Continuous Behavioral Authentication via Multi-Expert BERT Log Analysis for Secure Data Sharing

Sintesi Tecnica: Autenticazione Comportamentale Continua tramite l'Analisi di Log Multi-Expert con BERT

Definizione del Problema
I moderni dispositivi mobili sono centrali nelle infrastrutture di condivisione dei dati governate da politiche zero-trust, eppure l'autenticazione tradizionale rimane statica, basandosi sulla verifica al punto di ingresso (ad es. PIN, biometria). Una volta avviata una sessione, questi meccanismi non possono verificare che l'utente legittimo sia rimasto in controllo, lasciando i dispositivi vulnerabili ad attacchi di accesso fisico. Sebbene l'autenticazione continua (CA) basata sulla biometria comportamentale (ad es. cadenza della digitazione, movimento) esista, essa richiede spesso dati sensoriali intrusivi. Inoltre, gli esistenti rilevatori di anomalie nei log (ad es. LogBERT) sono progettati per l'affidabilità delle infrastrutture server, producendo verdetti binari stateless per finestra piuttosto che punteggi di fiducia continui e specifici per l'utente. Esiste un vuoto nell'utilizzo dei log di sistema Android grezzi — che codificano nativamente l'identità di rete, la dinamica del consumo energetico e la topologia spaziale — come segnale non intrusivo e privo di sensori per l'assicurazione del contesto utente-dispositivo.

Metodologia
Il framework proposto utilizza una pipeline a quattro fasi per trasformare i log grezzi di sistema Android in un punteggio di fiducia continuo per un Punto di Decisione della Policy (PDP):

1. Parsing dei Log: I flussi logcat grezzi sono elaborati da un parser Drain adattato al dominio. Questo decompone le linee di log in template di eventi stabili (con segnaposto tipizzati come <mac>, <ipv4>) e valori di variabili dinamiche.
2. Ingegneria delle Caratteristiche: I dati parsati vengono instradati in tre canali semanticamente indipendenti:
   • Canale di Identità: Accoppia una finestra scorrevole degli ultimi 50 ID di eventi con gli ultimi valori dinamici osservati, iniettando embedding consapevoli del tipo.
   • Canale della Batteria: Elabora i log di DeviceStatisticsService in telemetria a doppia media mobile esponenziale (EMA), codificando le modalità operative (STABLE, DRAIN, CHARGE) e gli intervalli temporali.
   • Canale della Topologia Wi-Fi: Codifica le scansioni di WifiPickerTracker come coppie fuse SSID–RSSI.
3. Fine-Tuning Multi-Expert: Un encoder BERT-base condiviso (pre-addestrato sulla sintassi dei log Android tramite un compito di Masked Language Modeling specifico per il dominio) viene sottoposto a fine-tuning con teste specializzate per ogni canale:
   • Esperto di Identità: Predice i valori delle variabili dinamiche mascherate in base al contesto. Utilizza un vocabolario personalizzato per evitare la frammentazione degli identificatori (ad es. indirizzi IP) e assegna una bassa confidenza ai valori Out-of-Vocabulary (OOV).
   • Esperto della Batteria: Classifica le transizioni della batteria in sei bin temporali (ad es. TS_INSTANT, TS_MID) e una classe di violazione logica. È agnostico rispetto al livello, concentrandosi sul ritmo del consumo energetico piuttosto che sulla percentuale assoluta di batteria.
   • Esperto della Topologia Wi-Fi: Un autoencoder a doppia testa che ricostruisce sia l'identità SSID (Cross-Entropy) che la forza del segnale (MSE), apprendendo le correlazioni spaziali tra i punti di accesso.
4. Fusione Multi-Expert: I punteggi di confidenza ($S_{Ident}$, $S_{Batt}$, $S_{WiFi}$) dei tre esperti vengono aggregati. Essi subiscono una trasformazione in spazio logaritmico ($-\ln(S + \epsilon)$) per amplificare le deviazioni vicino alle regioni ad alta confidenza, seguita da una standardizzazione Z-score. Infine, un classificatore di distanza dei 5-vicini più prossimi (5-NN) confronta il vettore trasformato contro una "regione normale" memorizzata, derivata da dati di addestramento puliti. Un'anomalia viene segnalata se la distanza supera una soglia calibrata (99,9° percentile).

