[论文解读] A Side-channel Analysis of Sensor Multiplexing for Covert Channels and Application Profiling on Mobile Devices

Carlton Shepherd, Jan Kalbantner+2 more|arXiv (Cornell University)|Oct 12, 2021

Internet Traffic Analysis and Secure E-voting被引用 4

一句话总结

本文展示了 Android 的传感器多路复用设计使得无权限的恶意应用能够通过频率键移位创建频谱隐蔽信道，并实现粗粒度的应用程序轮廓分析。由于所有应用都会以最高请求采样率接收传感器数据，攻击者可利用标准传感器 API 传输数据或检测应用行为，影响数百万台设备且无需获取 root 权限。

ABSTRACT

Mobile devices often distribute measurements from physical sensors to multiple applications using software multiplexing. On Android devices, the highest requested sampling frequency is returned to all applications, even if others request measurements at lower frequencies. In this paper, we comprehensively demonstrate that this design choice exposes practically exploitable side-channels using frequency-key shifting. By carefully modulating sensor sampling frequencies in software, we show how unprivileged malicious applications can construct reliable spectral covert channels that bypass existing security mechanisms. Additionally, we present a novel variant that allows an unprivileged malicious application to profile other active, sensor-enabled applications at a coarse-grained level. Both methods do not impose any special assumptions beyond accessing standard mobile services available to developers. As such, our work reports side-channel vulnerabilities that exploit subtle yet insecure design choices in Android sensor stacks.

研究动机与目标

• 研究 Android 传感器多路复用机制如何通过频率调制产生可被利用的侧通道。
• 证明无权限应用可利用传感器采样频率偏移建立可靠的频谱隐蔽信道。
• 提出一种基于传感器启用应用程序采样频率模式的新型粗粒度轮廓分析方法。
• 评估这些攻击在多种 Android 设备和主流应用中的可行性和影响。
• 揭示 Android 传感器堆栈中的设计缺陷，这些缺陷可绕过现有的安全机制（如沙箱隔离）。

提出的方法

• 使用频移键控（FSK）通过调制发送方与接收方应用之间共享传感器的采样频率来编码数据。
• 利用 Android 传感器 SDK 请求不同采样率的传感器数据，其中所有应用均应用最高请求的采样率。
• 在接收方应用中建立低频载波信号，并检测因发送方调制其请求速率而引起的频率偏移。
• 监控传感器数据流中的频谱变化，以检测受害应用何时开始以更高频率请求传感器数据。
• 对前 250 名 Android 应用进行大规模分析，基于标准采样率常量（如 SENSOR_DELAY_GAME、SENSOR_DELAY_UI）检测并分类传感器使用模式。
• 仅使用标准 Android 传感器 API 实现概念验证攻击，无需 root 或内核权限。

实验结果

研究问题

• RQ1 无权限的 Android 应用是否可利用传感器多路复用技术，通过标准传感器 API 建立可靠的频谱隐蔽信道以实现进程间通信？
• RQ2 传感器采样频率模式在多大程度上可用于轮廓分析其他活跃的、启用传感器的应用程序的行为？
• RQ3 在真实世界的 Android 应用中，尤其是排名靠前的应用中，可检测的传感器采样频率模式有多普遍？
• RQ4 为何现有的 Android 安全机制（包括 Android 9 中引入的机制）无法阻止这些侧通道攻击？
• RQ5 这些侧通道对移动应用安全和用户隐私有何影响？

主要发现

• 作者在多个主流 OEM 厂商的 Android 设备上成功演示了频谱隐蔽信道，实现了无权限应用之间通过标准传感器 API 的数据传输。
• 隐蔽通信的比特率最高可达 100 bps，错误率较低，具体取决于传感器和设备类型，可传输任意位串和低分辨率图像。
• 在前 250 名 Android 应用中，22.8%（共 57 个）使用了可检测的传感器采样频率，因此可通过此侧通道遭受轮廓分析。
• 研究识别出应用使用的特定传感器采样常量（如 SENSOR_DELAY_GAME、SENSOR_DELAY_UI），可实现高精度检测并接近实时的延迟。
• 此类攻击绕过了传统安全控制机制（如应用沙箱隔离），且无需 root 权限或内核级权限。
• 尽管 Android 9 尝试限制长轮询的连续传感器，但所提出的侧通道技术仍有效，原因在于传感器多路复用的根本设计。