[논문 리뷰] ARTist: The Android Runtime Instrumentation and Security Toolkit

Michael Backes, Sven Bugiel외 3명|arXiv (Cornell University)|2016. 07. 22.

Advanced Malware Detection Techniques인용 수 10

한 줄 요약

ARTist는 현대 Android 버전에서 안정적이고 효율적이며 견고한 애플리케이션 레이어 인스트루멘테이션을 가능하게 하는 컴파일러 기반 인스트루멘테이션 툴킷이다. 이는 ART 런타임의 dex2oat 컴파일러를 확장하여 기존의 타인트 추적 및 권한 강제 기능을 재활용할 수 있도록 한다. 이는 바이트코드나 바이너리 리라이팅 기반 접근 방식보다 훨씬 뛰어난 통합성과 신뢰성을 제공한다.

ABSTRACT

We present ARTist, a compiler-based application instrumentation solution for Android. ARTist is based on the new ART runtime and the on-device dex2oat compiler of Android, which replaced the interpreter-based managed runtime (DVM) from Android version 5 onwards. Since dex2oat is yet uncharted, our approach required first and foremost a thorough study of the compiler suite's internals and in particular of the new default compiler backend Optimizing. We document the results of this study in this paper to facilitate independent research on this topic and exemplify the viability of ARTist by realizing two use cases. Moreover, given that seminal works like TaintDroid hitherto depend on the now abandoned DVM, we conduct a case study on whether taint tracking can be re-instantiated using a compiler-based instrumentation framework. Overall, our results provide compelling arguments for preferring compiler-based instrumentation over alternative bytecode or binary rewriting approaches.

연구 동기 및 목표

• DVM 인터프리터의 폐기로 인해 Android 5+에 대한 실용적인 인스트루멘테이션 솔루션이 부족한 문제를 해결한다.
• 기존의 보안 도구인 TaintDroid와 같은 레거시 보안 도구를 현대 Android 버전에서 재활용할 수 있도록 한다.
• Android의 서명 기반 보안 모델을 유지하면서 견고한 애플리케이션 레이어 인스트루멘테이션 프레임워크를 제공한다.
• 바이트코드나 바이너리 리라이팅 대비 컴파일러 기반 인스트루멘테이션의 타당성과 장점을 입증한다.
• 이전에 알려지지 않은 dex2oat 및 최적화 컴파일러 백엔드의 내부 구조를 문서화하여 독립적인 연구를 촉진한다.

제안 방법

• Android 6부터 기본으로 사용되는 dex2oat 컴파일러 스위트와 그 최적화 백엔드에 대한 종합적인 역설계 분석을 수행하였다.
• 중간 표현식(IR)과 정적 프로그램 분석을 활용하여 dex2oat 컴파일러에 맞춤형 인스트루멘테이션 단계를 확장하였다.
• 컴파일러의 최적화 프레임워크를 활용하여 의미적 정확성을 유지하면서도 안전하게 인스트루멘테이션 코드를 삽입하였다.
• IR과 프로그램 구조를 기반으로 인스트루멘테이션 대상이 되는 요소를 식별하는 정적 분석 파이프라인을 설계하였다.
• 원본 애플리케이션의 서명을 유지하고 Android의 동일 출처 모델 및 업데이트 메커니즘과의 호환성을 보존하였다.
• 컴파일러 지원 인스트루멘테이션을 활용한 동적 애플리케이션 내 타인트 추적을 위한 프로토타입을 구현하였다.

실험 결과

연구 질문

• RQ1 현대 ART 런타임과 그의 dex2oat 컴파일러에 대해 컴파일러 기반 인스트루멘테이션 프레임워크를 성공적으로 구축할 수 있는가?
• RQ2 TaintDroid와 같은 레거시 타인트 추적 솔루션을 컴파일러 기반 접근 방식을 통해 Android 5+에서 얼마나 잘 재활용할 수 있는가?
• RQ3 바이트코드나 바이너리 리라이팅 대비 컴파일러 기반 인스트루멘테이션은 견고성, 통합성, 정확성 측면에서 어떻게 비교되는가?
• RQ4 dex2oat 컴파일러와 그 최적화 백엔드의 내부 동작 방식과 핵심 특성은 무엇인가?
• RQ5 타인트 추적의 흐름 추적, SDK 상호작용, 애플리케이션 간 통신 측면에서 컴파일러 기반 타인트 추적의 한계는 무엇인가?

주요 결과

• 저자들은 dex2oat 컴파일러 스위트와 그 최적화 백엔드에 대한 첫 번째 종합적 분석을 제공하며, Android 보안 연구 분야의 핵심 지식 격차를 메웠다.
• ARTist는 Android 6+에서 동적 애플리케이션 내 타인트 추적을 성공적으로 재활용하였으며, DroidBench 콜백에서 93%의 성공률과 총 66개 테스트 케이스에서 81.8%의 성공률을 기록하였다.
• 프로토타입은 컴파일러 기반 인스트루멘테이션이 애플리케이션의 원본 서명을 유지하고 Android의 업데이트 및 보안 메커니즘과 호환됨을 입증하였다.
• 컴파일러 기반 인스트루멘테이션은 고수준 프로그램 구조와 최적화 인프라에 접근할 수 있기 때문에 바이트코드나 바이너리 리라이팅 대비 견고성, 정밀도, 통합성 측면에서 뛰어나다.
• 한계로는 암시적 흐름의 완전한 추적 불가, SDK 메서드를 넘어서는 타인트 전파의 정확도 부족, 애플리케이션 간 추적 기능 부재 등이 있으며, 향후 확장 필요성이 있다.
• 기본 이미지(사전 컴파일된 프레임워크)에 인스트루멘테이션을 적용하는 것은 시스템 경계를 넘는 타인트 전파를 향상시키기 위한 유망한 향후 방향이다.