Contributi Chiave

• Framework: Un sistema di autenticazione comportamentale continua che sfrutta i log di sistema Android come fonte non intrusiva di evidenze utente e dispositivo.
• Strategia di Pre-addestramento: Un approccio di pre-addestramento BERT adattato al dominio che apprende la grammatica strutturale dei log Android (regole di co-occorrenza) senza richiedere inizialmente dati specifici dell'utente.
• Architettura Multi-Expert: Una nuova decomposizione dell'autenticazione comportamentale in tre dimensioni distinte (identità di rete, tempistica della batteria, topologia spaziale), modellate separatamente prima della fusione.
• Meccanismo di Fusione: Una trasformazione in spazio logaritmico e un classificatore nearest-neighbor che genera un punteggio di fiducia continuo adatto ai Punti di Decisione della Policy zero-trust, piuttosto che un avviso binario.
• Valutazione: Una valutazione completa che copre deviazioni semantiche (valori OOV), anomalie fisiche (esaurimento della batteria) e cambiamenti ambientali (topologia Wi-Fi).

Risultati Sperimentali
Il framework è stato valutato su dati raccolti da un OnePlus 8T con Android 11.0.

• Esperto di Identità: Ha raggiunto una accuratezza Top-1 del 99,07% nella predizione delle variabili dinamiche dato il contesto. Ha dimostrato robustezza ai valori OOV (tasso di identificazione del 100% per gli sconosciuti) e alta sensibilità alle inconsistenze valore-contesto (la confidenza è scesa da ~98% a ~10% con il 100% di inconsistenza).
• Esperto della Batteria: Ha rilevato con successo attacchi di esaurimento delle risorse che alteravano i ritmi di scarica. Ha ottenuto un recall del 100% sulle anomalie iniettate (eventi di scarica rapida) con zero falsi positivi, poiché la distribuzione di addestramento non conteneva eventi di scarica TS_INSTANT.
• Esperto della Topologia Wi-Fi: Ha mostrato un'alta sensibilità verso ambienti sconosciuti (la confidenza è scesa allo 0,23%) pur tollerando la perdita parziale di segnale (97,30% di confidenza con AP mancanti) e fluttuazioni minori.
• Classificatore di Fusione: Il sistema end-to-end ha mantenuto un Tasso di Falsi Positivi (FPR) inferiore all'1% (variando dallo 0,45% allo 0,78% tra i dataset) rilevando tutte le anomalie iniettate (0% di Tasso di Falsi Negativi) nelle impostazioni controllate. Le variazioni benigne del Wi-Fi sono state ampiamente tollerate, confermando la capacità del sistema di distinguere tra rumore e reali cambiamenti di contesto.

Significato e Rivendicazioni
L'articolo sostiene che i log di sistema Android fungano da segnale pratico e privo di sensori per l'autenticazione continua. Fondendo le modalità di rete, potenza e spaziale, il sistema può rilevare deviazioni semantiche, temporali e topologiche mantenendo un basso tasso di falsi positivi. Gli autori pongono questo lavoro come il primo tentativo di applicare modelli expert basati su BERT decomposti per dominio ai log on-device per l'autenticazione comportamentale continua, fornendo un punteggio di fiducia pronto per il PDP che supporta architetture zero-trust senza degradare l'esperienza dell'utente attraverso un'autenticazione nuovamente intrusiva. Lo studio suggerisce che tali sistemi possano verificare la validità del contesto utente-dispositivo durante l'intera sessione, affrontando un pilastro fondamentale dei moderni framework di autenticazione.