Graduated Trust Gating for IoT Location Verification: Trading Off Detection and Proof Escalation

Resumen Técnico: Graduated Trust Gating for IoT Location Verification

1. El Problema

Los servicios de IoT basados en la ubicación (como el control de acceso geocercado o acciones activadas por proximidad) dependen de coordenadas GPS reportadas por el cliente. Sin embargo, estas coordenadas son trivialmente falsificables mediante herramientas de grado consumidor (APIs de ubicación simulada o radio definida por software).

Los métodos actuales de detección de suplantación (spoofing) suelen producir una decisión binaria (aceptar/denegar). Esta dicotomía fuerza a los diseñadores de sistemas a elegir entre dos desventajas operativas:

• Umbral estricto: Reduce la tasa de falsos positivos (aceptar a suplantadores) pero aumenta drásticamente la tasa de falsos negativos (bloquear a usuarios legítimos).
• Umbral permisivo: Permite el paso a usuarios legítimos pero deja entrar a atacantes.

No existe un mecanismo intermedio que gestione la incertidumbre sin comprometer la seguridad o la usabilidad.

2. Metodología Propuesta

Los autores proponen un Mecanismo de Puerta de Confianza Graduada (Graduated Trust Gating) que transforma un detector ligero e imperfecto en un mecanismo de control de acceso práctico mediante tres niveles de decisión y un mecanismo de bloqueo de sesión.

A. Puntuación de Confianza (Trust Score):
El sistema calcula una puntuación de integridad $T$ basada en múltiples señales ($S_1$ a $S_5$):

1. Movimiento (S1): Penaliza velocidades físicamente imposibles (>50 m/s).
2. Precisión (S2): Detecta valores de precisión anómalamente bajos (<2 m), comunes en simuladores.
3. Temporal (S3): Identifica "teletransportación" (saltos >100 m/s en el historial).
4. Consistencia de Fijación (S4): Basado en RAIM, analiza la dispersión vs. precisión de las fijaciones GPS crudas.
5. Red (S5): Compara la posición GPS con la ubicación estimada por torres de celular/Wi-Fi.

Las ponderaciones se ajustan dinámicamente según las señales disponibles (ver Tabla I del artículo).

B. La Puerta Graduada (Three-Level Gate):
En lugar de una decisión binaria, la puerta mapea la puntuación $T$ a tres acciones:

• PROCEED (Proceder): Si $T \ge \theta_p$. Acceso inmediato.
• STEP-UP (Escalar): Si $\theta_s \le T < \theta_p$. Se invoca un verificador más fuerte (en el prototipo, una prueba de proximidad de conocimiento cero, ZKP, tipo Groth16).
• DENY (Denegar): Si $T < \theta_s$. Acceso bloqueado.

C. Mecanismo de Bloqueo de Sesión (Session Latch):
Para evitar que un atacante, tras generar una fijación sospechosa que activa la escalada, se estabilice en la ubicación falsificada con puntuaciones altas, el sistema implementa un "latch". Una vez que la sesión entra en estado STEP-UP o DENY, permanece en ese estado para toda la sesión, independientemente de las puntuaciones futuras, hasta que se reinicie la sesión o se verifique externamente.

3. Contribuciones Clave

1. Diseño de Puerta Graduada (C1): Un marco que permite un ajuste fino entre la tasa de falsos positivos (FAR) y la fricción operativa mediante un solo umbral $\theta_p$, delegando los casos dudosos a un verificador robusto.
2. Ablación de Señales (C2): Identificación de una configuración mínima de dos señales (Consistencia Temporal + Verificación de Red) que logra un F1 de 0.84, adecuada para dispositivos IoT con recursos limitados.
3. Análisis de Robustez (C3): Demostración de que el tráfico legítimo mantiene puntuaciones por encima del umbral de procedimiento incluso bajo seis escenarios de degradación de señales, mientras que el tráfico malicioso es redirigido o bloqueado.

4. Resultados Experimentales

Las pruebas se realizaron con 10,000 trazas sintéticas y trazas reales de un dispositivo Android (Jelly Star).

• Rendimiento vs. Puerta Binaria:

  • En umbrales estrictos ($\theta_p = 0.9$), una puerta binaria tiene una tasa de falsos negativos (FDR) del 0.05% al 1.43% (bloqueando usuarios legítimos).
  • La puerta graduada mantiene un FDR de 0.00% en los mismos umbrales, redirigiendo el tráfico legítimo "en el límite" a la verificación escalada (STEP-UP) en lugar de denegarlo.
  • La tasa de falsos positivos (FAR) se mantiene idéntica (11.4% en el ejemplo), pero la seguridad operativa es superior.

• Validación en Dispositivo Real:

  • Teletransportación (Mock Location): Un salto de ~10,000 km fue detectado inmediatamente (puntuación baja), activando el bloqueo de sesión. Todas las 31 fijaciones posteriores fueron bloqueadas gracias al session latch.
  • Suplantación Cercana (~550 m): Esta es la prueba más difícil. Con $\theta_p = 0.7$, el atacante pasa. Con $\theta_p = 0.9$, el atacante es redirigido a STEP-UP, demostrando que el sistema compensa las imperfecciones del detector ligero.

• Sobrecarga Computacional:

  • El cálculo de la puntuación de confianza (V2, 5 señales) tarda una mediana de 4.9 µs (P99: 14.8 µs) en un smartphone Android, lo cual es insignificante comparado con el costo de las verificaciones escaladas.

5. Significado e Impacto

Este trabajo es significativo porque cambia el paradigma de la verificación de ubicación en IoT:

• De "Detectar o Fallar" a "Gestionar la Incertidumbre": Reconoce que los detectores ligeros no son perfectos y utiliza una arquitectura de escalada para manejar los casos ambiguos sin sacrificar la experiencia del usuario legítimo.
• Seguridad Operativa: Permite establecer umbrales de seguridad muy estrictos sin miedo a bloquear a usuarios legítimos, algo imposible con sistemas binarios.
• Eficiencia: Al utilizar un verificador pesado (como ZKP) solo para los casos dudosos (STEP-UP) y no para todos, se reduce el costo promedio del sistema.
• Resiliencia: El mecanismo de bloqueo de sesión previene ataques de "reconstrucción" donde un atacante intenta recuperar la confianza tras un fallo inicial.

En conclusión, la puerta de confianza graduada ofrece un equilibrio práctico entre seguridad, usabilidad y costo computacional, siendo especialmente relevante para entornos IoT heterogéneos donde la detección perfecta es inalcanzable.