[論文レビュー] Research on Third-Party Libraries in AndroidApps: A Taxonomy and Systematic LiteratureReview

Xian Zhan, Tianming Liu+5 more|arXiv (Cornell University)|Aug 9, 2021

Advanced Malware Detection Techniques参考文献 112被引用数 14

ひとこと要約

本稿は、2012年から2020年までの74件の研究を分析することで、Androidアプリにおけるサードパーティライブラリ（TPL）研究の最初の体系的文献レビュー（SLR）を提示する。TPL研究の4次元分類法を提案し、主な手法、制限事項、未解決の課題を特定し、TPLのセキュリティ、プライバシー、保守に関する今後の研究を支援する包括的な概要を提供する。

ABSTRACT

Third-party libraries (TPLs) have been widely used in mobile apps, which play an essential part in the entire Android ecosystem. However, TPL is a double-edged sword. On the one hand, it can ease the development of mobile apps. On the other hand, it also brings security risks such as privacy leaks or increased attack surfaces (e.g., by introducing over-privileged permissions) to mobile apps. Although there are already many studies for characterizing third-party libraries, including automated detection, security and privacy analysis of TPLs, TPL attributes analysis, etc., what strikes us odd is that there is no systematic study to summarize those studies' endeavors. To this end, we conduct the first systematic literature review on Android TPL-related research. Following a well-defined systematic literature review protocol, we collected 74 primary research papers closely related to the Android third-party library from 2012 to 2020. After carefully examining these studies, we designed a taxonomy of TPL-related research studies and conducted a systematic study to summarize current solutions, limitations, challenges and possible implications of new research directions related to third-party library analysis. We hope that these contributions can give readers a clear overview of existing TPL-related studies and inspire them to go beyond the current status quo by advancing the discipline with innovative approaches.

研究の動機と目的

• Androidアプリにおけるサードパーティライブラリ（TPL）に関する既存研究の包括的統合が不足しているという問題を解決すること。
• Androidエコシステム内におけるTPL分析に関する主な研究分野、手法、課題を特定および分類すること。
• 今後の研究を支援し、現在の制限事項の理解を深めるために、TPL関連研究の構造的分類法を提供すること。
• 未解決の課題を浮き彫りにし、モバイルセキュリティおよびソフトウェア工学分野におけるTPL分析の進展を促す新たな研究方向性を提案すること。

提案手法

• 2012年から2020年までのAndroid TPLに関する74件の主要研究論文を収集・分析するため、明確に定義されたプロトコルに従った体系的文献レビュー（SLR）を実施した。
• 研究目的、背景、応用分野、手法の4次元に基づいてTPL研究の分類法を開発した。
• TPL検出、セキュリティおよびプライバシー分析、脆弱性検出、依存関係の衝突解消などのテーマに分類して研究を整理した。
• 研究間の比較分析を実施し、手法、ツール、評価戦略の有効性を評価した。
• パッケージ名マッチングに依存するなど、繰り返し現れる制限事項（例：オブフスケーションの影響、脆弱なTPLのパッチ適用の遅延）を同定した。
• 現在の文献におけるギャップに基づき、主要な知見を統合し、今後の研究方向性を提案した。

実験結果

リサーチクエスチョン

• RQ1 2012年から2020年までのAndroidアプリにおけるサードパーティライブラリ分析の主な研究分野およびテーマは何か？
• RQ2 TPL検出、セキュリティ分析、脆弱性評価において一般的に用いられる手法とツールは何か？
• RQ3 検出精度と実世界への適用可能性に関して、既存のTPL研究における主な制限事項と課題は何か？
• RQ4 現在の研究は、TPLに起因するプライバシー漏洩、過剰な権限、依存関係の衝突をどのように対処しているか？
• RQ5 AndroidにおけるTPL分析分野における未解決の課題と今後の研究方向性は何か？

主な発見

• Google Play上のアプリの約51％がGoogle Firebaseなどのアナリティクスライブラリを含み、60％以上のアプリコードがサードパーティライブラリに起因している。
• TPLは、プライバシー漏洩、過剰な権限、パッチ適用の遅延に起因するサプライチェーン脆弱性など、顕著なセキュリティリスクを引き起こす。
• 多くの既存のTPL検出手法はパッケージ名マッチングに依存しており、オブフスケーションが適用されると検出精度が低下する。
• 深刻なセキュリティ問題が判明しているにもかかわらず、多くのアプリが古く、脆弱なTPLを引き続き使用しており、攻撃面が拡大している。
• TPLはアプリ解析タスク（例：リパッケージ検出）に干渉する場合があり、不完全で誤りの多いホワイトリストベースのフィルタリングが必要となる。
• 広範な研究がなされているにもかかわらず、分野全体として統一された分類法や体系的概要が不足しており、本稿は包括的なSLRと4次元分類によりこれを解決した。