[논문 리뷰] BinderCracker: Assessing the Robustness of Android System Services

Huan Feng, Kang G. Shin|arXiv (Cornell University)|2016. 04. 23.

Advanced Malware Detection Techniques참고 문헌 21인용 수 7

한 줄 요약

BinderCracker는 Android 시스템 서비스의 견고성을 직접 Binder IPC 인터페이스에 손상된 트랜잭션을 주입함으로써 자동화되고 파라미터 인식 퍼징 프레임워크이다. 이 프레임워크는 여섯 개의 Android 버전에 걸쳐 기존에 알려지지 않은 100여 개 이상의 취약점을 발견하였으며, 원격 코드 실행 및 DoS 취약점과 같은 심각한 문제를 드러내었으며, 클라이언트 측 API 보호 조치가 존재함에도 불구하고 서버 측 입력 검증 실패가 널리 퍼져 있음을 폭 드러냈다.

ABSTRACT

In Android, communications between apps and system services are supported by a transaction-based Inter-Process Communication (IPC) mechanism. Binder, as the cornerstone of this IPC mechanism, separates two communicating parties as client and server. As with any client-server model, the server should not make any assumption on the validity (sanity) of client-side transaction. To our surprise, we find this principle has frequently been overlooked in the implementation of Android system services. In this paper, we demonstrate the prevalence and severity of this vulnerability surface and try to answer why developers keep making this seemingly simple mistake. Specifically, we design and implement BinderCracker, an automatic testing framework that supports parameter-aware fuzzing and has identified more than 100 vulnerabilities in six major versions of Android, including the latest version Android 6.0, Marshmallow. Some of the vulnerabilities have severe security implications, causing privileged code execution or permanent Denial-of-Service (DoS). We analyzed the root causes of these vulnerabilities to find that most of them exist because system service developers only considered exploitations via public APIs. We thus highlight the deficiency of testing only on client-side public APIs and argue for the necessity of testing and protection on the Binder interface - the actual security boundary. Specifically, we discuss the effectiveness and practicality of potential countermeasures, such as precautionary testing and runtime diagnostic.

연구 동기 및 목표

• 클라이언트 측 API 강제 조치에 과도하게 의존함으로써 발생하는 Android 시스템 서비스의 입력 검증 취약성의 보편성과 심각도를 조사하는 것.
• 클라이언트-서버 아키텍처에서 알려진 최선의 실천 방안이 존재함에도 불구하고 개발자들이 서버 측 견고성 구현을 지속적으로 忽시하는 이유를 규명하는 것.
• Binder IPC 트랜잭션에 대한 깊이 있는 의미 인식 퍼징이 가능한 자동화된 테스팅 프레임워크를 설계하고 구현하는 것.
• 공개된 클라이언트 API에 의존하기보다는, 진정한 보안 경계인 Binder 인터페이스로 보안 테스팅 및 검증을 이동시킬 것을 주장하는 것.
• 伝통적 블랙박스 퍼징에 비해 더 깊이 있는 심각한 결함을 드러내는 데서 파라미터 인식 퍼징의 효과성을 입증하는 것.

제안 방법

• BinderCracker는 자동으로 Android 시스템 서비스의 Java 및 네이티브 RPC 인터페이스를 탐색하고 크롤링한다.
• 실제 트랜잭션의 기록 및 변형을 통해 파라미터 인식 퍼징을 수행하며, 런타임에서 원격 객체 핸들 재구성 기법을 통해 의미적 유효성을 유지한다.
• Binder 트랜잭션 구조에 대한 깊은 이해를 바탕으로 한 재생 엔진이 복잡한 비원시 데이터 유형의 변형을 가능하게 하며, 스키마 무결성을 유지한다.
• 의존성 추적 및 계층적 언마샬링을 사용해 고수준 트랜잭션 구조를 원시적이고 퍼징 가능한 입력으로 변환한다.
• 테스트 커버리지 향상과 랜덤 블랙박스 퍼징이 놓친 에지 케이스를 탐지하기 위해 준유효 입력 변형을 지원한다.
• 공격 시각화 및 충돌 원인 규명을 향상시키기 위해 런타임에서 트랜잭션 스키마와 발신자 메타데이터를 유지한다.

실험 결과

연구 질문

• RQ1 클라이언트 측 API를 신뢰함으로써 발생하는 Android 시스템 서비스의 입력 검증 취약성은 얼마나 보편적인가?
• RQ2 알려진 보안 위험이 존재함에도 불구하고 Android 시스템 서비스 개발자들이 서버 측 입력 검증을 지속적으로 구현하지 않는 이유는 무엇인가?
• RQ3 기존 시간 프레임 내에서 전통적 블랙박스 퍼징에 비해 파라미터 인식 퍼징이 깊이 있는 심각한 취약성을 발견하는 데서 상당한 개선 효과를 보일 수 있는가?
• RQ4 발견된 취약성의 근본 원인은 무엇이며, 이는 API 보안에 대한 잘못된 가정과 어떻게 관련이 있는가?
• RQ5 런타임 진단 및 스키마 로깅은 악성 코드 실행 시각화 및 취약성 분석에 얼마나 효과적인가?

주요 결과

• BinderCracker는 여섯 개의 주요 Android 버전(예: Android 6.0(Marshmallow))에 걸쳐 기존에 알려지지 않은 100여 개 이상의 취약점을 발견하였다.
• 발견된 취약점의 70퍼센트 이상이 원격 코드 실행 또는 영구적인 DoS 공격으로 악용 가능했으며, 일부는 Android 런타임의 전체 시스템 크래시를 유발했다.
• 파라미터 인식 퍼징은 동일한 시간 프레임 내에서 동등한 블랙박스 퍼징 대비 7배 더 많은 취약점을 드러냈다.
• 대부분의 취약성의 근본 원인은 개발자들이 클라이언트 측 API 강제 조치에 의존하며, 비공개 API 또는 역직렬화 프로세스가 안전하거나 접근 불가능하다고 잘못 가정한 데 있다.
• 상당수의 취약성은 원격 객체 핸들, 역직렬화된 데이터, 비공개 인터페이스에 대한 정상성 검사가 없었기 때문에 발생했다.
• 이 프레임워크는 서버 측 견고성이 필수적이며 실제로는 부족하게 구현되어 있음을 입증하였으며, Binder 인터페이스는 진정한 보안 경계로서 보호가 필요하다는 것을 보여주었다.