[논문 리뷰] Research on Third-Party Libraries in AndroidApps: A Taxonomy and Systematic LiteratureReview

Xian Zhan, Tianming Liu외 5명|arXiv (Cornell University)|2021. 08. 09.

Advanced Malware Detection Techniques참고 문헌 112인용 수 14

한 줄 요약

이 논문은 안드로이드 앱에서 제3자 라이브러리(TPL) 연구에 대한 최초의 체계적 문헌 고찰(SLR)을 제시하며, 2012–2020년 사이의 74篇의 연구를 분석한다. TPL 연구를 네 가지 차원으로 분류하는 분류 체계를 제안하고, 주요 방법론, 한계점, 열린 과제를 규명하며, 향후 TPL 보안, 프라이버시, 유지보수 분야의 연구를 안내하기 위한 종합적 개요를 제공한다.

ABSTRACT

Third-party libraries (TPLs) have been widely used in mobile apps, which play an essential part in the entire Android ecosystem. However, TPL is a double-edged sword. On the one hand, it can ease the development of mobile apps. On the other hand, it also brings security risks such as privacy leaks or increased attack surfaces (e.g., by introducing over-privileged permissions) to mobile apps. Although there are already many studies for characterizing third-party libraries, including automated detection, security and privacy analysis of TPLs, TPL attributes analysis, etc., what strikes us odd is that there is no systematic study to summarize those studies' endeavors. To this end, we conduct the first systematic literature review on Android TPL-related research. Following a well-defined systematic literature review protocol, we collected 74 primary research papers closely related to the Android third-party library from 2012 to 2020. After carefully examining these studies, we designed a taxonomy of TPL-related research studies and conducted a systematic study to summarize current solutions, limitations, challenges and possible implications of new research directions related to third-party library analysis. We hope that these contributions can give readers a clear overview of existing TPL-related studies and inspire them to go beyond the current status quo by advancing the discipline with innovative approaches.

연구 동기 및 목표

• 안드로이드 앱에서 제3자 라이브러리(TPL)에 관한 기존 연구를 종합적으로 통합한 바가 부족한 문제를 해결하기 위해.
• 안드로이드 생태계 내 TPL 분석 분야에서 주요 연구 방향, 방법론, 과제를 식별하고 분류하기 위해.
• 향후 연구를 안내하고 현재의 한계점을 이해하는 데 기여하기 위해 TPL 관련 연구에 대한 체계적 분류 체계를 제공하기 위해.
• 열린 과제를 부각시키고, 모바일 보안 및 소프트웨어 공학 분야에서 TPL 분석을 발전시키기 위한 새로운 연구 방향을 제안하기 위해.

제안 방법

• 2012년에서 2020년 사이의 안드로이드 TPL에 관한 74편의 주요 연구 논문을 수집하고 분석하기 위해 잘 정의된 프로토콜을 따르는 체계적 문헌 고찰(SLR)을 수행하였다.
• 연구 목적, 배경, 응용, 방법론을 기반으로 네 가지 차원의 TPL 연구 분류 체계를 개발하였다.
• TPL 탐지, 보안 및 프라이버시 분석, 취약성 탐지, 종속성 충돌 해결 등의 주제로 연구를 분류하였다.
• 연구 간 비교 분석을 수행하여 방법론, 도구, 평가 전략을 평가하였다.
• 패키지 이름 매칭에 의존하는 반복적인 한계점, 오브스큐레이션 문제, 취약한 TPL의 지연 패치 등 주요 한계점을 규명하였다.
• 기존 문헌의 격차를 바탕으로 핵심 통찰을 통합하고 향후 연구 방향을 제안하였다.

실험 결과

연구 질문

• RQ1 2012년에서 2020년 사이 안드로이드 앱의 제3자 라이브러리 분석에서 주요 연구 방향과 주제는 무엇인가?
• RQ2 TPL 탐지, 보안 분석, 취약성 평가에 일반적으로 사용되는 방법론과 도구는 무엇인가?
• RQ3 기존 TPL 연구에서 탐지 정확도와 실제 적용 가능성과 관련하여 주요 한계점과 과제는 무엇인가?
• RQ4 현재 연구들은 TPL이 유도하는 프라이버시 泄露, 과도한 권한, 종속성 충돌 문제들을 어떻게 다루고 있는가?
• RQ5 안드로이드에서 TPL 분석 분야의 열린 과제와 잠재적 향후 연구 방향은 무엇인가?

주요 결과

• Google 플레이에 등재된 앱의 약 51%가 Google Firebase와 같은 분석 라이브러리를 포함하며, 앱 코드의 60% 이상이 제3자 라이브러리에 기인해 있다.
• TPL은 프라이버시 泄露, 과도한 권한, 패치 지연으로 인한 공급망 취약성 등 심각한 보안 위험을 초래한다.
• 많은 기존 TPL 탐지 방법은 오브스큐레이션 적용 시 실패하는 패키지 이름 매칭에 의존하여 탐지 정확도가 제한된다.
• 알려진 보안 문제에도 불구하고 많은 앱이 오래된 또는 취약한 TPL을 계속 사용하고 있어 공격 표면이 증가한다.
• TPL은 앱 분석 작업(예: 재패키징 탐지)에 영향을 미칠 수 있으며, 일반적으로 완전하고 오류가 발생하기 쉬운 화이트리스트 기반 필터링이 필요하다.
• 광범위한 연구에도 불구하고 이 분야는 통합된 분류 체계와 체계적 개요가 부족하여, 본 논문은 종합적인 SLR와 네 차원 분류 체계를 통해 이를 보완한다.