[논문 리뷰] An Empirical Study on Android-related Vulnerabilities

Mario Linares‐Vásquez, Gabriele Bavota외 1명|arXiv (Cornell University)|2017. 04. 11.

Advanced Malware Detection Techniques참고 문헌 30인용 수 5

한 줄 요약

이 논문은 660개의 안드로이드 관련 취약성에 대한 대규모 실증 연구를 제시하며, 이들의 유형, 영향을 받는 OS 계층, 그리고 생존 기간을 분석한다. 보안 브리핑과 버전 제어 데이터의 수동 및 자동 분석을 통해 메모리 버퍼 오버플로우와 입력 검증 결함이 주요 원인임을 규명하고, 커널과 네이티브 라이브러리가 가장 취약한 계층임을 발견하며, 평균적으로 취약성이 수정되기까지 약 724일 동안 지속됨을 확인한다. 이는 모바일 OS 개발 분야에서 보다 나은 탐지 도구와 안전한 프로그래밍 관행이 필요하다는 점을 시사한다.

ABSTRACT

Mobile devices are used more and more in everyday life. They are our cameras, wallets, and keys. Basically, they embed most of our private information in our pocket. For this and other reasons, mobile devices, and in particular the software that runs on them, are considered first-class citizens in the software-vulnerabilities landscape. Several studies investigated the software-vulnerabilities phenomenon in the context of mobile apps and, more in general, mobile devices. Most of these studies focused on vulnerabilities that could affect mobile apps, while just few investigated vulnerabilities affecting the underlying platform on which mobile apps run: the Operating System (OS). Also, these studies have been run on a very limited set of vulnerabilities. In this paper we present the largest study at date investigating Android-related vulnerabilities, with a specific focus on the ones affecting the Android OS. In particular, we (i) define a detailed taxonomy of the types of Android-related vulnerability; (ii) investigate the layers and subsystems from the Android OS affected by vulnerabilities; and (iii) study the survivability of vulnerabilities (i.e., the number of days between the vulnerability introduction and its fixing). Our findings could help OS and apps developers in focusing their verification & validation activities, and researchers in building vulnerability detection tools tailored for the mobile world.

연구 동기 및 목표

• 안드로이드 OS에 영향을 주는 취약성의 유형과 근본 원인을 이해하기 위해.
• 안드로이드 OS의 아키텍처 계층과 서브시스템 중에서 취약성에 가장 자주 영향을 받는 요소를 특정하기 위해.
• 안드로이드 코드베이스 전반에서 취약성의 생존 기간(유입 시점에서 수정 시점까지의 시간)을 측정하여 분석하기 위해.
• 개발자와 연구자가 보안을 향상시키는 데 도움이 되는 세부적인 취약성 분류 체계를 제공하기 위해.
• 모바일 플랫폼에 특화된 자동화된 취약성 탐지 도구 설계에 정보를 제공하기 위해.

제안 방법

• 공식 안드로이드 보안 브리핑, CVE-details, National Vulnerability Database에서 유래한 660개의 취약성에 대한 수동 분석.
• 세부적인 취약성 유형 계층을 정의하기 위해 공통 약약 요소(CWE) 분류 체계를 사용한 취약성 분류.
• 커밋 기록과 취약성 보고서 분석을 통해 영향을 받는 안드로이드 OS 계층과 서브시스템 식별.
• SZZ 알고리즘을 적용하여 취약성 유입 커밋과 수정 커밋을 식별함으로써 생존 기간 추정.
• SZZ 알고리즘의 오류 발생 가능성을 줄이고 정확도를 높이기 위해 최소 및 최대 생존 기간 추정치를 사용.
• 분류 및 생존 기간 추정의 정확도를 확보하기 위해 일부 취약성에 대해 수동 검증 수행.

실험 결과

연구 질문

• RQ1 안드로이드 OS에 영향을 주는 취약성의 주요 유형과 계층적 관계는 무엇인가? 특히 안드로이드 OS에 영향을 주는 취약성에 대해.
• RQ2 안드로이드 OS 내부에서 보안 취약성에 가장 자주 영향을 받는 계층과 서브시스템은 무엇인가?
• RQ3 안드로이드 관련 취약성은 일반적으로 수정되기 전까지 코드베이스에 얼마나 오래 존재하는가?
• RQ4 안드로이드 OS의 저수준 컴포넌트에서 취약성의 주요 근본 원인은 무엇인가?
• RQ5 연구 결과는 안전한 프로그래밍 관행과 자동화된 취약성 탐지 도구 개발에 어떻게 기여할 수 있는가?

주요 결과

• 가장 흔한 취약성 유형은 메모리 버퍼 경계를 올바르게 제한하지 못하는 것으로, 전체 취약성의 상당 부분을 차지한다.
• 리눅스 커널의 하드웨어 드라이버와 네이티브 라이브러리가 가장 취약한 컴포넌트로 나타나, 저수준 시스템 컴포넌트가 고위험 영역임을 시사한다.
• 평균적으로 안드로이드 취약성은 수정되기까지 최소 724일 동안 지속되며, 이는 장기적인 보안 부채를 의미한다.
• 입력 검증 부족, 타입 오류, 숫자 처리 결함 등이 취약성의 주요 기여 요인 중 하나다.
• 대부분의 취약성은 특히 메모리 및 데이터 처리에서의 불안전한 프로그래밍 관행에서 기인하며, 정적 분석과 설계 단계부터 보안을 고려하는 관행이 많은 문제를 방지할 수 있음을 시사한다.
• 본 연구에서 제시한 취약성 분류 체계는 타겟팅된 탐지 도구 개발 및 모바일 OS 개발의 검증 및 검증 노력 향상에 기초 자료가 된다.