NDSS的会议通常都是在加州的San Diego举行, 今年也不例外, 不过今年的会议场地改在了Hilton San Diego Resort & Spa. San Diego现在的温度大约在10-20度之间,正是一年中比较宜人的季节. 而能在这样的季节来到加州参加NDSS, 也算是比较幸运的. 当我到达San Diego的时候, 阵阵的海风吹在身上,将十几个小时长途旅行所都带来的疲惫一扫而光.

第一天的晚上先去注册地方领取了会议的论文集.和过去不一样,现在的论文集都改成了USB盘存储的电子档. 这给我们带来了便利,再也不用背着笨重的论文集回去了. 粗粗扫了一下今年的program, 发现今年的topic中比较多的是 social network, web, mobile, smart phone, network security. 而传统的host 的security 比如os/virtualization只有一个session. 由此也可以透露出来现在的安全研究乃至技术发展的一个趋势, 那就是你无法不承认 web/social network and smart phone 正在改变着我们的生活.

NDSS今年共有258篇投稿,从中接收了46篇正式的paper, 录用律大概是17%.录用率不高,但正是这样的高标准保证了会议的质量和reputation. 而好的reputation又保证会有高质量的论文会投到这里来. 在今年被录用的论文中,有不少作者是来自于中国大陆的海外学子.尤其值得祝贺的是,国内高校今年也有一篇论文被录用.这篇论文是来自于清华大学段海新老师的实验室. 这应该是第二次有来自中国内地学校的论文被NDSS录用(第一篇被NDSS录用的内地文章应该是来自于北大的韦韬组的博士生王铁雷).

2月6日是会议的第一天.首先是由会议的general chair和program chair讲话.今年的program chair是纽约州立石溪的 Radu Sion. 一般来说能做到program chair这个位置的,多多少少应该是会来事的. 果然这radu一上场就充满气场, 其演讲很能调动现场气氛并且很有煽动力. 可能是由于文化方面的原因, 这一点也是在海外的华人教授们大多缺乏的.

之后是cisco的John N. Stewart所带来的invited talk, 此人的title是Vice President and Chief Security Office. 是个胶片高手. 大概讲了一些当前安全问题的变化以及如何应对这些变化的一些策略. 当然是从high level来说.听完他的报告,感觉听到了一些东西又感觉什么东西都没听到.不知道这是不是听这类报告都会有的感觉?

会议的第一个session是network. 由于我对这个session不是很感兴趣就没有参加. 第二个session是Social Networks and User Behavior的第一场.共有三篇paper.第一篇是来自法国的一个组所做的文章”You Are What You Like”. 从题目来看就直到关注的应该是用户的privacy问题. 顺便提一句, 用户privacy是最近安全领域研究的一个热点问题,特别是在social network和smart phone越来越普及的今天. 但是对于privacy, 虽然学术界做了很多工作,但是我认为这个问题实际上用户也需要参与进来. 如果用户硬是要在其微博上暴露自己的隐私,那么再好的研究也解决不了问题. 再顺便说一句, facebook能值1000亿刀,恐怕和其掌握了海量的用户privacy是分不开的. 这篇paper的idea实际上比较直接,就是如何从用户喜欢的音乐来infer用户的其他信息:比如年龄,国家,性别等. 实际上这个idea我们大部分人都能想到. 比如喜欢李宇春音乐的玉米大部分应该是90后(或者至少是85后)的中国人. 第二篇paper是研究如何用social network来保护Distributed hash tables. 其基本想法是大体是利用social network中关系来区分恶意节点和好的节点.第三篇paper是如何在线区分social network中的垃圾信息的. 演讲的小伙英语非常棒, 本来以为是native speaker,后来到其主页一看原来是来自北大08届的.这篇paper所用的方法实际上也是比较传统的. 通过提取垃圾信息的一些特征来对信息进行cluster从来区别正常的信息和垃圾信息.我想这个方法在垃圾邮件的识别上应该有成熟的应用了吧.不过由于其是在线区分垃圾信息,因此对于实时性会有一些要求. 这个session的三篇paper总体感觉是取胜在数据集的获取以及最终的结果方面. 实际上它们所用的方法和idea 大部分人都能想到.但是如何获取海量的数据以及如何验证自己的idea,这个是他们所独到的地方.也就是说他们比能想到而没有去作的人走远了一步,从而能有一篇不错的paper.

