Οι ερευνητές διαπίστωσαν ότι πολλές εφαρμογές Android στο Google Play Store είχαν τρόπους να παρακάμψουν το μοντέλο αδειών του Android για τη συλλογή δεδομένων χρήστη.
Παρά την αντίληψη των χρηστών, το Android είναι στην πραγματικότητα αρκετά ασφαλές ως λειτουργικό σύστημα για κινητά. Γενικά αποδεχόμαστε την υπόθεση ότι ο πιο αδύναμος κρίκος είναι ο χρήστης. Εφόσον παρακολουθείτε τι εγκαθιστάτε και ποιες άδειες εκχωρείτε, θα πρέπει να είστε ασφαλείς από μη εξουσιοδοτημένη πρόσβαση και διανομή των δεδομένων σας. Εάν αρνηθείτε την πρόσβαση μιας εφαρμογής Android στην τοποθεσία σας, τότε αυτή η εφαρμογή δεν θα πρέπει να έχει κανέναν τρόπο να καταλάβει πού βρίσκεστε ή πού βρεθήκατε. Ωστόσο, ορισμένοι προγραμματιστές εφαρμογών έχουν βρει τρόπους για να παρακάμψουν το μοντέλο αδειών του Android, σύμφωνα με ερευνητές από το Διεθνές Ινστιτούτο Επιστήμης Υπολογιστών (ICSI).
Σύμφωνα με CNET, η μελέτη παρουσιάστηκε τον περασμένο μήνα στις PrivacyCon αφού αποκαλύφθηκε υπεύθυνα τόσο στην Google όσο και στην FTC τον περασμένο Σεπτέμβριο. παρόλο που το
έγγραφο που δημοσιεύτηκε στον ιστότοπο της FTC δεν παραθέτει τις ακριβείς εφαρμογές που επισήμανε η ομάδα στην ανάλυσή της (αυτές οι λεπτομέρειες θα δοθούν αργότερα στο Συνέδριο Usenix Security τον επόμενο μήνα), παρέχει λεπτομέρειες σχετικά με τη μέθοδο ανάλυσής τους και τον τρόπο με τον οποίο οι εφαρμογές παρακάμπτουν το μοντέλο αδειών του Android. Για ό, τι αξίζει, η Google λέει ότι η ασφάλεια και το απόρρητο αλλάζουν την Google έχει εισαχθεί στο Android Q θα κλείσει αυτές τις μεθόδους παράκαμψης, επομένως αυτό το έγγραφο παρέχει πολύτιμες πληροφορίες σχετικά με τις δικαιολογίες της Google για ορισμένες από τις αλλαγές πλατφόρμας που έχουν κάνει στο Android 10. Ας βουτήξουμε.Πώς >1000 εφαρμογές παρέκαμψαν το μοντέλο αδειών του Android
Οι ερευνητές διακρίνουν μεταξύ δύο διαφορετικών τεχνικών καταστρατήγησης ασφαλείας: πλευρικά κανάλια και κρυφά κανάλια. Οι τεχνικές πλευρικών καναλιών περιλαμβάνουν πρόσβαση σε συγκεκριμένες πληροφορίες με τρόπο που δεν καλύπτεται από τον μηχανισμό ασφαλείας. για παράδειγμα, οι εφαρμογές είχαν τη δυνατότητα να παρακολουθούν την τοποθεσία μιας συσκευής χρησιμοποιώντας τη διεύθυνση MAC έως ότου το Android Pie εισήγαγε την τυχαιοποίηση διευθύνσεων MAC. Οι τεχνικές κρυφών καναλιών περιλαμβάνουν δύο υπηρεσίες που συνεργάζονται για την αποστολή δεδομένων από μία υπηρεσία που έχει έγκυρη πρόσβαση σε μία που δεν έχει. για παράδειγμα, μια εφαρμογή στην οποία έχει παραχωρηθεί πρόσβαση τοποθεσίας μπορεί να μοιράζεται αυτά τα δεδομένα με μια εφαρμογή στην οποία δεν έχει παραχωρηθεί πρόσβαση.
Η ομάδα ICSI ανέλυσε 88.113 από τις πιο δημοφιλείς εφαρμογές Android από το Google Play Store των ΗΠΑ και ανακάλυψε περισσότερες από 1.000 εφαρμογές και βιβλιοθήκες τρίτων που χρησιμοποιούν πλευρικά κανάλια ή/και κρυφά κανάλια για να παρακάμψουν τα μέτρα ασφαλείας του Android, ώστε να μπορούν να έχουν πρόσβαση στα δεδομένα τοποθεσίας και στα μόνιμα αναγνωριστικά των χρηστών συσκευές. Το πλήρες σύνολο δεδομένων τους αποτελούνταν από 252.864 APK από τη στιγμή που η ομάδα έσπαζε περιοδικά το Play Store για νέες εκδόσεις των 88.113 εφαρμογών που σχεδίαζαν να αναλύσουν. Αρχικά δοκίμασαν τη συμπεριφορά κάθε εφαρμογής σε ένα Google Nexus 5X τρέχει Android 6.0.1 Marshmallow αλλά αργότερα επανέλεξε τα ευρήματά τους σε α Google Pixel 2 τρέχει το Android Pie για να αποδείξει ότι τα ευρήματά τους εξακολουθούσαν να ισχύουν από την τελευταία έκδοση κατά τη στιγμή της αποκάλυψης.
