護するためのセキュリティアクションを実行する
   ように構成された、セキュリティ機器。
2. 請求項１に記載のセキュリティ機器であって、前記少なくとも１つのハードウェアプロセッサは、前記クライアントデバイスによって発行された別の可用性通知を含む以前に検出されたワイヤレス通信から、前記第１のワイヤレス通信を分離する時間間隔にしたがって、前記第１のワイヤレス通信が、前記通知パターンに適合するか否かを判定するように構成された、セキュリティ機器。
3. 請求項２に記載のセキュリティ機器であって、前記少なくとも１つのハードウェアプロセッサは、
   前記時間間隔のサイズを、前記クライアントデバイスに関連付けられた所定の参照値と比較し、
   それに応答して、前記時間間隔が前記参照値よりも実質的に短い場合、前記第１のワイヤレス通信が、前記通知パターンに適合しないと判定する
   ように構成された、セキュリティ機器。
4. 請求項１に記載のセキュリティ機器であって、前記少なくとも１つのハードウェアプロセッサは、前記クライアントデバイスによって発行された可用性通知の数にしたがって、前記第１のワイヤレス通信が、前記通知パターンに適合するか否かを判定するように構成された、セキュリティ機器。
5. 請求項１に記載のセキュリティ機器であって、前記少なくとも１つのハードウェアプロセッサは、前記第１のワイヤレス通信のキャリア信号の強度のインジケータにしたがって、前記第１のワイヤレス通信が前記通知パターンに適合するか否かを判定するように構成された、セキュリティ機器。
6. 請求項１に記載のセキュリティ機器であって、前記少なくとも１つのハードウェアプロセッサは、前記第１のワイヤレス通信のキャリア信号の周波数にしたがって、前記第１のワイヤレス通信が前記通知パターンに適合するか否かを判定するように構成された、セキュリティ機器。
7. 請求項６に記載のセキュリティ機器であって、前記少なくとも１つのハードウェアプロセッサは、前記クライアントデバイスによって発行された別の可用性通知を含む以前に検出された通信の別のキャリア信号の別の周波数にさらにしたがって、前記第１のワイヤレス通信が前記通知パターンに適合するか否かを判定するように構成された、セキュリティ機器。
8. 請求項１に記載のセキュリティ機器であって、前記少なくとも１つのハードウェアプロセッサはさらに、前記第１のワイヤレス通信が前記通知パターンに適合するか否かを判定するための準備として、
   前記クライアントデバイスによって発行された複数の可用性通知を検出し、
   それに応答して、前記複数の可用性通知にしたがって、前記通知パターンを決定する
   ように構成された、セキュリティ機器。
9. 請求項１に記載のセキュリティ機器であって、前記管理デバイスによる前記応答を模倣することは、前記管理デバイスになりすましている間に、前記第１のワイヤレス通信の送信者との別のピアツーピア接続を開始することを含む、セキュリティ機器。
10. 請求項９に記載のセキュリティ機器であって、前記セキュリティアクションは、前記別のピアツーピア接続を、所定の時間、アクティブに維持することを含む、セキュリティ機器。
11. 請求項９に記載のセキュリティ機器であって、前記セキュリティアクションは、前記別のピアツーピア接続を介して、前記第１のワイヤレス通信の前記送信者に、代理データのセットを送信することを含む、セキュリティ機器。
12. コンピュータセキュリティの脅威からクライアントデバイスを保護する方法であって、セキュリティ機器の少なくとも１つのハードウェアプロセッサを用いて、
    管理デバイスとのピアツーピア接続を確立するための準備として発行された可用性通知を含む第１のワイヤレス通信を検出することに応答して、前記第１のワイヤレス通信が、前記クライアントデバイスに固有の通知パターンに適合するか否かを判定し、
    それに応答して、前記第１のワイヤレス通信が前記通知パターンに適合しない場合、前記管理デバイスによる前記第１のワイヤレス通信に対する応答を模倣するように構成された第２のワイヤレス通信を送信し、
    前記第２のワイヤレス通信を送信することに応答して、前記クライアントデバイスまたは前記管理デバイスを保護するためのセキュリティアクションを実行する
