[论文解读] A Systematic Security Evaluation of Android's Multi-User Framework

E. Paul Ratazzi, Yousra Aafer+4 more|arXiv (Cornell University)|Oct 28, 2014

Advanced Malware Detection Techniques参考文献 23被引用 13

一句话总结

本文对Android的多用户框架进行了系统的安全评估，通过结构化威胁建模和针对性实验，识别出关键的访问控制缺陷。研究揭示了由于访问控制强制不完整而导致的重大漏洞，使用户面临隐私泄露和权限提升的风险，结论是该框架仍不适合用于严肃的多用户环境。

ABSTRACT

Like many desktop operating systems in the 1990s, Android is now in the process of including support for multi-user scenarios. Because these scenarios introduce new threats to the system, we should have an understanding of how well the system design addresses them. Since the security implications of multi-user support are truly pervasive, we developed a systematic approach to studying the system and identifying problems. Unlike other approaches that focus on specific attacks or threat models, ours systematically identifies critical places where access controls are not present or do not properly identify the subject and object of a decision. Finding these places gives us insight into hypothetical attacks that could result, and allows us to design specific experiments to test our hypothesis. Following an overview of the new features and their implementation, we describe our methodology, present a partial list of our most interesting hypotheses, and describe the experiments we used to test them. Our findings indicate that the current system only partially addresses the new threats, leaving the door open to a number of significant vulnerabilities and privacy issues. Our findings span a spectrum of root causes, from simple oversights, all the way to major system design problems. We conclude that there is still a long way to go before the system can be used in anything more than the most casual of sharing environments.

研究动机与目标

• 评估Android多用户框架在保护用户数据和强制访问控制方面的安全性。
• 识别访问控制机制中的系统性弱点，这些弱点可能导致未经授权的数据访问或权限提升。
• 评估当前实现是否足以缓解多用户场景引入的威胁。
• 为影响用户隐私和系统完整性的设计缺陷与实现疏漏提供可操作的见解。

提出的方法

• 通过分析系统决策中的主体-对象关系，开发了一套系统化方法，以识别关键的访问控制缺口。
• 基于多用户交互的威胁建模，提出关于缺失或配置错误的访问控制的假设。
• 设计并执行针对性实验，以验证从识别出的访问控制缺陷中推导出的假设性攻击的可行性。
• 对Android多用户组件进行静态和动态分析，重点关注用户隔离和权限强制机制。
• 评估系统服务和进程间通信（IPC）机制在多用户环境下的行为。
• 使用威胁建模来映射潜在攻击向量，并优先对高风险组件进行测试。

实验结果

研究问题

• RQ1 Android多用户框架中，关键的访问控制机制在何处缺失或实现错误？
• RQ2 在系统决策中，用户身份和对象所有权的强制不完整可能导致哪些假设性攻击？
• RQ3 当前设计在防止跨用户数据泄露和权限提升方面有多有效？
• RQ4 导致已识别漏洞的根本原因是什么——设计缺陷、疏漏，还是配置错误？

主要发现

• Android的多用户框架仅部分应对了共享设备使用带来的新威胁，留下了重大的安全缺口。
• 多个关键的访问控制机制缺失或未正确强制执行，尤其是在系统服务和IPC通道中。
• 由于用户配置文件之间的隔离不足，可能导致跨用户数据泄露，特别是在后台进程和系统守护进程中。
• 可通过利用访问控制决策中主体和对象标识的薄弱性，实施权限提升攻击。
• 研究识别出从细微疏漏到重大架构缺陷的多种问题，均危及用户隐私和系统完整性。
• 该框架仍不适合在需要强用户隔离或数据机密性的任何环境中部署。