Raziskovalci so ugotovili, da je veliko aplikacij za Android v trgovini Google Play imelo načine, kako zaobiti Androidov model dovoljenj za zbiranje uporabniških podatkov.
Kljub mnenju uporabnikov je Android kot mobilni operacijski sistem dejansko precej varen. Na splošno sprejemamo predpostavko, da je najšibkejši člen uporabnik; Dokler pazite, kaj nameščate in katera dovoljenja dajete, bi morali biti varni pred nepooblaščenim dostopom in distribucijo vaših podatkov. Če aplikaciji za Android zavrnete dostop do vaše lokacije, potem ta aplikacija ne bi smela ugotoviti, kje ste ali kje ste bili. Vendar pa so nekateri razvijalci aplikacij odkrili načine, kako se izogniti modelu dovoljenj Androida, trdijo raziskovalci iz Mednarodnega inštituta za računalništvo (ICSI).
Po navedbah CNET, študijo predstavili prejšnji mesec na PrivacyCon potem ko je bil septembra lani odgovorno razkrit tako Googlu kot FTC. Čeprav je dokument, objavljen na spletni strani FTC ne navaja natančnih aplikacij, ki jih je ekipa označila v svoji analizi (te podrobnosti bodo objavljene pozneje na
Varnostna konferenca Usenix naslednji mesec), zagotavlja podrobnosti o njihovi metodi analize in o tem, kako so aplikacije zaobšle Androidov model dovoljenj. Kolikor je vredno, Google pravi, da varnost in zasebnost spremenita Google je predstavil v sistemu Android Q bo zaprl te obvodne metode, zato ta dokument ponuja dragocen vpogled v Googlove utemeljitve za nekatere spremembe platforme, ki so jih naredili v sistemu Android 10. Potopimo se noter.Kako je >1000 aplikacij zaobšlo Androidov model dovoljenj
Raziskovalci razlikujejo med dvema različnima tehnikama izogibanja varnosti: stranskimi kanali in prikritimi kanali. Tehnike stranskega kanala vključujejo dostop do določenih informacij na način, ki ni zajet v varnostnem mehanizmu; na primer, aplikacije so lahko sledile lokaciji naprave z uporabo naslova MAC, dokler Android Pie ni uvedel naključnega izbiranja naslovov MAC. Tehnike prikritega kanala vključujejo dve storitvi, ki sodelujeta pri pošiljanju podatkov iz ene storitve, ki ima veljaven dostop, do storitve, ki tega nima; na primer, aplikacija, ki ji je bil odobren dostop do lokacije, lahko te podatke deli z aplikacijo, ki ji dostop ni bil odobren.
Ekipa ICSI je analizirala 88.113 najbolj priljubljenih aplikacij za Android iz ameriške trgovine Google Play in odkrila več kot 1000 aplikacij in knjižnic tretjih oseb, ki uporabljajo stranske kanale in/ali prikrite kanale za izogibanje varnostnim ukrepom Androida, da lahko dostopajo do podatkov o lokaciji in trajnih identifikatorjev uporabnikov. naprave. Njihov celoten nabor podatkov je obsegal 252.864 APK-jev, saj je ekipa občasno iskala v Trgovini Play nove različice 88.113 aplikacij, ki jih je nameravala analizirati. Sprva so preizkusili vedenje vsake aplikacije na Google Nexus 5X z operacijskim sistemom Android 6.0.1 Marshmallow, vendar so pozneje znova preizkusili svoje ugotovitve na Google Pixel 2 poganja Android Pie, da bi dokazali, da so bile njihove ugotovitve še vedno veljavne od zadnje izdaje v času razkritja.
S tem naborom podatkov je ekipa razvila metodo, ki uporablja dinamično in statično analizo za odkrivanje izogibanja Androidovemu modelu dovoljenj. Z drugimi besedami, ekipa je preučevala vedenje aplikacije z revidiranjem vedenja med izvajanjem aplikacije (dinamična analiza) ali skeniranjem kode za morebitno zlonamerno vedenje (statična Seveda se razvijalci zlonamernih aplikacij zavedajo teh tehnik, uporabljajo zakrivanje kode in dinamično nalaganje kode, da otežijo statično analizo ali TLS prestrezanje za odkrivanje, kdaj se aplikacija izvaja v virtualiziranem okolju, zato je ekipa ICSI uporabila mešanico statične in dinamične analize (hibridne analize) testiranje. Posledično je ekipa odkrila, da aplikacije, ki niso imele zahtevanih dovoljenj, črpajo naslednje podatke:
- IMEI: Ker je IMEI edinstven, obstojen identifikator, je koristno, da spletne storitve strgajo, da lahko sledijo posameznim napravam. Ekipa je odkrila, da Salmonade in Baidu SDK-ji so uporabljali prikrit kanal za branje IMEI. Aplikacije z zakonitim dostopom do IMEI so shranjevale skrite datoteke v zunanji pomnilnik, ki je vseboval IMEI naprave, tako da so druge aplikacije brez zakonitega dostopa lahko prebrale IMEI. Identificirane aplikacije, ki na ta način uporabljajo Baidujev SDK, vključujejo aplikacije Disneyjevega tematskega parka za Hong Kong in Šanghaj, Samsung Health in Samsung Browser.
- MAC naslov omrežja: Omrežni naslov MAC je tudi edinstven identifikator in je običajno zaščiten z dovoljenjem ACCESS_NETWORK_STATE. Po mnenju raziskovalcev so aplikacije uporabljale izvorno kodo C++ za "priklic številnih nezaščitenih sistemskih klicev UNIX." Ekipa je identificirala 42 aplikacij, ki uporabljajo Unity SDK za odpiranje a omrežno vtičnico in ioctl za pridobitev naslova MAC, čeprav so opazili, da 748 od 12.408 aplikacij vsebuje zadevno kodo, medtem ko nima ACCESS_NETWORK_STATE dovoljenje.
- MAC naslov usmerjevalnika: Dovoljenje ACCESS_WIFI_STATE ščiti BSSID, vendar branje predpomnilnika ARP v /proc/net/arp omogoča aplikaciji, da pridobi te podatke, ne da bi potrebovala kakršna koli dovoljenja. Raziskovalec je identificiral OpenX SDK, ki uporablja to tehniko stranskega kanala.
- Geolokacija: Raziskovalci so odkrili, da je aplikacija Shutterfly dostopala do lokacijskih oznak metapodatkov EXIF fotografij. Vse, kar je potrebno, je dovoljenje READ_EXTERNAL_STORAGE.
V sistemu Android Q Google zdaj zahteva, da imajo aplikacije dovoljenje READ_PRIVILEGED_PHONE_STATE za branje IMEI. Naprave s sistemom Android Q zdaj privzeto prenašajo naključne naslove MAC. Končno Android Q Obseg shranjevanja spremembe ublažijo možnost, da aplikacije berejo podatke o lokaciji s fotografij. Tako so bili ti pomisleki obravnavani v najnovejši različici Androida, a kot vsi vemo, bo traja kar nekaj časa za najnovejšo posodobitev za širjenje.
Zaključek
Na splošno ta študija ponuja jasen vpogled v to, kako nekatere aplikacije dostopajo do podatkov, ki bi morali biti zaščiteni z dovoljenji. Raziskava je preučila samo podmnožico dovoljenj, ki jih Google imenuje "nevarna", zlasti preskakovanje dovoljenj, kot so Bluetooth, stiki in SMS. Za vse podrobnosti o tem poročilu priporočam branje dokument, predložen FTC.