A kutatók azt találták, hogy a Google Play Áruház számos Android-alkalmazása képes megkerülni az Android engedélymodelljét a felhasználói adatok gyűjtésére.
A felhasználói felfogás ellenére az Android mobil operációs rendszerként meglehetősen biztonságos. Általában elfogadjuk azt a feltevést, hogy a leggyengébb láncszem a felhasználó; mindaddig, amíg figyeli, hogy mit telepít, és milyen engedélyeket ad, biztonságban kell lennie az adataihoz való jogosulatlan hozzáféréssel és terjesztéssel szemben. Ha megtagadja egy Android-alkalmazás hozzáférését a tartózkodási helyéhez, akkor az alkalmazásnak nem szabadna tudnia, hogy hol tartózkodik vagy hol volt. A Nemzetközi Számítástechnikai Intézet (ICSI) kutatói szerint azonban néhány alkalmazásfejlesztő kitalálta, hogyan lehet megkerülni az Android engedélymodelljét.
Alapján CNET, a tanulmányt a múlt hónapban mutatták be PrivacyCon miután tavaly szeptemberben felelősségteljesen nyilvánosságra hozták a Google-nak és az FTC-nek is. Habár a az FTC honlapján közzétett közlemény
nem sorolja fel pontosan azokat az alkalmazásokat, amelyeket a csapat megjelölt az elemzésében (ezek a részletek később lesznek elérhetők Usenix Security konferencia jövő hónapban), részleteket közöl az elemzési módszerükről és arról, hogy az alkalmazások hogyan kerülték meg az Android engedélymodelljét. A Google szerint a biztonság és az adatvédelem megváltoztatja, amit megér bevezették az Android Q-ban lezárja ezeket a megkerülési módszereket, így ez a cikk értékes betekintést nyújt a Google indoklásaiba az Android 10 rendszerben végrehajtott egyes platformmódosítások kapcsán. Merüljünk el.Hogyan kerülte több mint 1000 alkalmazás az Android engedélymodelljét?
A kutatók két különböző biztonsági megkerülési technikát különböztetnek meg: az oldalcsatornákat és a rejtett csatornákat. Az oldalsó csatornás technikák bizonyos információkhoz való hozzáférést foglalják magukban olyan módon, amelyet a biztonsági mechanizmus nem fed le; Például az alkalmazások korábban a MAC-cím alapján tudták nyomon követni az eszköz helyét, amíg az Android Pie be nem vezette a MAC-címek véletlenszerűsítését. A rejtett csatornás technikák két szolgáltatást foglalnak magukban, hogy adatokat küldjenek egy olyan szolgáltatásból, amely érvényes hozzáféréssel rendelkezik egy olyan szolgáltatáshoz, amelyik nem; például egy alkalmazás, amelynek helyhozzáférést kapott, megoszthatja ezeket az adatokat egy olyan alkalmazással, amely nem kapott hozzáférést.
Az ICSI csapata 88 113 legnépszerűbb Android-alkalmazást elemzett az Egyesült Államok Google Play Áruházából, és több mint 1000 alkalmazást és harmadik féltől származó könyvtárat fedezett fel, amelyek mellékcsatornákat és/vagy rejtett csatornákat alkalmaznak az Android biztonsági intézkedéseinek megkerülésére, hogy hozzáférhessenek a felhasználók helyadataihoz és állandó azonosítóihoz eszközöket. A teljes adatkészletük 252 864 APK-ból állt, mióta a csapat időről időre kikaparta a Play Áruházból az elemezni tervezett 88 113 alkalmazás új verzióit. Kezdetben minden egyes alkalmazás viselkedését tesztelték a Google Nexus 5X Android 6.0.1 Marshmallow rendszert futtattak, de később újra tesztelték az eredményeket a Google Pixel 2 Android Pie-t futtatva, hogy bebizonyítsák, megállapításaik a legfrissebb kiadáskor még érvényesek voltak a közzététel időpontjában.
