[論文レビュー] An Application Package Configuration Approach to Mitigating Android SSL Vulnerabilities

Vasant Tendulkar, William Enck|arXiv (Cornell University)|Oct 28, 2014

Advanced Malware Detection Techniques参考文献 12被引用数 10

ひとこと要約

本論文では、証明書ピンニングやデバッグモードでのSSL検証など、SSL設定をAndroidアプリケーションのマニフェストに直接埋め込むことで、誤設定を低減する手法を提案する。Google PlayのSSLを用いる3,302アプリを対象に評価した結果、57.2%がこのアプローチによって恩恵を受けることができ、不正な証明書検証といった一般的なSSL脆弱性の暴露リスクが顕著に低減される。

ABSTRACT

Computing platforms such as smartphones frequently access Web content using many separate applications rather than a single Web browser application. These applications often deal with sensitive user information such as financial data or passwords, and use Secure Sockets Layer (SSL) to protect it from unauthorized eavesdropping. However, recent studies have confirmed a wide-spread misconfiguration of SSL verification in applications. This paper considers the difficulty faced by Android application developers when modifying SSL code for using common features like pinning or using a self-signed SSL certificate. For example, developing an application that accesses a test Web server with a self-signed certificate requires additional code to remove SSL verification; however, this code is not always removed in production versions of the application. To mitigate vulnerabilities introduced because of the complexity of customizing SSL code in Android applications, we propose that common SSL configuration should be specified in the application's package manifest. We provide two concrete suggestions: 1) linking the application's debug state to SSL verification, and 2) pinning certificates and CAs in the manifest. We evaluate the appropriateness of these two suggestions on over 13,000 applications from Google's Play Store, of which 3,302 use SSL in non-advertisement code, and find that 1,889 (57.20%) of these SSL applications would benefit.

研究の動機と目的

• Androidアプリにおける広範なSSL誤設定がミドルマン攻撃を引き起こすのを是正すること。
• 証明書ピンニングや自己署名証明書の取り扱いといった安全なSSL実装を実施する際の開発者の負担を軽減すること。
• SSL設定をコードからアプリマニフェストに移行するソリューションを提案し、保守性と正しさを向上させること。
• マニフェストベースのSSL設定の実用性と影響を、実世界のAndroidアプリに対して評価すること。

提案手法

• アプリのデバッグモードに応じてSSL検証の挙動をリンクする手法を提案し、開発中は自動的にSSL検証が無効化され、本番環境では有効化されるようにする。
• 証明書ピンニングおよびCA信頼設定をAndroidManifest.xmlファイルに直接埋め込むメカニズムを導入する。
• アプリコードを変更せずに、信頼される証明書やCAを指定できるマニフェストベースの設定システムを設計する。
• Google Playの13,000アプリを対象に静的解析を実施し、広告コード以外でSSLを使用する3,302アプリに焦点を当てる。
• SSL誤設定の発生頻度を分析し、マニフェストベースの設定がどの程度のアプリに恩恵をもたらすかを評価する。
• プロトタイプ実装を用いて、提案されたマニフェストベースの設定モデルの技術的実現可能性を検証する。

実験結果

リサーチクエスチョン

• RQ1 SSL通信に利用するAndroidアプリにおけるSSL誤設定はどの程度広範に見られるか？
• RQ2 マニフェストベースの設定は、Androidアプリにおける不正なSSL実装のリスクをどの程度低減できるか？
• RQ3 AndroidManifest.xmlに証明書ピンニングやデバッグモード検証といったSSLポリシーを埋め込むことで、開発者が安全な実装を遵守するよう促せるか？
• RQ4 実世界のAndroidアプリの何パーセントが、マニフェストベースのSSL設定アプローチを採用することで恩恵を受けるか？
• RQ5 保守性とセキュリティの観点から、現在のコードレベルの設定パターンと比較して、提案されたアプローチはどの程度優れているか？

主な発見

• 広告コード以外でSSLを使用する3,302のAndroidアプリのうち、1,889（57.20%）が、提案されたマニフェストベースのSSL設定アプローチによって恩恵を受ける。
• AndroidアプリにおけるSSL脆弱性の大部分は、誤ったまたは欠落した証明書検証ロジックに起因しており、開発段階で導入され、本番環境では削除されないことが一般的である。
• SSL検証をデバッグフラグにリンクする本手法により、本番ビルドで不正なSSL設定が誤って公開されるリスクを防止できる。
• マニフェストに指定された証明書ピンニングは、攻撃者が偽装する証明書を受け入れないよう保証することで、MITM攻撃のリスクを低減する。
• 本研究では、SSL設定をコードからマニフェストに移行することで、設定エラーの発生確率が低下し、長期的な保守性が向上することを確認した。
• 評価結果から、実世界のAndroidアプリの多くが、不適切なSSL設定により脆弱であることが明らかになった。これにより、プラットフォームレベルでの強化の必要性が浮き彫りになった。