[论文解读] AdSplit: Separating smartphone advertising from applications

Shashi Shekhar, Michael Dietz+1 more|arXiv (Cornell University)|Feb 17, 2012

Advanced Malware Detection Techniques参考文献 33被引用 154

一句话总结

AdSplit 是一种将智能手机广告与宿主应用分离的系统，通过在不同用户 ID 下的隔离进程中运行广告，消除权限膨胀问题，并支持对广告交互的远程验证。该系统实现极低的运行时开销，支持基于 HTML 的广告，从而降低信任与隐私风险，同时提升安全性和用户体验。

ABSTRACT

A wide variety of smartphone applications today rely on third-party advertising services, which provide libraries that are linked into the hosting application. This situation is undesirable for both the application author and the advertiser. Advertising libraries require additional permissions, resulting in additional permission requests to users. Likewise, a malicious application could simulate the behavior of the advertising library, forging the user's interaction and effectively stealing money from the advertiser. This paper describes AdSplit, where we extended Android to allow an application and its advertising to run as separate processes, under separate user-ids, eliminating the need for applications to request permissions on behalf of their advertising libraries. We also leverage mechanisms from Quire to allow the remote server to validate the authenticity of client-side behavior. In this paper, we quantify the degree of permission bloat caused by advertising, with a study of thousands of downloaded apps. AdSplit automatically recompiles apps to extract their ad services, and we measure minimal runtime overhead. We also observe that most ad libraries just embed an HTML widget within and describe how AdSplit can be designed with this in mind to avoid any need for ads to have native code.

研究动机与目标

• 解决由第三方广告库引发的 Android 应用权限膨胀问题，这些库需要过多的用户权限。
• 通过远程验证广告交互，防止点击欺诈，确保广告商获得准确的性能数据。
• 通过将广告逻辑与主应用解耦，提升故障隔离能力和用户隐私保护。
• 通过支持安全、隔离的广告执行，降低应用收集敏感用户数据的动机。

提出的方法

• 扩展 Android 系统，使应用及其广告组件可在不同用户 ID 下作为独立进程运行。
• 利用 Quire 的机制验证客户端广告交互，防止恶意应用伪造行为。
• 采用二进制重写工具自动重新编译遗留应用，提取并隔离广告库。
• 针对基于 HTML 的广告进行设计，避免使用原生代码，实现类似网页的执行方式，且系统集成度最低。
• 利用 Android 的 IPC 和进程隔离机制，在应用与广告之间强制实施安全边界。
• 与动态污点分析系统（如 TaintDroid）集成，以检测并防止敏感数据泄露至广告组件。

实验结果

研究问题

• RQ1 广告库在多大程度上导致了 Android 应用的权限膨胀？
• RQ2 是否可以在不信任宿主应用的前提下，由远程服务器安全地验证广告交互？
• RQ3 在 Android 上将广告隔离在独立进程中所带来的性能开销有多大？
• RQ4 如何自动适配遗留 Android 应用以使用隔离的广告架构？
• RQ5 是否可以完全使用网页技术（HTML/JS）而非原生代码来实现广告功能？

主要发现

• 在分析的 10,000 个 Android 应用中，35% 使用了两个或更多的广告库，显著增加了权限请求数量。
• 许多广告库请求的权限超过文档说明，且权限集合在不同版本间存在差异，进一步加剧了权限膨胀问题。
• AdSplit 通过允许广告库独立请求自身权限，而不将负担强加于主应用，有效减少了权限膨胀。
• 该系统实现了极低的运行时开销，性能影响在基准测试中可忽略不计。
• 大多数广告库嵌入了 HTML 小部件，使其非常适合在 AdSplit 中采用基于网页的非原生执行模型。
• AdSplit 通过 Quire 实现对 UI 事件的远程验证，防止恶意应用伪造广告点击或曝光行为。