[論文レビュー] ARTist: The Android Runtime Instrumentation and Security Toolkit

Michael Backes, Sven Bugiel+3 more|arXiv (Cornell University)|Jul 22, 2016

Advanced Malware Detection Techniques被引用数 10

ひとこと要約

ARTist は、Android アプリ向けのコンパイラベースのインストルメンテーションツールキットであり、ART ランタイムの dex2oat コンパイラを拡張することで、安全で効率的かつ信頼性の高いアプリケーション層インストルメンテーションを可能にする。最適化バックエンドを活用することで、レガシータイントラッキングおよび権限制御の再実装が可能となり、バイトコードやバイナリリライト手法に比べて優れた統合性と信頼性を提供する。

ABSTRACT

We present ARTist, a compiler-based application instrumentation solution for Android. ARTist is based on the new ART runtime and the on-device dex2oat compiler of Android, which replaced the interpreter-based managed runtime (DVM) from Android version 5 onwards. Since dex2oat is yet uncharted, our approach required first and foremost a thorough study of the compiler suite's internals and in particular of the new default compiler backend Optimizing. We document the results of this study in this paper to facilitate independent research on this topic and exemplify the viability of ARTist by realizing two use cases. Moreover, given that seminal works like TaintDroid hitherto depend on the now abandoned DVM, we conduct a case study on whether taint tracking can be re-instantiated using a compiler-based instrumentation framework. Overall, our results provide compelling arguments for preferring compiler-based instrumentation over alternative bytecode or binary rewriting approaches.

研究の動機と目的

• DVM インタプリタの非推奨化により、Android 5+ における実用的なインストルメンテーションソリューションの欠如に対処すること。
• TaintDroid などのレガシーセキュリティツールを、現代の Android バージョンで再実装可能にする。
• Android の署名ベースセキュリティモデルを保持する、信頼性の高いアプリケーション層インストルメンテーションフレームワークを提供すること。
• バイトコードやバイナリリライト手法と比較して、コンパイラベースのインストルメンテーションの実現可能性と利点を示すこと。
• 以前未踏の領域であった dex2oat および最適化コンパイラバックエンドの内部構造を文書化し、独立した研究を促進すること。

提案手法

• Android 6 以降のデフォルトである、dex2oat コンパイラスイートおよびその最適化バックエンドの包括的なリバース・エンジニアリング研究を実施した。
• 中間表現（IR）および静的プログラム解析を用いて、dex2oat コンパイラにカスタムインストルメンテーションパスを拡張した。
• コンパイラの最適化フレームワークを活用し、意味的正しさを保持したまま、安全にインストルメンテーションコードを挿入した。
• IR およびプログラム構造を用いてインストルメンテーション対象を特定する静的解析パイプラインを設計した。
• 元のアプリケーションの署名を保持し、Android の同一オリジンモデルおよび更新メカニズムとの互換性を維持した。
• コンパイラ支援インストルメンテーションを用いた動的アプリ内タイントラッキングのプロトタイプを実装した。

実験結果

リサーチクエスチョン

• RQ1 現代の ART ランタイムおよびその dex2oat コンパイラに対して、コンパイラベースのインストルメンテーションフレームワークを成功裏に構築できるか？
• RQ2 TaintDroid などのレガシータイントラッキングソリューションが、コンパイラベースのアプローチを用いて Android 5+ で再実装可能か、その範囲はどの程度か？
• RQ3 バイトコードやバイナリリライト手法と比較して、コンパイラベースのインストルメンテーションは、信頼性、統合性、正しさの観点でどのように差をつけるか？
• RQ4 dex2oat コンパイラおよびその最適化バックエンドの内部動作と主な特徴は何か？
• RQ5 フローラッキング、SDK との連携、アプリ間通信の観点から、コンパイラベースのタイントラッキングの限界は何か？

主な発見

• 著者らは、Android セキュリティ研究における重要な知識ギャップを埋める、dex2oat コンパイラスイートおよびその最適化バックエンドに関する、初めての包括的分析を提供した。
• ARTist は、Android 6+ においてアプリケーション内動的タイントラッキングを成功裏に再実装し、DroidBench コールバックで 93% の成功率、全 66 ケースで全体で 81.8% の成功率を達成した。
• プロトタイプは、コンパイラベースのインストルメンテーションがアプリの元の署名を保持し、Android の更新およびセキュリティメカニズムと互換性を保つことを示した。
• 高レベルのプログラム構造および最適化インfra をアクセス可能とする点から、バイトコードやバイナリリライト手法に比べ、信頼性、精度、統合性の観点で ARTist が優れている。
• 限界として、暗黙的フローの不完全な追跡、SDK メソッドを跨ぐ不正確なタイントラバース、アプリ間トラッキングの欠如が挙げられ、今後の拡張が求められる。
• コアイメージ（事前コンパイルされたフレームワーク）へのインストルメンテーションは、システム境界を越えたタイントラバースを向上させる有望な今後の方向性である。