[논문 리뷰] A Study on the Vulnerabilities of Mobiles Apps associated with Software Modules

Takuya Watanabe, Mitsuaki Akiyama외 8명|arXiv (Cornell University)|2017. 02. 10.

Advanced Malware Detection Techniques참고 문헌 24인용 수 3

한 줄 요약

이 대규모 연구는 무료 및 유료 안드로이드 앱 30,000개를 분석하여 소프트웨어 라이브러리와 모바일 앱 취약성 간의 연관성을 조사한다. 연구 결과, 무료 앱의 약 70%와 유료 앱의 약 50%의 취약성이 제3자 라이브러리에서 기인하며, 더 인기 있고 비싼 앱은 코드와 라이브러리 복잡도가 증가함에 따라 더 많은 취약성 수를 보인다.

ABSTRACT

This paper reports a large-scale study that aims to understand how mobile application (app) vulnerabilities are associated with software libraries. We analyze both free and paid apps. Studying paid apps was quite meaningful because it helped us understand how differences in app development/maintenance affect the vulnerabilities associated with libraries. We analyzed 30k free and paid apps collected from the official Android marketplace. Our extensive analyses revealed that approximately 70%/50% of vulnerabilities of free/paid apps stem from software libraries, particularly from third-party libraries. Somewhat paradoxically, we found that more expensive/popular paid apps tend to have more vulnerabilities. This comes from the fact that more expensive/popular paid apps tend to have more functionality, i.e., more code and libraries, which increases the probability of vulnerabilities. Based on our findings, we provide suggestions to stakeholders of mobile app distribution ecosystems.

연구 동기 및 목표

• 특히 제3자 라이브러리가 모바일 앱 취약성에 얼마나 기여하는지 이해한다.
• 무료 및 유료 모바일 애플리케이션 간의 취약성 패턴 차이를 조사한다.
• 앱의 인기와 개발 복잡도가 라이브러리를 통한 취약성 노출에 어떻게 影향을 미치는지 분석한다.
• 실증적 발견 기반으로 모바일 앱 유통 생태계의 이해관계자들에게 실행 가능한 권고 사항을 제공한다.

제안 방법

• 공식 Google Play 스토어에서 무료 및 유료 버전을 포함한 총 30,000개의 안드로이드 앱을 수집하고 분석하였다.
• 정적 및 동적 분석을 수행하여 소프트웨어 라이브러리와 관련된 취약성을 식별하였다.
• 원천에 따라 첫째, 제3자 라이브러리로 나누어 취약성을 분류하였다.
• 앱의 인기, 가격, 기능과 라이브러리 수 및 취약성 밀도 간의 상관관계를 분석하였다.
• 통계적 분석을 통해 앱 유형 간 취약성 비율을 비교하고 추세를 파악하였다.

실험 결과

연구 질문

• RQ1 모바일 앱 취약성의 어느 정도가 제3자 소프트웨어 라이브러리와 관련이 있는가?
• RQ2 무료 및 유료 모바일 애플리케이션 간의 취약성 비율은 어떻게 다를까?
• RQ3 앱의 인기나 가격이 높을수록 더 많은 취약성 수와 상관관계가 있는가?
• RQ4 코드와 라이브러리 복잡도는 모바일 앱에 취약성을 유발하는 데 어떤 역할을 하는가?

주요 결과

• 무료 안드로이드 앱의 약 70%의 취약성이 제3자 소프트웨어 라이브러리에서 기인한다.
• 유료 안드로이드 앱의 약 50%의 취약성이 제3자 라이브러리에서 기인한다.
• 가격이 더 비싸고 인기 있는 유료 앱은 더 큰 기능과 더 큰 코드베이스로 인해 더 많은 취약성을 보인다.
• 고가의 앱에서 라이브러리 수와 코드 라인 수가 증가할수록 보안 결함 발생 확률이 높아진다.
• 제3자 라이브러리는 무료 및 유료 앱 카테고리 전반에서 주요 취약성 원천이다.
• 연구 결과에 따르면 앱 유통 플랫폼과 개발자는 소프트웨어 공급망 내 라이브러리 위험 평가를 우선시해야 한다.