Teadlased leidsid, et paljudel Google Play poe Androidi rakendustel oli viise, kuidas kasutajaandmete kogumiseks Androidi loamudelist mööda minna.
Vaatamata kasutaja arusaamale on Android mobiilse OS-ina tegelikult üsna turvaline. Üldiselt nõustume eeldusega, et nõrgim lüli on kasutaja; Niikaua kui jälgite, mida installite ja milliseid õigusi annate, peaksite olema kaitstud volitamata juurdepääsu ja oma andmete levitamise eest. Kui keelate Androidi rakendusel juurdepääsu oma asukohale, ei tohiks sellel rakendusel olla mingit võimalust teie asukoha või viibimiskoha väljaselgitamiseks. Rahvusvahelise arvutiteaduse instituudi (ICSI) teadlaste sõnul on mõned rakenduste arendajad aga välja mõelnud, kuidas Androidi lubade mudelist mööda hiilida.
Vastavalt CNET, uuringut esitleti eelmisel kuul kl PrivaatsusCon pärast seda, kui see avalikustati eelmise aasta septembris nii Google'ile kui ka FTC-le. kuigi FTC veebisaidil avaldatud paber ei loetle täpseid rakendusi, mille meeskond oma analüüsis märgistas (need üksikasjad ilmuvad hiljem aadressil
Kuidas üle 1000 rakenduse Androidi loamudelist mööda läks
Teadlased eristavad kahte erinevat turvalisusest kõrvalehoidmise tehnikat: külgkanalid ja varjatud kanalid. Kõrvalkanali tehnikad hõlmavad juurdepääsu hankimist konkreetsele teabele viisil, mida turvamehhanism ei hõlma; Näiteks said rakendused MAC-aadressi abil jälgida seadme asukohta, kuni Android Pie tutvustas MAC-aadresside juhuslikkust. Varjatud kanali tehnikad hõlmavad kahte teenust, mis teevad koostööd, et saata andmeid ühest teenusest, millel on kehtiv juurdepääs, teisele, millel puudub; näiteks võib rakendus, millele on antud juurdepääs asukohale, jagada neid andmeid rakendusega, millele pole juurdepääsu antud.
ICSI meeskond analüüsis 88 113 kõige populaarsemat Androidi rakendust USA Google Play poest ning avastas üle 1000 rakenduse ja kolmandate osapoolte teegi, mis kasutama Androidi turvameetmetest kõrvalehoidmiseks kõrvalkanaleid ja/või varjatud kanaleid, et pääseda juurde kasutajate asukohaandmetele ja püsivatele identifikaatoritele seadmeid. Nende täielik andmekogum koosnes 252 864 APK-st, kuna meeskond otsis regulaarselt Play poest 88 113 rakenduse uusi versioone, mida nad plaanisid analüüsida. Nad testisid algselt iga rakenduse käitumist a Google Nexus 5X töötab operatsioonisüsteemiga Android 6.0.1 Marshmallow, kuid katsetas hiljem oma tulemusi uuesti a Google Pixel 2 käitavad Android Pie, et tõestada, et nende järeldused olid avalikustamise ajal endiselt kehtivad.
Selle andmekogumiga töötas meeskond välja meetodi, mis kasutab dünaamilist ja staatilist analüüsi, et tuvastada Androidi lubade mudelist kõrvalehoidmine. Teisisõnu uuris meeskond rakenduse käitumist, auditeerides rakenduse käitusaja käitumist (dünaamiline analüüs) või skannides koodi potentsiaalselt pahatahtliku käitumise tuvastamiseks (staatiline analüüs.) Muidugi on pahatahtlikud rakenduste arendajad neist tehnikatest teadlikud, kasutades koodi hägustamise ja dünaamilise koodi laadimise, et muuta staatiline analüüs raskemaks või TLS. pealtkuulamine, et tuvastada, millal rakendus töötab virtualiseeritud keskkonnas, nii et ICSI meeskond kasutas oma staatilist ja dünaamilist analüüsi (hübriidanalüüsi) testimine. Selle tulemusena avastas meeskond, et rakendused, millel polnud nõutavaid õigusi, kraapisid järgmisi andmeid:
- IMEI: kuna IMEI on ainulaadne püsiidentifikaator, on võrguteenustel kasulik üksikuid seadmeid jälgida. Meeskond avastas, et Lõhelised ja Baidu SDK-d kasutasid IMEI lugemiseks varjatud kanalit. IMEI-le seadusliku juurdepääsuga rakendused salvestasid seadme IMEI-d sisaldavale välismällu peidetud faile, et teised seadusliku juurdepääsuta rakendused saaksid IMEI-d lugeda. Sel viisil Baidu SDK-d kasutavad tuvastatud rakendused hõlmavad Disney teemapargirakendusi Hongkongi ja Shanghai jaoks, Samsung Healthi ja Samsungi brauserit.
- Võrgu MAC-aadress: Võrgu MAC-aadress on samuti unikaalne identifikaator ja tavaliselt on see kaitstud loaga ACCESS_NETWORK_STATE. Teadlaste sõnul kasutasid rakendused C++ natiivset koodi, et "kutsuda välja mitmeid valveta UNIX-i süsteemikõnesid". Meeskond tuvastas 42 rakendust, mis kasutavad Unity SDK-d a avamiseks võrgupesa ja ioctl MAC-aadressi saamiseks, kuigi nad märkisid, et 12 408-st rakendusest 748 sisaldasid kõnealust koodi, kuid neil puudus ACCESS_NETWORK_STATE luba.
- Ruuteri MAC-aadress: Luba ACCESS_WIFI_STATE kaitseb BSSID-d, kuid ARP-vahemälu lugemine kaustas /proc/net/arp võimaldab rakendusel need andmed hankida ilma õigusi vajamata. Teadlane tuvastas OpenX SDK kui seda külgkanali tehnikat.
- Geolokatsioon: Teadlased avastasid, et rakendus Shutterfly pääses juurde fotode EXIF-metaandmete asukohamärgenditele. Kõik, mis on vajalik, on READ_EXTERNAL_STORAGE luba.
Android Q-s nõuab Google nüüd, et rakendustel oleks IMEI lugemiseks READ_PRIVILEGED_PHONE_STATE luba. Android Q-d kasutavad seadmed edastavad nüüd vaikimisi juhuslikult valitud MAC-aadresse. Lõpuks Android Q-d Ulatuslik salvestusruum muudatused vähendavad rakenduste võimalust lugeda fotodelt asukohaandmeid. Seega on neid probleeme käsitletud viimases Androidi väljaandes, kuid nagu me kõik teame, tehakse seda võtab päris palju aega uusima värskenduse levitamiseks.
Järeldus
Üldiselt annab see uuring valgustava ülevaate sellest, kuidas mõned rakendused pääsevad juurde andmetele, mida tuleks lubade taga kaitsta. Uuringus vaadeldi ainult alamhulka, mida Google nimetab "ohtlikeks" lubadeks, jättes eriti vahele sellised load nagu Bluetooth, kontaktid ja SMS. Selle aruande täieliku teabe saamiseks soovitan lugeda FTC-le esitatud paber.