Ezzel az adatkészlettel a csapat dinamikus és statikus elemzést használó módszert fejlesztett ki az Android engedélymodelljének megkerülésének észlelésére. Más szavakkal, a csapat az alkalmazás viselkedését az alkalmazás futásidejű viselkedésének auditálásával (dinamikus elemzés) vagy a kód esetleges rosszindulatú viselkedésének (statikus) vizsgálatával vizsgálta. elemzés.) Természetesen a rosszindulatú alkalmazások fejlesztői tisztában vannak ezekkel a technikákkal, mivel kódzavarás és dinamikus kódbetöltés segítségével nehezítik a statikus elemzést vagy a TLS-t. lehallgatás annak észlelésére, ha az alkalmazás virtualizált környezetben fut, ezért az ICSI csapata statikus és dinamikus elemzés (hibrid elemzés) keverékét alkalmazta. tesztelés. Ennek eredményeként a csapat felfedezte, hogy a következő adatokat kaparják le olyan alkalmazások, amelyek nem rendelkeznek a szükséges engedélyekkel:
- IMEI: Mivel az IMEI egy egyedi, állandó azonosító, hasznos az online szolgáltatások számára, hogy lekaparják az egyes eszközöket. A csapat felfedezte, hogy a Lazacok és Baidu Az SDK-k titkos csatornát használtak az IMEI olvasásához. Az IMEI-hez jogos hozzáféréssel rendelkező alkalmazások rejtett fájlokat tároltak az eszköz IMEI-kódját tartalmazó külső tárolón, hogy a jogos hozzáféréssel nem rendelkező alkalmazások elolvashassák az IMEI-t. A Baidu SDK-t ilyen módon használó azonosított alkalmazások közé tartoznak a Disney vidámpark-alkalmazásai Hongkonghoz és Sanghajhoz, a Samsung Health és a Samsung Browser.
- Hálózati MAC-cím: A hálózati MAC-cím egyben egyedi azonosító is, és általában az ACCESS_NETWORK_STATE engedély védi. A kutatók szerint az alkalmazások C++ natív kódot használtak, hogy "számos, nem védett UNIX rendszerhívást hívjanak meg". A csapat 42 olyan alkalmazást azonosított, amelyek a Unity SDK-t használják a megnyitáshoz hálózati aljzat és egy ioctl a MAC-cím megszerzéséhez, bár megjegyezték, hogy a 12 408 alkalmazásból 748 tartalmazta a kérdéses kódot, miközben hiányzott az ACCESS_NETWORK_STATE engedély.
- Router MAC címe: Az ACCESS_WIFI_STATE engedély védi a BSSID-t, de az ARP-gyorsítótár beolvasása a /proc/net/arp fájlban lehetővé teszi az alkalmazás számára, hogy engedélyek nélkül szerezze be ezeket az adatokat. A kutató azonosította a OpenX Az SDK ezt az oldalcsatorna technikát használja.
- Földrajzi elhelyezkedés: A kutatók felfedezték, hogy a Shutterfly alkalmazás hozzáfér a fotók EXIF-metaadatainak helycímkéihez. Csak a READ_EXTERNAL_STORAGE engedély szükséges.
Az Android Q rendszerben a Google megköveteli, hogy az alkalmazások rendelkezzenek a READ_PRIVILEGED_PHONE_STATE engedéllyel az IMEI olvasásához. Az Android Q-t futtató eszközök alapértelmezés szerint véletlenszerű MAC-címeket továbbítanak. Végül az Android Q-k Hatékony tárolás A változtatások csökkentik az alkalmazások azon képességét, hogy kiolvassák a helyadatokat a fényképekről. Így ezekkel az aggályokkal a legújabb Android-kiadás foglalkozott, de mint mindannyian tudjuk, ez így lesz elég sokáig tart hogy a legújabb frissítés elterjedjen.
Következtetés
Összességében ez a tanulmány szemléletes képet ad arról, hogy egyes alkalmazások hogyan férnek hozzá az engedélyek mögött védendő adatokhoz. A kutatás csak egy részét vizsgálta a Google által "veszélyesnek" nevezett engedélyeknek, nevezetesen az olyan engedélyek átugrását, mint a Bluetooth, a névjegyek és az SMS. A jelentés teljes részleteiért javaslom, hogy olvassa el a az FTC-hez benyújtott papír.