    ステップを含む方法。
13. 請求項１２に記載の方法であって、前記少なくとも１つのハードウェアプロセッサを用いて、前記クライアントデバイスによって発行された別の可用性通知を含む以前に検出されたワイヤレス通信から、前記第１のワイヤレス通信を分離する時間間隔にしたがって、前記第１のワイヤレス通信が前記通知パターンに適合するか否かを判定するステップを含む、方法。
14. 請求項１３に記載の方法であって、前記少なくとも１つのハードウェアプロセッサを用いて、
    前記時間間隔のサイズを、前記クライアントデバイスを特徴付ける所定の参照値と比較し、
    それに応答して、前記時間間隔が前記参照値よりも実質的に短い場合、前記第１のワイヤレス通信は前記通知パターンに適合しないことを判定する
    ステップをさらに含む方法。
15. 請求項１２に記載の方法であって、前記少なくとも１つのハードウェアプロセッサを用いて、前記クライアントデバイスによって発行された可用性通知の数にしたがって、前記第１のワイヤレス通信が前記通知パターンに適合するか否かを判定するステップを含む方法。
16. 請求項１２に記載の方法であって、前記少なくとも１つのハードウェアプロセッサを用いて、前記第１のワイヤレス通信のキャリア信号の強度のインジケータにしたがって、前記第１のワイヤレス通信が前記通知パターンに適合するか否かを判定するステップを含む方法。
17. 請求項１２に記載の方法であって、前記少なくとも１つのハードウェアプロセッサを用いて、前記第１のワイヤレス通信のキャリア信号の周波数にしたがって、前記第１のワイヤレス通信が前記通知パターンに適合するか否かを判定するステップを含む方法。
18. 請求項１７に記載の方法であって、前記少なくとも１つのハードウェアプロセッサを用いて、前記クライアントデバイスによって発行された別の可用性通知を含む以前に検出された通信の別のキャリア信号の別の周波数にさらにしたがって、前記第１のワイヤレス通信が前記通知パターンに適合するか否かを判定するステップを含む方法。
19. 請求項１２に記載の方法であって、前記少なくとも１つのハードウェアプロセッサを用いて、前記第１のワイヤレス通信が前記通知パターンに適合するか否かを判定するための準備として、
    前記クライアントデバイスによって発行された複数の可用性通知を検出し、
    それに応答して、前記複数の可用性通知にしたがって、前記通知パターンを決定する
    ステップをさらに含む方法。
20. 請求項１２に記載の方法であって、前記管理デバイスによる前記応答を模倣することは、前記管理デバイスになりすましている間に、前記第１のワイヤレス通信の送信者との別のピアツーピア接続を開始することを含む、方法。
21. 請求項２０に記載の方法であって、前記セキュリティアクションは、前記別のピアツーピア接続を、所定の時間、アクティブに維持することを含む、方法。
22. 請求項２０に記載の方法であって、前記セキュリティアクションは、前記別のピアツーピア接続を介して、前記第１のワイヤレス通信の前記送信者に、代理データのセットを送信することを含む、方法。
23. 命令を格納した非一時的なコンピュータ可読媒体であって、該命令は、セキュリティ機器の少なくとも１つのハードウェアプロセッサによって実行されたとき、前記セキュリティ機器に、
    管理デバイスとのピアツーピア接続を確立するための準備として発行された可用性通知を含む第１のワイヤレス通信を検出することに応答して、前記第１のワイヤレス通信が、選択されたクライアントデバイスに固有の通知パターンに適合するか否かを判定し、
    それに応答して、前記第１のワイヤレス通信が前記通知パターンに適合しない場合、前記管理デバイスによる前記第１のワイヤレス通信に対する応答を模倣するように構成された第２のワイヤレス通信を送信し、
    前記第２のワイヤレス通信を送信することに応答して、前記クライアントデバイスまたは前記管理デバイスを保護するためのセキュリティアクションを実行する
    ことをさせる、非一時的なコンピュータ可読媒体。
    

Images