跨App组件间隐私泄露的检测和防护方法研究

摘要

近年来，随着Android智能设备的流行和普及，越来越多的攻击者将矛头指向该平台上的应用程序，导致用户的隐私泄露问题日益严重。现有的隐私检测系统主要针对App内部的隐私泄露问题，而忽略Android中跨App组件间隐私泄露的问题。针对该问题，本文提出基于数据流分析的隐私泄露检测和防护方法，设计并实现跨App组件间隐私泄露检测和防护系统。实验表明，在81个应用程序中，5组应用程序存在跨App组件间隐私泄露问题;而防护方法能够有效的阻止隐私信息泄露。
　　本文主要从以下四个方面展开研究:
　　(1)针对在构建CFG时，Android应用程序中存在与隐私泄露无关的组件，导致出现路径爆炸的问题，提出一种生成潜在泄露隐私的组件序列的方法。通过分析Android应用程序，提取出可能泄露隐私的App组合，并精简组件间的依赖关系，去除隐私泄露无关的组件，最终生成潜在泄露隐私的组件序列，从而有效解决路径爆炸的问题。
　　(2)针对控制流图精确模拟App运行逻辑的需求，本文提出虚拟主函数(dummyMain)与插桩技术相结合的方法。通过虚拟主函数精确的模拟组件的生命周期，并结合程序插桩技术解决生命周期方法间、回调函数、组件间的代码不可达性问题，达到精确模拟Android应用程序运行逻辑的需求。
　　(3)针对如何防护跨App组件间隐私泄露的问题，本文提出一种基于加密的隐私泄露防护方法。在隐私泄露检测方法的基础上，利用程序插桩技术修改相关组件的代码，保证隐私信息被泄露前，将其替换为对攻击者无效的数据，有效的阻止跨App组件间隐私泄露。
　　(4)设计并实现原型系统。实验结果表明检测模块能够有效的检测隐私泄露问题，同时，防护模块对Android应用程序性能的影响完全在用户可接受的范围内。

目录

声明

摘要

第一章 绪论

1．1 研究背景与意义

1．2 国内外研究现状

1．2．1 静态代码分析

1．2．2 动态代码分析

1．2．3 ICC漏洞

1．3 本文的研究内容

1．4 本文的组织结构

第二章 Android应用程序及其安全机制分析

2．1 Android应用程序的结构及编译过程

2．2 Android组件与生命周期

2．2．1 Android应用程序的核心组件

2．2．2 Activity的生命周期

2．3 Android安全机制

2．4 Android应用程序的隐私泄露

2．4．1 隐私泄露带来的威胁

2．4．2 跨App组件间隐私泄露的原理

2．4．3 跨App组件间隐私泄漏的攻击模型

2．5 本章小结

第三章 跨App组件间隐私泄露检测和防护方法

3．1 跨App组件间隐私泄露的检测与防护概述

3．2 跨App组件间隐私泄露的检测方法

3．2．1 静态分析与动态分析

3．2．2 基于ICC的Android应用程序分类

3．2．3 潜在泄漏隐私的组件序列

3．2．4 精确的控制流图

3．2．5 静态污点分析

3．3 基于加密的隐私泄露防护方法

3．4 本章小结

第四章 跨App组件间隐私泄露检测和防护原型系统(PLDetect)的设计实现

4．1 PLDetect总体设计

4．2 PLDetect实现环境

4．2．1 Soot简介

4．2．2 SuSi简介

4．3 系统设计目标

4．4 跨App组件间隐私泄露检测模块

4．4．1 Android组件exported属性值检测算法

4．4．2 潜在泄漏隐私的组件序列生成算法

4．4．3 插桩修改ICC方法实例

4．4．4 精确的CFG生成实例

4．5 基于加密的隐私泄露防护模块

4．6 本章小结

第五章 系统评测实验与分析

5．1 跨App组件间隐私泄露的检测方法

5．1．1 实验环境与实验用例

5．1．2 触发程序

5．1．3 商业应用

5．2 跨App组件间隐私泄露的防护方法

5．2．1 实验环境与实验用例

5．2．2 实验过程

5．2．3 实验结果

5．2．4 实验结果分析

5．3 定性分析

5．4 本章小结

总结与展望

1．总结

2．展望

参考文献

攻读硕士学位期间取得的科研成果

致谢