[論文レビュー] Stack Overflow Considered Harmful? The Impact of Copy&Paste on Android Application Security

Felix Fischer, Konstantin Böttinger+5 more|arXiv (Cornell University)|Oct 9, 2017

Advanced Malware Detection Techniques参考文献 27被引用数 38

ひとこと要約

本論文は、AndroidアプリにStack Overflowのコードスニペットをコピーペーストすることによるセキュリティインパクトを調査している。自動化された静的解析と機械学習を用いて、分析対象の130万個のAndroidアプリの15.4％がStack Overflowのセキュリティ関連スニペットを含んでおり、そのうち97.9％が不安全なコードを含んでいることが判明した。これは、Androidエコシステムにおける広範な不安全なコード再利用が、深刻なリスクをもたらしていることを示している。

ABSTRACT

Online programming discussion platforms such as Stack Overflow serve as a rich source of information for software developers. Available information include vibrant discussions and oftentimes ready-to-use code snippets. Anecdotes report that software developers copy and paste code snippets from those information sources for convenience reasons. Such behavior results in a constant flow of community-provided code snippets into production software. To date, the impact of this behaviour on code security is unknown. We answer this highly important question by quantifying the proliferation of security-related code snippets from Stack Overflow in Android applications available on Google Play. Access to the rich source of information available on Stack Overflow including ready-to-use code snippets provides huge benefits for software developers. However, when it comes to code security there are some caveats to bear in mind: Due to the complex nature of code security, it is very difficult to provide ready-to-use and secure solutions for every problem. Hence, integrating a security-related code snippet from Stack Overflow into production software requires caution and expertise. Unsurprisingly, we observed insecure code snippets being copied into Android applications millions of users install from Google Play every day. To quantitatively evaluate the extent of this observation, we scanned Stack Overflow for code snippets and evaluated their security score using a stochastic gradient descent classifier. In order to identify code reuse in Android applications, we applied state-of-the-art static analysis. Our results are alarming: 15.4% of the 1.3 million Android applications we analyzed, contained security-related code snippets from Stack Overflow. Out of these 97.9% contain at least one insecure code snippet.

研究の動機と目的

• 実世界のAndroidアプリに、Stack Overflowから不安全なコードスニペットがどれほどコピーされているかを評価すること。
• 公開された開発者フォーラムから生産用Androidアプリにまで広がるセキュリティ関連コードスニペットの拡散状況を定量化すること。
• Android開発のためのStack Overflowでよく共有されるコードスニペットのセキュリティ品質を評価すること。
• コミュニティプラットフォームからのコード再利用を、クローズドソースソフトウェアに自動で検出するスケーラブルな自動パイプラインを設計・実装すること。
• ブラウザプラグインなどの実用的な緩和戦略を提案し、リアルタイムで不安全なコードスニペットを特定すること。

提案手法

• Android関連のStack Overflow投稿から、4,019件のセキュリティ関連コードスニペットをクロールおよび抽出した。
• ラベル付け済みの安全／不安全コードスニペットでトレーニングされた確率的勾配降下分類器を適用し、セキュリティスコアを割り当てた。
• Androidアプリにおける効率的なクローン検出のための抽象表現として、プログラム依存グラフ（PDGs）を生成した。
• 最新の静的解析技術を用いて、Google Playの130万個のAndroidアプリにおいて、正確かつ類似したコードスニペットの一致を検出した。
• 大規模な測定を可能にする、完全に自動化されスケーラブルなパイプラインを構築した。
• Webプラットフォーム上でコードスニペットのリアルタイムセキュリティ分類を可能にするブラウザプラグインプロトタイプを開発した。

実験結果

リサーチクエスチョン

• RQ1 Stack Overflowのセキュリティ関連スニペットは、生産用Androidアプリにどれほどコピーされているか？
• RQ2 Stack OverflowからAndroidアプリにコピーされたスニペットのうち、不安全なスニペットはどれほど一般的か？
• RQ3 機械学習は、コミュニティ提供のコードスニペットのセキュリティ品質を効果的に分類できるか？
• RQ4 開発者が公開フォーラムからセキュリティ関連コードを選択・再利用する際の行動パターンは何か？
• RQ5 自動化ツールは、生産ソフトウェアに統合される前に不安全なコードスニペットを検出・フラグすることができるか？

主な発見

• 分析対象の130万個のAndroidアプリのうち15.4％が、Stack Overflowからコピーされた少なくとも1つのセキュリティ関連スニペットを含んでいた。
• Stack Overflowスニペットを含むアプリのうち97.9％が、少なくとも1つの不安全なコードスニペットを含んでおり、これは欠陥のあるコードの広範な拡散を示している。
• 研究チームは、Stack Overflowの脆弱なコードスニペットを含む19万6,000個のAndroidアプリを同定した。これは大規模なセキュリティリスクを示している。
• 研究チームは、Stack Overflowから安全なコードスニペットを使用している7万3,000個のアプリを検出しており、高品質なコードの広範な再利用が行われていることを示している。
• メタデータ分析から、不安全なコードスニペットはしばしば高い賛成数を獲得しており、これは人気とセキュリティ品質の間に相関がないことを示唆している。
• 本研究では、ファイナンスやゲームなど特定の分野では特定のセキュリティライブラリが好まれており、アプリケーションの種別に応じた攻撃表面のパターンが存在することが判明した。