[논문 리뷰] SCLib: A Practical and Lightweight Defense against Component Hijacking in Android Applications

Daoyuan Wu, Yao Cheng외 3명|arXiv (Cornell University)|2018. 01. 13.

Advanced Malware Detection Techniques참고 문헌 39인용 수 5

한 줄 요약

SCLib는 펌웨어 변경 사항이나 앱 재패키징 없이 앱 내 필수 액세스 제어를 구현하여 Android 앱의 컴포onent 히잡킹을 방지하는 경량의 라이브러리 기반 방어 기법이다. 10개의 오픈소스 앱에서 35개의 위험한 컴포넌트를 0.3% 미만의 코드 오버헤드와 5% 이내의 성능 저하로 보호하며, 최소한의 런타임 비용으로 실용적인 보안을 달성한다.

ABSTRACT

Cross-app collaboration via inter-component communication is a fundamental mechanism on Android. Although it brings the benefits such as functionality reuse and data sharing, a threat called component hijacking is also introduced. By hijacking a vulnerable component in victim apps, an attack app can escalate its privilege for operations originally prohibited. Many prior studies have been performed to understand and mitigate this issue, but no defense is being deployed in the wild, largely due to the deployment difficulties and performance concerns. In this paper we present SCLib, a secure component library that performs in-app mandatory access control on behalf of app components. It does not require firmware modification or app repackaging as in previous works. The library-based nature also makes SCLib more accessible to app developers, and enables them produce secure components in the first place over fragmented Android devices. As a proof of concept, we design six mandatory policies and overcome unique implementation challenges to mitigate attacks originated from both system weaknesses and common developer mistakes. Our evaluation using ten high-profile open source apps shows that SCLib can protect their 35 risky components with negligible code footprint (less than 0.3% stub code) and nearly no slowdown to normal intra-app communications. The worst-case performance overhead to stop attacks is about 5%.

연구 동기 및 목표

• 악성 앱이 불안정한 컴ponent 간 통신을 악용해 권한을 승격시키는 지속적인 보안 위협인 컴포넌트 히잡킹 문제를 해결하기 위해.
• OS 수준의 수정이나 앱 재패키징이 필요한 이전 방어 기법의 한계를 극복하여 실세계 구현을 방해하지 않기 위해.
• 소스 코드 변경이나 재컴파일 없이도 기존 Android 앱에 원활하게 통합될 수 있는 실용적이고 개발자 友好的인 솔루션을 제공하기 위해.
• 강력한 보호 기능을 유지하면서도 성능 오버헤드를 최소화하여 시스템 수준의 약점과 일반적인 개발자 실수 모두에 대응하기 위해.

제안 방법

• SCLib는 개별 컴포넌트를 대신하여 앱 수준에서 필수 액세스 제어를 시행하는 보안 컴포넌트 라이브러리로 구현된다.
• 시스템 취약성과 개발자 실수에서 기인하는 히잡킹 시도를 탐지하고 차단하기 위해 여섯 가지 정의된 필수 정책을 사용한다.
• 일반적인 앱 내 통신에서 Binder 분석과 호출자 신원 검증을 수행하여 최소한의 지연 시간을 유발한다.
• Provider에 대해서는 SQL 문자열 필터링을 포함하여 인젝션 공격을 방지하며, 성능에 거의 영향을 주지 않는다.
• 런타임에 매니페스트 분석과 정책 평가를 수행하여 비허가된 앱 간 컴포넌트 접근을 탐지하고 차단한다.
• 가장 악성인 상황에서는 사용자 경고 대화상자를 10ms 지연 후 트리거하여 사용자 인지성을 확보하면서도 유저 비용에 큰 영향을 주지 않는다.

실험 결과

연구 질문

• RQ1 OS 수정이나 앱 재패키징 없이도 라이브러리 기반 접근 방식이 컴포넌트 히잡킹을 효과적으로 방어할 수 있는가?
• RQ2 최소한의 성능 오버헤드로 필수 액세스 제어를 기존 Android 앱에 효율적으로 통합할 수 있는가?
• RQ3 SCLib는 정상적인 앱 내 통신과 알려진 히잡킹 공격 벡터에 대해 어떤 영향을 미치는가?
• RQ4 SCLib는 시스템 수준의 약점과 컴포넌트 설정에서 흔히 발생하는 개발자 실수를 모두 방지할 수 있는가?
• RQ5 SCLib는 실세계 Android 응용 프로그램에서 보안, 성능, 사용성의 균형을 어떻게 유지하는가?

주요 결과

• SCLib는 10개의 고유명도 높은 오픈소스 Android 앱에서 35개의 위험한 컴포넌트를 0.3% 미만의 코드 포트폴리오 증가로 보호했다.
• 정상적인 앱 내 통신에서의 평균 성능 오버헤드는 Activities의 경우 1.88%, Providers의 경우 2.22%이며, SQL 인젝션 필터링에 대한 영향은 거의 없었다.
• 가장 악성인 상황에서의 성능 오버헤드는 Activities의 경우 약 4.42%, Providers의 경우 3.71%였다.
• 매니페스트 분석과 정책 평가의 최악의 상황에서의 오버헤드는 각각 0.29ms와 0.401ms로 매우 미미했다.
• SCLib의 접근 방식은 실용적이고 구현 가능하며, 앱 업데이트 시 일반적으로 발생하는 재컴파일만 필요로 하며, 앱 검증이나 호환성에 영향을 주지 않는다.
• SCLib는 시스템 취약성과 개발자 실수에서 기인하는 히잡킹 공격을 효과적으로 완화하며, 사용성 영향을 최소화하기 위해 가장 취약한 컴포넌트들만 집중적으로 보호한다.