[논문 리뷰] An Empirical Assessment of Security Risks of Global Android Banking Apps

Sen Chen, Lingling Fan외 6명|arXiv (Cornell University)|2018. 05. 14.

Advanced Malware Detection Techniques참고 문헌 39인용 수 13

한 줄 요약

이 논문은 정적 분석과 민감한 키워드 검출을 결합한 세 단계 자동화 시스템인 Ausera를 제안한다. 이는 글로벌 안드로이드 뱅킹 앱의 데이터 관련 보안 취약점을 식별하기 위한 것으로, 83개국에서 온 693개 앱에서 총 2,157개의 취약점을 발견하였다. 21개 은행이 보고된 문제들 중 126개를 확인하고 수정하였으며, 이는 오래된 컴포넌트와 열악한 패치 관리 관행으로 인한 체계적 위험을 드러낸다.

ABSTRACT

Mobile banking apps, belonging to the most security-critical app category, render massive and dynamic transactions susceptible to security risks. Given huge potential financial loss caused by vulnerabilities, existing research lacks a comprehensive empirical study on the security risks of global banking apps to provide useful insights and improve the security of banking apps. Since data-related weaknesses in banking apps are critical and may directly cause serious financial loss, this paper first revisits the state-of-the-art available tools and finds that they have limited capability in identifying data-related security weaknesses of banking apps. To complement the capability of existing tools in data-related weakness detection, we propose a three-phase automated security risk assessment system, named AUSERA, which leverages static program analysis techniques and sensitive keyword identification. By leveraging AUSERA, we collect 2,157 weaknesses in 693 real-world banking apps across 83 countries, which we use as a basis to conduct a comprehensive empirical study from different aspects, such as global distribution and weakness evolution during version updates. We find that apps owned by subsidiary banks are always less secure than or equivalent to those owned by parent banks. In addition, we also track the patching of weaknesses and receive much positive feedback from banking entities so as to improve the security of banking apps in practice. To date, we highlight that 21 banks have confirmed the weaknesses we reported. We also exchange insights with 7 banks, such as HSBC in UK and OCBC in Singapore, via in-person or online meetings to help them improve their apps. We hope that the insights developed in this paper will inform the communities about the gaps among multiple stakeholders, including banks, academic researchers, and third-party security companies.

연구 동기 및 목표

• 글로벌 안드로이드 뱅킹 앱의 보안 위험, 특히 데이터 관련 취약점에 대한 종합적인 실증 연구의 부족을 해결하기 위해.
• 기존 도구가 거짓 긍정을 유발하고 뱅킹 앱 전용 분석이 부족하기 때문에 탐지되지 않는 핵심 보안 격차를 식별하기 위해.
• 학술 연구와 산업 간 격차를 해소하기 위해 책임감 있는 공개 및 은행과의 협업을 가능하게 하기 위해.
• 취약점의 글로벌 분포와 앱 버전 및 제3자 라이브러리의 변화에 따른 취약점의 진화를 분석하기 위해.
• 자동화된 탐지 기법이 실제 금융 손실로 이어지는 보안 결함을 얼마나 효과적으로 식별하는지 평가하기 위해.

제안 방법

• 정적 프로그램 분석과 민감한 키워드 식별을 융합한 세 단계 자동화 시스템인 Ausera를 개발하여 데이터 관련 보안 취약점을 탐지한다.
• 다양한 시장에서 83개국의 실제 안드로이드 뱅킹 앱 총 693개를 수집하여, 이러한 분석을 위한 가장 큰 알려진 데이터셋을 구성한다.
• SMS를 통한 데이터 泄露, 비민감한 저장, 잘못된 암호화 사용 등 뱅킹 앱 전용으로 정의된 데이터 관련 보안 취약점의 포괄적 분류 체계를 수립한다.
• 기존에 알려진 취약성 패tern(예: SSL/TLS 오용, 암호화 규칙 위반)을 Ausera의 탐지 논리에 통합하여 정확도를 향상시킨다.
• 정적 분석을 통해 데이터 흐름을 추적하고 암호문자, 개인 정보, 인증 토큰과 같은 민감한 데이터의 비안전한 처리를 탐지한다.
• 은행과의 책임감 있는 공개 및 협업을 통해 결과를 검증하며, HSBC 및 OCBC와 같은 기관과의 현장 및 온라인 회의를 포함한다.

실험 결과

연구 질문

• RQ1 다양한 국가와 은행 기관 간에 글로벌 안드로이드 뱅킹 앱에서 데이터 관련 보안 취약점의 보편성과 분포는 어떠한가?
• RQ2 뱅킹 앱의 다양한 버전에서 보안 취약점은 어떻게 진화하는가? 그리고 오래된 제3자 라이브러리가 취약점을 유발하는 데 어떤 역할을 하는가?
• RQ3 기존 자동화 도구들이 뱅킹 앱 전용 보안 취약점을 탐지하는 데 얼마나 비효율한가? Ausera는 이를 어떻게 향상시켰는가?
• RQ4 은행들은 보고된 보안 취약점을 얼마나 효과적으로 식별하고 수정하는가? 그리고 그 응답과 수정 기간에 영향을 미치는 요인은 무엇인가?
• RQ5 뱅킹 앱에서 가장 흔한 데이터 관련 보안 취약점의 유형은 무엇이며, 이를 통해 어떤 금융 위험이 발생하는가?

주요 결과

• Ausera는 83개국에서 온 693개의 실제 안드로이드 뱅킹 앱에서 총 2,157개의 보안 취약점을 탐지하였으며, 이는 유사한 연구 중 가장 큰 실증 연구이다.
• 모든 자회사 은행이 모회사 은행보다 보안 수준이 떨어지는 경향을 보이며, 개발 및 보안 관행의 격차가 존재함을 시사한다.
• 오래된 뱅킹 앱 버전과 제3자 라이브러리가 악용되기 쉬웠으며, 많은 취약점들이 오랜 기간 동안 수정되지 않은 채로 남아 있었다.
• 21개 은행이 보고된 취약점을 확인하였고, 그 중 126개의 취약점이 수정되었으며, 이는 책임감 있는 공개 및 협업의 효과성을 입증한다.
• HSBC(영국) 및 OCBC(싱가포르)와 같은 은행들이 연구 결과를 바탕으로 앱 보안 향상을 위해 현장 및 온라인 회의에 참여하여 실질적인 산업 영향을 보였다.
• 기존 도구인 QARK, AndroBugs, MobSF는 높은 거짓 긍정 비율을 보이며, 특히 데이터 泄露 및 암호화 오용에 대해 특화된 분석이 부족하여 효과적이지 않다는 것이 드러났다.