[논문 리뷰] Security Issues in the Android Cross-Layer Architecture

Alessandro Armando, Alessio Merlo외 1명|arXiv (Cornell University)|2012. 09. 04.

Advanced Malware Detection Techniques참고 문헌 8인용 수 4

한 줄 요약

이 논문은 안드로이드 아키텍처 내의 크로스레이어 상호작용을 분석하기 위해 플로우 기반 모델을 제안하며, 안드로이드 보안 프레임워크(ASF)가 레이어 간 통신을 통제하지 못함을 드러낸다. 실험 결과 악성 애플리케이션이 감시되지 않은 시스템 호출—특히 지고테 프로세스를 통해—을 악용해 서비스 거부 공격을 유도할 수 있음을 보여주며, 이는 이전에 인식된 것보다 훨씬 광범위한 공격 표면을 노출시킨다.

ABSTRACT

The security of Android has been recently challenged by the discovery of a number of vulnerabilities involving different layers of the Android stack. We argue that such vulnerabilities are largely related to the interplay among layers composing the Android stack. Thus, we also argue that such interplay has been underestimated from a security point-of-view and a systematic analysis of the Android interplay has not been carried out yet. To this aim, in this paper we provide a simple model of the Android cross-layer interactions based on the concept of flow, as a basis for analyzing the Android interplay. In particular, our model allows us to reason about the security implications associated with the cross-layer interactions in Android, including a recently discovered vulnerability that allows a malicious application to make Android devices totally unresponsive. We used the proposed model to carry out an empirical assessment of some flows within the Android cross-layered architecture. Our experiments indicate that little control is exercised by the Android Security Framework (ASF) over cross-layer interactions in Android. In particular, we observed that the ASF lacks in discriminating the originator of a flow and sensitive security issues arise between the Android stack and the Linux kernel, thereby indicating that the attack surface of the Android platform is wider than expected.

연구 동기 및 목표

• 안드로이드의 계층 아키텍처에서 크로스레이어 상호작용의 보안 영향을 조사하기.
• 특히 안드로이드 레이어와 리눅스 커널 간의 레이어 간 시스템 호출에 대한 통제 부족으로 인한 취약점을 특정하기.
• 안드로이드 보안 프레임워크(ASF)가 레이어 간에 정상적인 호출과 악성 호출을 효과적으로 구분할 수 있는지 평가하기.
• 간접적으로 캡처된 시스템 호출을 재생하는 것이 가능한지 평가하여 악용 가능한 흐름을 입증하기.
• 약한 크로스레이어 액세스 제어로 인해 안드로이드 스택을 초월한 공격 표면이 실제로 존재함을 보여주기.

제안 방법

• 안드로이드의 다섯 레이어 아키텍처(응용 프로그램, 프레임워크, 런타임, 라이브러리, 리눅스 커널) 간의 상호작용을 표현하기 위해 플로우 기반 모델을 제안한다.
• 특수 커널 모듈을 사용하여 시스템 호출 로깅을 수행하여 응용 프로그램 프레임워크 레이어의 안드로이드 시스템 서버가 시작한 시스템 호출을 캡처하고 로깅한다.
• 로깅된 내용을 읽고 간섭된 시스템 호출을 안드로이드 기기에서 재실행하기 위해 테스터 애플리케이션(SysCallTester)을 개발한다.
• 안드로이드 버전 2.3.3과 3.2에서 21개의 핵심 시스템 호출(bind, close, ioctl, socket 등)의 재실행 성공률을 경험적으로 평가한다.
• 리눅스 커널과 ASF가 시스템 호출의 정상적인 호출자와 악성 호출자 간의 구분 능력을 분석한다.
• 비통제된 프로세스 포크로 인한 서비스 거부 취약점이 발생할 수 있음을 보여주기 위해 지고테 프로세스를 사례 연구로 집중 분석한다.

실험 결과

연구 질문

• RQ1 안드로이드 보안 프레임워크(ASF)는 안드로이드 컴포넌트와 리눅스 커널 간의 크로스레이어 시스템 호출을 어느 정도 통제하거나 모니터링하는가?
• RQ2 악성 애플리케이션은 감시되지 않은 시스템 호출을 악용하여 자원 고갈과 같은 심각한 취약성을 유도할 수 있는가?
• RQ3 지고테 프로세스의 프로세스 포킹 기능은 비승인된 호출에 대해 충분히 보호되고 있는가?
• RQ4 리눅스 커널은 시스템 서버에서 온 시스템 호출과 비신뢰할 수 있는 애플리케이션에서 온 시스템 호출을 어느 정도 효과적으로 구분할 수 있는가?
• RQ5 크로스레이어 상호작용을 고려할 때, 안드로이드의 실제 공격 표면은 안드로이드 스택을 초월해 얼마나 넓은가?

주요 결과

• 안드로이드 보안 프레임워크(ASF)는 시스템 호출의 정상적인 호출자와 악성 호출자 간에 효과적으로 구분하지 못하여 악용 가능성이 존재한다.
• 리눅스 커널은 시스템 서버(일반 사용자 프로세스)에서 온 시스템 호출과 악성 애플리케이션에서 온 시스템 호출을 구분하지 못해 격리 보장을 약화시킨다.
• SysCallTester는 안드로이드 2.3.3과 3.2 양쪽 모두에서 간섭된 21개의 시스템 호출 중 85%인 18개를 성공적으로 재실행하여 많은 시스템 호출이 재생 가능하고 악용 가능한 상태임을 입증한다.
• 지고테 취약성은 포크 시스템 호출에 대한 액세스 제어가 없어 악성 애플리케이션이 무제한의 프로세스 포크를 유도해 기기의 비응답 상태를 유도할 수 있음을 보여준다.
• 크로스레이어 상호작용—특히 안드로이드 스택과 리눅스 커널 간의 상호작용—이 충분히 보호되지 않아 안드로이드의 공격 표면은 예상보다 훨씬 넓다.
• 현재 설계에서 플로우 수준의 보안 모델링과 실행이 부재하여 이전에 발견되지 않은 취약점들이 계속해서 탐지되지 않고 악용 가능한 상태로 남아 있다.