[論文レビュー] AdSplit: Separating smartphone advertising from applications

Shashi Shekhar, Michael Dietz+1 more|arXiv (Cornell University)|Feb 17, 2012

Advanced Malware Detection Techniques参考文献 33被引用数 154

ひとこと要約

AdSplit は、広告を別個のプロセスで実行し、異なるユーザーIDを用いることでスマートフォン広告をホストアプリケーションから分離するシステムであり、権限の過剰請求を解消し、広告インタラクションのリモート検証を可能にする。実行時オーバーヘッドを最小限に抑え、HTMLベースの広告をサポートすることで、信頼性とプライバシーのリスクを低減し、セキュリティとユーザーエクスペリエンスを向上させる。

ABSTRACT

A wide variety of smartphone applications today rely on third-party advertising services, which provide libraries that are linked into the hosting application. This situation is undesirable for both the application author and the advertiser. Advertising libraries require additional permissions, resulting in additional permission requests to users. Likewise, a malicious application could simulate the behavior of the advertising library, forging the user's interaction and effectively stealing money from the advertiser. This paper describes AdSplit, where we extended Android to allow an application and its advertising to run as separate processes, under separate user-ids, eliminating the need for applications to request permissions on behalf of their advertising libraries. We also leverage mechanisms from Quire to allow the remote server to validate the authenticity of client-side behavior. In this paper, we quantify the degree of permission bloat caused by advertising, with a study of thousands of downloaded apps. AdSplit automatically recompiles apps to extract their ad services, and we measure minimal runtime overhead. We also observe that most ad libraries just embed an HTML widget within and describe how AdSplit can be designed with this in mind to avoid any need for ads to have native code.

研究の動機と目的

• 第三者広告ライブラリが過剰なユーザー権限を要求するため、Androidアプリケーションにおける権限の過剰請求を解消すること。
• クリック詐欺を防止し、広告主が正確なパフォーマンスデータを受信できるように、広告インタラクションのリモート検証を可能にすること。
• 広告ロジックをメインアプリケーションから分離することで、障害の分離とユーザープライバシーを向上させること。
• 安全で隔離された広告実行を可能にすることで、アプリが機微なユーザーデータを収集するインcentiveを減らすこと。

提案手法

• Androidを拡張し、アプリケーションとその広告コンponentsを別個のプロセスとして、異なるユーザーIDで実行する。
• Quireのメカニズムを活用して、クライアント側の広告インタラクションを検証し、悪意あるアプリによる偽装を防止する。
• バイナリリライタを用いて、レガシーなアプリを自動的に再コンパイルし、広告ライブラリを抽出・分離する。
• HTMLベースの広告を設計することで、ネイティブコードを避けることで、最小限のシステム統合でウェブライクな実行を実現する。
• AndroidのIPCおよびプロセス分離機能を活用し、アプリと広告の間でセキュリティ境界を強制する。
• TaintDroidのような動的タンパリング分析システムと統合し、広告コンponentsへの機微なデータ漏洩を検出および防止する。

実験結果

リサーチクエスチョン

• RQ1 広告ライブラリは、Androidアプリケーションにおける権限の過剰請求にどの程度寄与しているか？
• RQ2 ホストアプリケーションを信頼しない状態で、リモートサーバーが広告インタラクションを安全に検証できるか？
• RQ3 Android上で広告を別個のプロセスに隔離した場合のパフォーマンスオーバーヘッドはどの程度か？
• RQ4 レガシーなAndroidアプリを、隔離された広告アーキテクチャに自動的に適合できるか？
• RQ5 ネイティブコードではなく、ウェブテクノロジ（HTML/JS）を用いて広告機能を完全に実装できるか？

主な発見

• 分析対象の10,000個のAndroidアプリのうち、35％が2つ以上の広告ライブラリを使用しており、権限要求が顕著に増加している。
• 多くの広告ライブラリは、ドキュメントに記載されたものよりも多くの権限を要求しており、バージョン間で権限セットが異なるため、権限の過剰請求が悪化している。
• AdSplitは、広告ライブラリが自らの権限を独立して要求できるようにすることで、メインアプリに負担をかけずに権限の過剰請求を削減する。
• システムは最小限の実行時オーバーヘッドを達成しており、ベンチマークテストではパフォーマンスへの影響が無視できるほど小さい。
• 多くの広告ライブラリがHTMLウィジェットを埋め込んでいるため、AdSplitのウェブベースで非ネイティブな実行モデルに適している。
• AdSplitはQuireを介してUIイベントのリモート検証を可能にし、悪意あるアプリによる広告クリックやインプレッションの偽装を防止する。