第三个session是mobile. 这个session的主题大体是和移动网络相关的,共有4篇文章.这些文章和具体的网络协议比如GSM, UTMS相关. 因此不太明白其详细的过程.不过大体的思路我都还差不多听明白了. 第一篇文章是如何通过GSM协议广播的一些信息来推断某一个用户是不是在某一个区域或者不在某一个区域.第二篇papaer是 基于mix-zone的policy 来保护用户location 隐私方面的第一个pratical study. 所谓mix-zone的policy 是把 地理位置分为app zone和mix zone. 只有在某一个app zone内,特定的app才能获得位置的更新. 比如一个app 的app zone是某一个银行. 那么只有在银行内,这个app才能获取位置信息的更新,进入mix zone后这个app就没有办法获取位置信息的更新了.这个方法主要用来防止对用户location的持续tracking. 第三篇paper是说如何获取UMTS 用户的location.不过其用的方法和第一篇不一样.它是通过向用户发送probe封包然后根据返回的数据的属性来倒推用户位于哪里. 最后一篇文章比较有意思.这篇文章研究了现在比较流行的femtocell中可能存在的安全隐患. femtocell是一种便携式的基站,可以被部署在办公室或者家里提高手机信号的覆盖率.其前段是RF信号发射和接受,后端是通过有线网络(比如DSL)连接达到运营商(比如联通)的网络中. 但是如果femtocell被attcker攻破的话,会带来哪一些安全隐患是这篇paper所讨论的主题.实际上femtocell就是一台小的嵌入式设备,本身一定会存在一定的漏洞.attacker可以利用这些漏洞来执行代码.这篇paper所演示的设备在firmware更新(recovery)的时候存在一个漏洞:没有check远端更新服务器的有效性. 因此attacker可以伪造一个远端更新服务器来更新含有恶意代码的firmware. 另外虽然要更新的firmware是加密和签名的.但是用来解密的key是从远端服务器push过来.并且如何校验firmware的integrity是通过新的firmware中的配置文件来进行的….

第四个session是 cloud和crypto. 我的理解是这个session的paper 主要关注在cloud存储加密数据所带来的一些问题. 由于cloud是不受数据的拥有者控制的,因此在把数据放到cloud中总有一个担心:我的数据是安全的吗? cloud提供商会不会窃取我的数据? 同存放在一台物理cloud上面的其他恶意客户会不会窃取我的数据. 因此,通常来说存放在cloud中的数据需要是加密的.但是加密也都会带来一定问题. 比如我想去查询加密数据,看看是不是含有特定的关键字怎么办?我们不能在cloud上进行解密然后再查询(这样解密的数据有可能被窃取). 那么有什么方法可以在加密的情况下进行查询呢?这个seesion 有一篇文章讨论的是这个问题.  由于对crypto 不是很感兴趣, 这个seesion 的其他talk没有去参加.

这次NDSS会议和往届不同的地方在于多了一个invited paper的session. 这些paper多是在PC member meeting的时候有争议不能被录用为正式paper的文章.但是又有一些PC member觉得这些paper有一些好的地方. 因此, 这届会议把这些paper录用为invited paper, 会有1页出现在最终的proceeding中并且也会在会议上进行pressent. 被录用的invited paper中,有一篇来自dawn song(弯曲的朋友一定不会陌生)组,称为free market的文章. 这篇文章讨论的是google 提供的Android in app billing service中存在的问题.这个问题本身并不在于这个in app billing service,而在于app的开发者没有正确这个service使用从而导致attacker可以购买app中提供的虚拟商品而不用付钱. 简单说就是 app的开发者没有再次校验由in app billing service 返回的含有支付成功的消息, 因此attacker可以伪造这个消息从而让app认为支付成功而实际上并没有支付.

第一天的会议议程差不多是这样. 第二天的议程同样值得期待,关于smart phone security的session(共5篇文章)比较值得关注. 同样在第二天会议后,我会带来后续的更新.