Graduated Trust Gating for IoT Location Verification: Trading Off Detection and Proof Escalation

1. O Problema

Os serviços de localização baseados em IoT (como controle de acesso geofenceado e conteúdo vinculado à localização) dependem frequentemente de coordenadas GPS reportadas pelo cliente. No entanto, essas coordenadas são trivialmente falsificáveis (spoofing) usando ferramentas de nível de consumidor, como APIs de localização simulada ou rádios definidos por software (SDR).

As técnicas existentes de detecção de spoofing (fusão de sensores, consistência RAIM, classificadores de ML) geralmente produzem uma decisão binária (aceitar ou negar). Isso força os projetistas de sistemas a um dilema:

• Limiar estrito: Alta taxa de falsos positivos (bloquear usuários legítimos).
• Limiar permissivo: Alta taxa de falsos negativos (permitir que falsificadores acessem).

O objetivo deste trabalho é superar essa troca binária rígida, permitindo a detecção de ataques complexos sem sacrificar a usabilidade para usuários legítimos.

2. Metodologia

Os autores propõem um sistema de Portão de Confiança Graduada (Graduated Trust Gating) que substitui a decisão binária por um mecanismo de três níveis baseado em uma pontuação de integridade ($T$).

A. Cálculo da Pontuação de Confiança ($T$)

O sistema calcula uma pontuação $T \in [0, 1]$ baseada em uma soma ponderada de múltiplos sinais de integridade. São definidos cinco sinais principais:

1. Movimento (S1): Penaliza velocidades entre pontos consecutivos superiores a 50 m/s.
2. Precisão (S2): Identifica flags de precisão anormalmente baixas (< 2 m), comuns em simuladores.
3. Temporal (S3): Detecta "teletransportes" (violações de > 100 m/s) no histórico.
4. Consistência do Fixo (S4): Razão entre dispersão e precisão de fixos GPS brutos (inspirado em RAIM).
5. Rede (S5): Distância entre a posição GPS e a dica de rede (celular/Wi-Fi) relativa à precisão da dica.

Se alguns sinais não estiverem disponíveis, os pesos são reatribuídos dinamicamente conforme perfis pré-definidos.

B. O Portão Graduada (Three-Level Gate)

A pontuação $T$ é mapeada para uma das três ações:

1. PROCEED (Prosseguir): $T \ge \theta_p$ (usuário legítimo de alta confiança).
2. STEP-UP (Escalar): $\theta_s \le T < \theta_p$ (caso ambíguo). O sistema aciona um verificador mais forte, como uma prova de proximidade de conhecimento zero (ZKP) Groth16.
3. DENY (Negar): $T < \theta_s$ (falso positivo claro).

O parâmetro chave é $\theta_p$. Ao aumentá-lo, mais tráfego é roteado para a verificação "Step-Up", reduzindo a taxa de falsos aceitos (FAR) sem aumentar a taxa de falsos negados (FDR), pois os casos limítrofes legítimos são salvos pela verificação escalada.

C. Mecanismo de "Session Latch" (Trava de Sessão)

Para evitar que um atacante, após disparar um alerta de suspeita, se estabilize na localização falsificada e recupere a pontuação, o sistema implementa uma trava de sessão.

• Se o portão transitar para STEP-UP ou DENY, toda a sessão é bloqueada.
• Fixos subsequentes na mesma sessão retornam o estado travado, independentemente da pontuação atual.
• A trava de "DENY" persiste até o reinício da sessão; a de "STEP-UP" é liberada apenas após verificação externa bem-sucedida.

3. Principais Contribuições

1. Design do Portão Graduada (C1): Um mecanismo que permite um trade-off sintonizável entre FAR e atrito (fricção) através de um único limiar $\theta_p$, delegando casos incertos a verificadores mais fortes.
2. Ablação de Sinais (C2): Identificação de uma configuração mínima de dois sinais (Consistência Temporal + Verificação Cruzada de Rede) que atinge um F1 de 0,84, adequada para dispositivos IoT com recursos limitados.
3. Análise de Robustez (C3): Demonstração de que o tráfego legítimo permanece acima do limiar de prosseguimento em seis cenários de degradação de sinal, mantendo FDR em 0%.

4. Resultados e Avaliação

Os testes foram realizados com 10.000 traços sintéticos e validação em um dispositivo real (Android Jelly Star).

• Desempenho em Limiares Estritos:

  • Em um limiar alto ($\theta_p = 0,9$), um portão binário teria uma taxa de falsos negados (FDR) de 0,05%.
  • O portão graduado mantém 0% de FDR no mesmo limiar, roteando os usuários legítimos "limítrofes" para a verificação Step-Up em vez de negá-los.
  • A taxa de falsos aceitos (FAR) foi mantida em 11,4% para ambos, mas o portão graduado oferece segurança operacional superior.

• Validação em Dispositivo Real:

  • Teletransporte (Mock Location): Um salto de 10.000 km foi detectado imediatamente (pontuação 0,22), ativando o DENY. A trava de sessão bloqueou todos os 31 fixos subsequentes, mesmo que a pontuação tivesse se recuperado.
  • Localização Próxima (550m): Um ataque sutil (550m de distância, alta precisão) passou no limiar $\theta_p = 0,7$ (PROCEED), mas foi corretamente roteado para STEP-UP no limiar $\theta_p = 0,9$, demonstrando a capacidade do sistema de lidar com ataques difíceis que burlam detectores simples.

• Overhead Computacional:

  • O cálculo da pontuação (5 sinais) leva apenas 4,9 µs (mediana) em um smartphone Android, sendo insignificante comparado ao custo de uma verificação criptográfica.

• Ablação de Sinais:

  • A configuração mínima (S3 + S5) superou a configuração completa de 5 sinais em termos de F1 (0,84 vs 0,67) em cenários de ablação específicos, sugerindo que sinais complementares e esparsos evitam a diluição da pontuação causada por sinais que não distinguem certos modos de ataque.

5. Significado e Conclusão

Este trabalho demonstra que é possível criar sistemas de verificação de localização robustos sem exigir detectores de spoofing perfeitos. A inovação central não é a detecção em si, mas a arquitetura de resposta:

• Separação de Preocupações: O detector leve filtra o tráfego óbvio; o verificador forte (ZKP) lida com os casos ambíguos.
• Segurança Operacional: O mecanismo de "Session Latch" previne a recuperação de pontuação após um evento suspeito, fechando uma lacuna de segurança comum em sistemas contínuos.
• Viabilidade para IoT: Com um overhead de microssegundos e a capacidade de operar com subconjuntos mínimos de sinais, o sistema é aplicável a dispositivos com recursos limitados.

O estudo conclui que o portão graduado permite o uso de limiares de confiança estritos (reduzindo o risco de aceitação de spoofers) sem penalizar usuários legítimos, desde que um mecanismo de escalonamento (step-up) esteja disponível. Para dispositivos sem capacidade de escalonamento, recomenda-se o uso de limiares mais baixos para evitar falsos negativos.