[论文解读] A Study on the Vulnerabilities of Mobiles Apps associated with Software Modules

Takuya Watanabe, Mitsuaki Akiyama+8 more|arXiv (Cornell University)|Feb 10, 2017

Advanced Malware Detection Techniques参考文献 24被引用 3

一句话总结

这项大规模研究分析了30,000款免费和付费的Android应用，以探究软件库与移动应用漏洞之间的关联。研究发现，70%的免费应用漏洞和50%的付费应用漏洞源自第三方库，且由于代码和库的复杂性增加，更受欢迎和更昂贵的应用表现出更高的漏洞数量。

ABSTRACT

This paper reports a large-scale study that aims to understand how mobile application (app) vulnerabilities are associated with software libraries. We analyze both free and paid apps. Studying paid apps was quite meaningful because it helped us understand how differences in app development/maintenance affect the vulnerabilities associated with libraries. We analyzed 30k free and paid apps collected from the official Android marketplace. Our extensive analyses revealed that approximately 70%/50% of vulnerabilities of free/paid apps stem from software libraries, particularly from third-party libraries. Somewhat paradoxically, we found that more expensive/popular paid apps tend to have more vulnerabilities. This comes from the fact that more expensive/popular paid apps tend to have more functionality, i.e., more code and libraries, which increases the probability of vulnerabilities. Based on our findings, we provide suggestions to stakeholders of mobile app distribution ecosystems.

研究动机与目标

• 理解软件库（尤其是第三方库）在多大程度上导致移动应用漏洞。
• 研究免费和付费移动应用之间漏洞模式的差异。
• 分析应用受欢迎程度和开发复杂性如何通过库影响漏洞暴露。
• 基于实证发现，为移动应用分发生态系统中的利益相关者提供可操作的建议。

提出的方法

• 从官方Google Play商店收集并分析了30,000款Android应用，包括免费和付费版本。
• 通过静态和动态分析识别软件库及其相关漏洞。
• 根据来源对漏洞进行分类，区分第一方库和第三方库。
• 将应用受欢迎程度、价格和功能与库的数量及漏洞密度相关联。
• 使用统计分析比较不同应用类型之间的漏洞率，并识别趋势。

实验结果

研究问题

• RQ1 移动应用漏洞在多大程度上与第三方软件库相关？
• RQ2 免费和付费移动应用之间的漏洞率有何差异？
• RQ3 应用受欢迎程度或价格的增加是否与更高的漏洞数量相关？
• RQ4 代码和库的复杂性在移动应用引入漏洞方面起什么作用？

主要发现

• 约70%的免费Android应用漏洞源自第三方软件库。
• 约50%的付费Android应用漏洞可归因于第三方库。
• 更昂贵且更受欢迎的付费应用由于功能更多和代码库更大，往往拥有更高的漏洞数量。
• 高价值应用中库的数量和代码行数增加，与安全缺陷概率提高相关。
• 第三方库是免费和付费应用类别中漏洞的主要来源。
• 研究结果表明，应用分发平台和开发人员应在软件供应链中优先评估库的风险。