Истраживачи су открили да многе Андроид апликације у Гоогле Плаи продавници имају начине да заобиђу Андроидов модел дозвола за прикупљање корисничких података.
Упркос перцепцији корисника, Андроид је заправо прилично сигуран као мобилни ОС. Генерално прихватамо претпоставку да је најслабија карика корисник; све док гледате шта инсталирате и које дозволе дајете, требало би да будете сигурни од неовлашћеног приступа и дистрибуције ваших података. Ако забраните Андроид апликацији приступ вашој локацији, та апликација не би требало да има начин да открије где сте или где сте били. Међутим, неки програмери апликација су смислили начине да заобиђу Андроидов модел дозволе, тврде истраживачи са Међународног института за рачунарске науке (ИЦСИ).
Према ЦНЕТ, студија је представљена прошлог месеца на ПривациЦон након што је одговорно откривен и Гоогле-у и ФТЦ-у прошлог септембра. иако рад објављен на сајту ФТЦ-а не наводи тачне апликације које је тим означио у својој анализи (ти детаљи ће доћи касније на
Усеник Сецурити конференција следећег месеца), пружа детаље о њиховој методи анализе и како су апликације заобишле Андроидов модел дозвола. Колико год вреди, Гоогле каже да безбедност и приватност мењају тај Гоогле је увео у Андроид К ће затворити ове методе заобилажења, тако да овај рад пружа драгоцен увид у Гоогле-ово оправдање за неке промене платформе које су направили у Андроиду 10. Хајде да заронимо.Како је >1000 апликација заобишло Андроидов модел дозволе
Истраживачи разликују две различите технике заобилажења безбедности: бочне канале и скривене канале. Технике споредног канала укључују добијање приступа одређеним информацијама на начин који није покривен сигурносним механизмом; на пример, апликације су некада могле да прате локацију уређаја користећи МАЦ адресу све док Андроид Пие није увео насумично подешавање МАЦ адресе. Технике прикривеног канала подразумевају две услуге које сарађују да пошаљу податке из једне услуге која има валидан приступ оној која нема; на пример, апликација којој је одобрен приступ локацији може да дели те податке са апликацијом којој није одобрен приступ.
ИЦСИ тим је анализирао 88.113 најпопуларнијих Андроид апликација из Гоогле Плаи продавнице у САД и открио преко 1.000 апликација и библиотека трећих страна које користе споредне канале и/или тајне канале да би заобишли Андроид-ове безбедносне мере како би могли да приступе подацима о локацији и сталним идентификаторима корисника уређаја. Њихов комплетан скуп података састојао се од 252.864 АПК-а пошто је тим периодично прегледавао Плаи продавницу у потрази за новим верзијама 88.113 апликација које су планирали да анализирају. У почетку су тестирали понашање сваке апликације на а Гоогле Некус 5Кс који користе Андроид 6.0.1 Марсхмаллов, али су касније поново тестирали своје налазе на а Гоогле Пикел 2 који користе Андроид Пие како би доказали да су њихови налази још увек важећи од последњег издања у време откривања.
Са овим скупом података, тим је развио метод користећи динамичку и статичку анализу за откривање заобилажења Андроид модела дозвола. Другим речима, тим је проучавао понашање апликације ревидирањем понашања апликације током извршавања (динамичка анализа) или скенирањем кода за потенцијално злонамерно понашање (статичко анализа.) Наравно, програмери злонамерних апликација су свесни ових техника, користећи замагљивање кода и динамичко учитавање кода како би отежали статичку анализу или ТЛС пресретање да би се открило када апликација ради у виртуелизованом окружењу, тако да је ИЦСИ тим користио мешавину статичке и динамичке анализе (хибридна анализа) у својој тестирање. Као резултат тога, тим је открио да апликације које нису имале потребне дозволе бришу следеће податке:
- ИМЕИ: Пошто је ИМЕИ јединствени, постојани идентификатор, корисно је за онлајн сервисе да сцрапе како би могли да прате појединачне уређаје. Тим је открио да је Салмонадс и Баиду СДК-ови су користили прикривени канал за читање ИМЕИ-а. Апликације са легитимним приступом ИМЕИ-ју су чувале скривене датотеке на спољној меморији која садржи ИМЕИ уређаја тако да друге апликације без легитимног приступа могу да читају ИМЕИ. Идентификоване апликације које користе Баидуов СДК на овај начин укључују апликације Дизнијевог тематског парка за Хонг Конг и Шангај, Самсунг Хеалтх и Самсунг Бровсер.
- Мрежна МАЦ адреса: Мрежна МАЦ адреса је такође јединствени идентификатор и обично је заштићена дозволом АЦЦЕСС_НЕТВОРК_СТАТЕ. Према истраживачима, апликације су користиле Ц++ изворни код за „позивање бројних нечуваних УНИКС системских позива“. Тим је идентификовао 42 апликације које користе Унити СДК за отварање а мрежну утичницу и иоцтл за добијање МАЦ адресе, иако су приметили да 748 од 12.408 апликација садржи дотични код док им недостаје АЦЦЕСС_НЕТВОРК_СТАТЕ дозволу.
- МАЦ адреса рутера: Дозвола АЦЦЕСС_ВИФИ_СТАТЕ штити БССИД, али читање АРП кеша у /проц/нет/арп омогућава апликацији да добије те податке без потребе за икаквим дозволама. Истраживач је идентификовао ОпенКс СДК као да користи ову технику бочног канала.
- Геолокација: Истраживачи су открили да апликација Схуттерфли приступа ознакама локације ЕКСИФ метаподатака фотографија. Све што је потребно је дозвола РЕАД_ЕКСТЕРНАЛ_СТОРАГЕ.
У Андроид К-у, Гоогле сада захтева да апликације имају РЕАД_ПРИВИЛЕГЕД_ПХОНЕ_СТАТЕ дозволу да читају ИМЕИ. Уређаји који користе Андроид К сада подразумевано преносе насумичне МАЦ адресе. Коначно, Андроид К-ови Сцопед Стораге промене ублажавају могућност апликација да читају податке о локацији са фотографија. Стога су ове бриге размотрене у најновијем издању Андроида, али као што сви знамо, хоће потрајати доста времена да се најновија исправка шири.
Закључак
Све у свему, ова студија пружа осветљавајући поглед на то како неке апликације приступају подацима који би требало да буду заштићени иза дозвола. Истраживање је посматрало само подскуп дозвола које Гоогле назива „опасним“, посебно прескакање дозвола као што су Блуетоотх, контакти и СМС. За све детаље о овом извештају, препоручујем да прочитате папир достављен ФТЦ-у.