Изследователите откриха, че много приложения за Android в Google Play Store имат начини да заобиколят модела на разрешение на Android за събиране на потребителски данни.
Въпреки възприятието на потребителите, Android всъщност е доста сигурна като мобилна операционна система. Като цяло приемаме предпоставката, че най-слабото звено е потребителят; докато следите какво инсталирате и какви разрешения предоставяте, трябва да сте в безопасност от неоторизиран достъп и разпространение на вашите данни. Ако откажете достъп на приложение за Android до вашето местоположение, това приложение не трябва да има никакъв начин да разбере къде се намирате или къде сте били. Някои разработчици на приложения обаче са измислили начини да заобиколят модела на разрешения на Android, според изследователи от Международния институт по компютърни науки (ICSI).
Според CNET, проучването беше представено миналия месец на PrivacyCon след като беше отговорно разкрит както на Google, така и на FTC миналия септември. въпреки че
документ, публикуван на уебсайта на FTC не изброява точните приложения, които екипът е маркирал в своя анализ (тези подробности ще дойдат по-късно на Конференция за сигурност на Usenix следващия месец), предоставя подробности за техния метод за анализ и как приложенията заобикалят модела на разрешения на Android. Колкото и да си струва, Google казва, че сигурността и поверителността променят Google въведе в Android Q ще затвори тези методи за заобикаляне, като по този начин този документ предоставя ценна представа за обосновките на Google за някои от промените в платформата, които са направили в Android 10. Нека се потопим.Как >1000 приложения заобиколиха модела на разрешения на Android
Изследователите правят разлика между две различни техники за заобикаляне на сигурността: странични канали и скрити канали. Техниките на страничните канали включват получаване на достъп до определена информация по начин, който не е обхванат от механизма за сигурност; например приложенията можеха да проследяват местоположението на устройството, използвайки MAC адреса, докато Android Pie не въведе рандомизиране на MAC адреси. Техниките за скрити канали включват две услуги, които си сътрудничат, за да изпращат данни от една услуга, която има валиден достъп, до друга, която няма; например приложение, на което е предоставен достъп до местоположението, може да сподели тези данни с приложение, на което не е предоставен достъп.
Екипът на ICSI анализира 88 113 от най-популярните приложения за Android от Google Play Store в САЩ и откри над 1000 приложения и библиотеки на трети страни, които използват странични канали и/или скрити канали, за да заобиколят мерките за сигурност на Android, за да имат достъп до данните за местоположението и постоянните идентификатори на потребителите устройства. Техният пълен набор от данни се състоеше от 252 864 APK, тъй като екипът периодично проверяваше Play Store за нови версии на 88 113 приложения, които планираха да анализират. Първоначално тестваха поведението на всяко приложение на a Google Nexus 5X работещи с Android 6.0.1 Marshmallow, но по-късно тестваха отново констатациите си на a Google Pixel 2 работещи с Android Pie, за да докажат, че техните констатации са все още валидни към последната версия към момента на разкриването.
С този набор от данни екипът разработи метод, използващ динамичен и статичен анализ за откриване на заобикаляне на модела на разрешения на Android. С други думи, екипът изследва поведението на приложението чрез одитиране на поведението на приложението по време на изпълнение (динамичен анализ) или сканиране на кода за потенциално злонамерено поведение (статично анализ.) Разбира се, разработчиците на злонамерени приложения са наясно с тези техники, като използват обфускация на код и динамично зареждане на код, за да направят статичния анализ по-труден или TLS прихващане, за да открие кога приложението работи във виртуализирана среда, така че екипът на ICSI използва комбинация от статичен и динамичен анализ (хибриден анализ) в своите тестване. В резултат на това екипът откри, че следните данни се изтриват от приложения, които нямат необходимите разрешения:
- IMEI: Тъй като IMEI е уникален, постоянен идентификатор, е полезно за онлайн услугите да изтриват, за да могат да проследяват отделни устройства. Екипът откри, че Салмонади и Baidu SDK използваха скрит канал за четене на IMEI. Приложенията с легитимен достъп до IMEI съхраняваха скрити файлове във външната памет, съдържаща IMEI на устройството, така че други приложения без легитимен достъп да могат да прочетат IMEI. Идентифицираните приложения, използващи SDK на Baidu по този начин, включват приложенията на тематичния парк на Disney за Хонг Конг и Шанхай, Samsung Health и Samsung Browser.
- Мрежов MAC адрес: Мрежовият MAC адрес също е уникален идентификатор и обикновено е защитен от разрешението ACCESS_NETWORK_STATE. Според изследователите, приложенията са използвали собствен код на C++, за да „извикват редица неохраняеми системни повиквания на UNIX“. Екипът идентифицира 42 приложения, използващи Unity SDK за отваряне на a мрежов сокет и ioctl за получаване на MAC адреса, въпреки че те отбелязаха, че 748 от 12 408 приложения съдържат въпросния код, но липсва ACCESS_NETWORK_STATE разрешение.
- MAC адрес на рутера: Разрешението ACCESS_WIFI_STATE защитава BSSID, но четенето на ARP кеша в /proc/net/arp позволява на приложението да получи тези данни, без да се нуждае от никакви разрешения. Изследователят идентифицира OpenX SDK като използва тази техника на страничен канал.
- Геолокация: Изследователите откриха, че приложението Shutterfly има достъп до маркерите за местоположение на EXIF метаданните на снимките. Всичко, което се изисква, е разрешението READ_EXTERNAL_STORAGE.
В Android Q Google вече изисква приложенията да имат разрешение READ_PRIVILEGED_PHONE_STATE, за да четат IMEI. Устройствата с Android Q вече предават рандомизирани MAC адреси по подразбиране. И накрая, Android Q Съхранение с обхват промените смекчават възможността приложенията да четат данните за местоположението от снимките. По този начин тези опасения бяха разгледани в най-новата версия на Android, но както всички знаем, ще бъде отнеме доста време за разпространение на най-новата актуализация.
Заключение
Като цяло, това проучване предоставя просветляващ поглед върху това как някои приложения имат достъп до данни, които трябва да бъдат защитени с разрешения. Изследването разглежда само подмножество от това, което Google нарича „опасни“ разрешения, по-специално прескачане на разрешения като Bluetooth, контакти и SMS. За пълни подробности относно този доклад препоръчвам да прочетете документ, изпратен до FTC.