[論文レビュー] SCLib: A Practical and Lightweight Defense against Component Hijacking in Android Applications

Daoyuan Wu, Yao Cheng+3 more|arXiv (Cornell University)|Jan 13, 2018

Advanced Malware Detection Techniques参考文献 39被引用数 5

ひとこと要約

SCLibは、ファームウェareの変更やアプリの再パッケージ化を必要とせず、Androidアプリ内のコンponentハイジャックを防ぐための軽量でライブラリベースの防御です。アプリ内での必須アクセス制御を実装し、0.3%未満のコードオーバーヘッドと5%未満のパフォーマンス遅延で、10個のオープンソースアプリに含まれる35の危険なコンponentを保護しました。実用的なセキュリティを、最小限のランタイムコストで実現しています。

ABSTRACT

Cross-app collaboration via inter-component communication is a fundamental mechanism on Android. Although it brings the benefits such as functionality reuse and data sharing, a threat called component hijacking is also introduced. By hijacking a vulnerable component in victim apps, an attack app can escalate its privilege for operations originally prohibited. Many prior studies have been performed to understand and mitigate this issue, but no defense is being deployed in the wild, largely due to the deployment difficulties and performance concerns. In this paper we present SCLib, a secure component library that performs in-app mandatory access control on behalf of app components. It does not require firmware modification or app repackaging as in previous works. The library-based nature also makes SCLib more accessible to app developers, and enables them produce secure components in the first place over fragmented Android devices. As a proof of concept, we design six mandatory policies and overcome unique implementation challenges to mitigate attacks originated from both system weaknesses and common developer mistakes. Our evaluation using ten high-profile open source apps shows that SCLib can protect their 35 risky components with negligible code footprint (less than 0.3% stub code) and nearly no slowdown to normal intra-app communications. The worst-case performance overhead to stop attacks is about 5%.

研究の動機と目的

• 悪意あるアプリが不正なアプリ間通信を悪用して特権を昇格させるという、Androidにおける持続的なセキュリティ脅威に対処すること。
• OSレベルの変更やアプリの再パッケージ化を必要とする従来の防御手法の限界を克服し、実世界での展開を妨げないこと。
• ソースコードの変更や再コンパイルを除き、通常のアップデートと同様の手順で既存のAndroidアプリにシームレスに統合できる、実用的で開発者フレンドリーなソリューションを提供すること。
• システムレベルの弱みと一般的な開発者ミスの両方に対する強力な保護を確保しながら、パフォーマンスのオーバーヘッドを最小限に抑えること。

提案手法

• SCLibは、個々のコンponentの代わりに動作するセキュアなコンponentライブラリとして実装され、アプリレベルでの必須アクセス制御を強制します。
• 6つの事前に定義された必須ポリシーを用いて、システムの脆弱性や開発者ミスに起因するハイジャック試行を検出・ブロックします。
• 通常のアプリ内通信においてはBinder分析とコールャーIDの検証を実施し、最小限の遅延を発生させます。
• Providerに対しては、SQL文字列フィルタリングを追加し、インジェクション攻撃を防止しますが、パフォーマンスへの影響は無視できるほどです。
• 実行時におけるマニフェスト分析とポリシー評価により、不正なアプリ間コンponentアクセスを検出・ブロックします。
• 最悪ケースでは10msの遅延を伴うユーザーアラートダイアログをトリガーし、ユーザの注意喚起を図りつつ、使いやすさへの影響は最小限に抑えます。

実験結果

リサーチクエスチョン

• RQ1 OSの変更やアプリの再パッケージ化を要せず、ライブラリベースのアプローチでAndroidにおけるコンponentハイジャックを効果的に防御できるか？
• RQ2 パフォーマンスオーバーヘッドを最小限に抑えながら、既存のAndroidアプリに効率的に必須アクセス制御を統合できるか？
• RQ3 SCLibの影響は、通常のアプリ内通信および既知のハイジャック攻撃ベクトルの防止にどのように現れるか？
• RQ4 SCLibは、システムレベルの弱みと一般的な開発者ミスの両方に対する保護を実現できるか？
• RQ5 SCLibは、実世界のAndroidアプリにおいて、セキュリティ、パフォーマンス、使いやすさのバランスをどのようにとるか？

主な発見

• SCLibは、10の高知名度のオープンソースAndroidアプリに含まれる35の危険なコンponentを保護し、コードフットプリントの増加は0.3%未満でした。
• 通常のアプリ内通信における平均パフォーマンスオーバーヘッドは、Activityで1.88%、Providerで2.22%にとどまり、SQLインジェクションフィルタリングへの影響は無視できるほど小さいです。
• アラートダイアログのトリガーを含む最悪ケースのパフォーマンスオーバーヘッドは、Activityで約4.42%、Providerで3.71%でした。
• マニフェスト分析とポリシー評価は、それぞれ最悪ケースで0.29msおよび0.401msのオーバーヘッドを追加し、これは非常に小さい値です。
• SCLibのアプローチは実用的で展開可能であり、アプリの検証や互換性を損なわず、再コンパイル（Androidアプリの更新で一般的な手順）のみで実現可能です。
• SCLibは、システムの弱みと開発者ミスの両方からのハイジャック攻撃を効果的に緩和でき、使いやすさへの影響を最小限に抑えるために、最も脆弱なコンponentに焦点を当てた保護を実現しています。