安卓平台安全性增强关键技术的研究.ppt

规则语言 图：上下文敏感的权限管理规则语言的结构 * 图：一个样例规则 基于上下文的权限管理 UID: 10053, com.snapwork.finance 权限：android.permission.ACCESS_FINE_LOCATION 程序内上下文： com.flurry.android.e-e-LL-42 com.flurry.android.e-a-VLLZ-3 com.flurry.android.v-run-V-21 * LocationManager.getLastKnownLocation() 一、可以控制是否允许Flurry SDK访问位置信息 二、不影响SnapWork自身访问位置信息 原型系统与实验 原型系统 支持Android 2.3/4.1，支持Nexus Prime/4、模拟器 实验 整体性能测试 最差情况下的性能测试 规则匹配的性能测试 * 性能测试 * 测试集 原生系统 FineDroid (w/o context) FineDroid (w/ context) AnTutu 7701 7718 (+0.22 %) 7671 (-0.39 %) Linpack 43.36 42.60 (-1.76 %) 42.50 (-1.99 %) CaffeineMark3 8518 8495 (-0.27 %) 8457.5 (-0.71 %) 权限使用类型 原生系统 FineDroid (w/o context) FineDroid (w/ context) Socket (KEP) 0.14 ms 2.16 ms Δ2.02 ms 2.18 ms Δ0.02 ms IMEI (AEP) 0.62 ms 0.69 ms Δ0.06 ms 1.09 ms Δ0.40 ms 表：整体性能测试结果 表：最差情况下的性能测试结果 规则匹配的性能测试 * 权限使用类型 FineDroid (w/o policy) FineDroid (w/ policy) 性能开销 Socket (KEP) 2.18 ms 3.06 ms 0.88 ms IMEI (AEP) 1.09 ms 1.99 ms 0.90 ms 图：测试使用的样例规则 表：规则匹配性能测试结果 权限泄露漏洞修复实例 * AOSP中Mms程序存在的WRITE_SMS权限泄露漏洞 应用实例：Mms权限泄露漏洞 Mms服务包含三种权限泄露路径 * 快速修复的安全策略 权限漏洞修复规则自动生成 利用CHEX漏洞分析结果，修复规则自动化生成 * 应用名 泄露路径数 生成规则数 com.gmail.traveldevel.android.vlc.app-131 2 2 com.froogloid.kring.google.zxing.client.android-67 24 24 de.cellular.tagesschau-5 361 361 com.akbur.mathsworkout-92 2 2 com.appspot.swisscodemonkeys.paintfx-4 2 2 com.androidfu.torrents-26 1 1 com.espn.score_center-141 6 6 com.espn.score_center-142 6 6 fr.pb.tvflash-9 2 2 hu.tagsoft.ttorrent.lite-15 8 8 总计 414 414 谢谢！ * 基于权限机制的安卓软件分析和系统加固研究 杨 珉 复旦大学软件学院 * 2014年“软件与网络安全”科学与技术前沿论坛 以系统权限为中心的研究进展 * 软件行为分析技术 系统安全加固技术 安卓平台安全状况堪忧 * 安卓应用软件飞速增长 图：Google应用商城2009年12月份到2013年7月份的统计报告 众多第三方应用市场 * 应用软件恶意行为泛滥 * 国内Android应用商城中程序隐私泄露分析，第五届信息安全漏洞分析与风险评估大会，2012年 应用软件的安全缺陷涌现 * Analyzing Inter-Application Communication in Android, in MobiSys’11 Permission Re-Delegation: Attacks and Defenses, in USENIX Security’11 Systematic Detection of Capability Leaks in Stock Android Smartphones, in NDSS’12 CHEX: Statically Vetting Android Apps for