基于动态污点跟踪的Android混合应用隐私泄露检测研究

摘要

在当今移动互联网时代，Android智能设备融入到人们生活的方方面面并且被人们重度依赖。大量的个人隐私数据，如联系人、通话记录、短信、照片等保存在其中，人们非常关切个人隐私是否会被泄露。
　　Android原生应用出现时间较早并且软件架构成熟，Android原生应用中的隐私泄露检测问题已有不少研究积累。而随着Android智能设备性能提升、HTML5为代表的移动 Web技术完善以及移动浏览器引擎性能提升，Android混合应用这种新的Android应用软件架构应运而生并日趋流行。Android混合应用软件架构不同于Android原生应用，其中新的隐私泄露方式急需研究。Android混合应用中Java对象与JavaScript对象的桥接机制使得应用能够利用JavaScript代码泄露隐私。当前少有系统能够检测Android混合应用中JavaScript代码访问设备隐私数据并泄露的行为。
　　系统分析了Android混合应用隐私泄露方式和泄露过程中隐私数据在Dalvik虚拟机、WebKit引擎与JavaScript引擎间的传播过程，提出并实现了针对Android混合应用隐私泄露检测的动态污点跟踪系统HTDroid。HTDroid系统复用了TaintDroid系统的Dalvik虚拟机内部动态污点跟踪功能，然后将Dalvik虚拟机内字符串类型的隐私数据的污点标记传播到 WebKit引擎与 JavaScript引擎，并在 WebKit引擎和JavaScript引擎内部实现了污点数据跟踪功能。HTDroid系统能够有效检测 Android混合应用中特有的通过JavaScript代码泄露隐私的行为。HTDroid系统在计算密集型的性能测试中增加22％的开销，而在JavaScript引擎性能测试中只增加4.3%的开销。

目录

声明

声明

中文摘要

英文摘要

目录

1 绪 论

1.1课题研究背景

1.2课题研究的目的和意义

1.3国内外研究现状分析

1.4主要研究内容

1.5论文结构安排

2 Android混合应用隐私泄露方式分析

2.1 Android混合应用架构

2.2 Android混合应用隐私泄露特有方式

2.3本章小结

3 Android混合应用隐私泄露检测系统设计

3.1 TaintDroid系统

3.2 NDroid系统

3.3 Android混合应用隐私泄露检测系统架构

3.4本章小结

4 Android混合应用隐私泄露检测系统实现

4.1 Dalvik虚拟机到WebKit引擎的污点标记传播

4.2 WebKit引擎与JavaScript V8引擎间污点标记传播

4.3 JavaScriptV8引擎内动态污点跟踪实现

4.4本章小结

5 实验与结果分析

5.1实验环境搭建

5.2实验设计

5.3实验结果与分析

5.4本章小结

6. 总结与展望

6.1全文工作总结

6.2未来研究方向

致谢

参考文献

附录1 攻读硕士学位期间参与项目