Με αυτό το σύνολο δεδομένων, η ομάδα ανέπτυξε μια μέθοδο χρησιμοποιώντας δυναμική και στατική ανάλυση για τον εντοπισμό παράκαμψης του μοντέλου άδειας του Android. Με άλλα λόγια, η ομάδα μελέτησε τη συμπεριφορά της εφαρμογής ελέγχοντας τη συμπεριφορά χρόνου εκτέλεσης της εφαρμογής (δυναμική ανάλυση) ή σαρώνοντας τον κώδικα για δυνητικά κακόβουλη συμπεριφορά (στατική ανάλυση.) Φυσικά, οι προγραμματιστές κακόβουλων εφαρμογών γνωρίζουν αυτές τις τεχνικές, χρησιμοποιώντας συσκότιση κώδικα και δυναμική φόρτωση κώδικα για να κάνουν τη στατική ανάλυση πιο δύσκολη ή TLS υποκλοπή για τον εντοπισμό πότε η εφαρμογή εκτελείται σε εικονικό περιβάλλον, έτσι η ομάδα ICSI χρησιμοποίησε έναν συνδυασμό στατικής και δυναμικής ανάλυσης (υβριδική ανάλυση) δοκιμή. Ως αποτέλεσμα, η ομάδα ανακάλυψε ότι τα ακόλουθα δεδομένα αποκόπτονταν από εφαρμογές που δεν είχαν τα απαιτούμενα δικαιώματα:
- IMEI: Δεδομένου ότι ένα IMEI είναι ένα μοναδικό, μόνιμο αναγνωριστικό, είναι χρήσιμο για τις διαδικτυακές υπηρεσίες να κάνουν scrape ώστε να μπορούν να παρακολουθούν μεμονωμένες συσκευές. Η ομάδα ανακάλυψε ότι το Σολομάδες και Baidu Τα SDK χρησιμοποιούσαν ένα κρυφό κανάλι για να διαβάσουν το IMEI. Οι εφαρμογές με νόμιμη πρόσβαση στο IMEI αποθήκευαν κρυφά αρχεία στον εξωτερικό χώρο αποθήκευσης που περιείχε το IMEI της συσκευής, έτσι ώστε άλλες εφαρμογές χωρίς νόμιμη πρόσβαση να μπορούν να διαβάσουν το IMEI. Οι εφαρμογές που προσδιορίζονται που χρησιμοποιούν το SDK της Baidu με αυτόν τον τρόπο περιλαμβάνουν τις εφαρμογές θεματικών πάρκων της Disney για το Χονγκ Κονγκ και τη Σαγκάη, το Samsung Health και το πρόγραμμα περιήγησης Samsung.
- Διεύθυνση MAC δικτύου: Η διεύθυνση MAC δικτύου είναι επίσης ένα μοναδικό αναγνωριστικό και συνήθως προστατεύεται από την άδεια ACCESS_NETWORK_STATE. Σύμφωνα με τους ερευνητές, οι εφαρμογές χρησιμοποιούσαν εγγενή κώδικα C++ για να «επικαλέσουν έναν αριθμό αφύλακτων κλήσεων συστήματος UNIX». Η ομάδα εντόπισε 42 εφαρμογές που χρησιμοποιούν το Unity SDK για να ανοίξουν ένα υποδοχή δικτύου και ένα ioctl για την απόκτηση της διεύθυνσης MAC, αν και σημείωσαν ότι 748 από τις 12.408 εφαρμογές περιείχαν τον εν λόγω κώδικα ενώ δεν διέθετε το ACCESS_NETWORK_STATE άδεια.
- Διεύθυνση MAC δρομολογητή: Η άδεια ACCESS_WIFI_STATE προστατεύει το BSSID, αλλά η ανάγνωση της προσωρινής μνήμης ARP στο /proc/net/arp επιτρέπει σε μια εφαρμογή να αποκτήσει αυτά τα δεδομένα χωρίς να χρειάζεται δικαιώματα. Ο ερευνητής αναγνώρισε το OpenX Το SDK χρησιμοποιεί αυτήν την τεχνική πλευρικού καναλιού.
- Γεωγραφική τοποθεσία: Οι ερευνητές ανακάλυψαν ότι η εφαρμογή Shutterfly είχε πρόσβαση στις ετικέτες τοποθεσίας των μεταδεδομένων EXIF των φωτογραφιών. Το μόνο που απαιτείται είναι η άδεια READ_EXTERNAL_STORAGE.
Στο Android Q, η Google απαιτεί πλέον οι εφαρμογές να έχουν την άδεια READ_PRIVILEGED_PHONE_STATE για την ανάγνωση του IMEI. Οι συσκευές με Android Q μεταδίδουν πλέον τυχαιοποιημένες διευθύνσεις MAC από προεπιλογή. Τέλος, το Android Q Αποθήκευση εύρους Οι αλλαγές μετριάζουν τη δυνατότητα των εφαρμογών να διαβάζουν τα δεδομένα τοποθεσίας από φωτογραφίες. Επομένως, αυτές οι ανησυχίες έχουν αντιμετωπιστεί στην τελευταία έκδοση Android, αλλά όπως όλοι γνωρίζουμε, θα γίνει πάρει αρκετό χρόνο για τη διάδοση της πιο πρόσφατης ενημέρωσης.
συμπέρασμα
Συνολικά, αυτή η μελέτη παρέχει μια διαφωτιστική ματιά στον τρόπο με τον οποίο ορισμένες εφαρμογές έχουν πρόσβαση σε δεδομένα που θα πρέπει να προστατεύονται πίσω από τα δικαιώματα. Η έρευνα εξέτασε μόνο ένα υποσύνολο αυτών που η Google αποκαλεί "επικίνδυνες" άδειες, ιδίως παρακάμπτοντας δικαιώματα όπως Bluetooth, επαφές και SMS. Για τις πλήρεις λεπτομέρειες σχετικά με αυτήν την έκθεση, συνιστώ να διαβάσετε το έγγραφο που υποβλήθηκε στην FTC.