[论文解读] An Empirical Assessment of Security Risks of Global Android Banking Apps

Sen Chen, Lingling Fan+6 more|arXiv (Cornell University)|May 14, 2018

Advanced Malware Detection Techniques参考文献 39被引用 13

一句话总结

本文提出Ausera，一种基于静态分析与敏感关键词检测的三阶段自动化系统，用于识别全球Android银行应用中的数据相关安全弱点。该系统在来自83个国家的693款应用中发现2,157个安全弱点，其中21家银行确认并修复了126个报告的问题，凸显了因组件过时和补丁管理不善带来的系统性风险。

ABSTRACT

Mobile banking apps, belonging to the most security-critical app category, render massive and dynamic transactions susceptible to security risks. Given huge potential financial loss caused by vulnerabilities, existing research lacks a comprehensive empirical study on the security risks of global banking apps to provide useful insights and improve the security of banking apps. Since data-related weaknesses in banking apps are critical and may directly cause serious financial loss, this paper first revisits the state-of-the-art available tools and finds that they have limited capability in identifying data-related security weaknesses of banking apps. To complement the capability of existing tools in data-related weakness detection, we propose a three-phase automated security risk assessment system, named AUSERA, which leverages static program analysis techniques and sensitive keyword identification. By leveraging AUSERA, we collect 2,157 weaknesses in 693 real-world banking apps across 83 countries, which we use as a basis to conduct a comprehensive empirical study from different aspects, such as global distribution and weakness evolution during version updates. We find that apps owned by subsidiary banks are always less secure than or equivalent to those owned by parent banks. In addition, we also track the patching of weaknesses and receive much positive feedback from banking entities so as to improve the security of banking apps in practice. To date, we highlight that 21 banks have confirmed the weaknesses we reported. We also exchange insights with 7 banks, such as HSBC in UK and OCBC in Singapore, via in-person or online meetings to help them improve their apps. We hope that the insights developed in this paper will inform the communities about the gaps among multiple stakeholders, including banks, academic researchers, and third-party security companies.

研究动机与目标

• 为解决全球Android银行应用中安全风险，特别是与数据相关的弱点，缺乏全面实证研究的问题。
• 识别现有工具因误报率高且缺乏银行应用特定分析而未能检测到的关键安全缺口。
• 通过负责任披露与银行合作，弥合学术研究与产业实践之间的差距。
• 分析安全弱点在全球范围内的分布情况，以及跨应用版本和第三方库的漏洞演变趋势。
• 评估自动化检测在识别导致实际财务损失的安全缺陷方面的有效性。

提出的方法

• 开发三阶段自动化系统Ausera，结合静态程序分析与敏感关键词识别，以检测与数据相关的安全弱点。
• 从83个不同市场的83个国家收集693款真实世界的Android银行应用，构建目前最大规模的此类分析数据集。
• 定义针对银行应用的与数据相关的安全弱点综合分类，包括通过短信泄露数据、存储不安全以及加密使用不当等。
• 将已知的漏洞模式（如SSL/TLS误用、加密规则违反）整合到Ausera的检测逻辑中，以提升准确性。
• 利用静态分析追踪数据流，并检测对密码、个人信息和认证令牌等敏感数据的不安全处理。
• 通过负责任披露与银行合作验证发现结果，包括与HSBC和OCBC等机构进行面对面及线上会议。

实验结果

研究问题

• RQ1 全球Android银行应用中，与数据相关的安全弱点在不同国家和银行机构中的普遍性与分布情况如何？
• RQ2 安全弱点如何随银行应用的不同版本演变？过时的第三方库在引入漏洞中起到何种作用？
• RQ3 现有自动化工具在检测银行应用特定安全弱点方面无效的程度如何？Ausera在哪些方面优于现有工具？
• RQ4 银行在识别和修复报告的安全弱点方面有多高效？哪些因素影响其响应与修复时间？
• RQ5 银行应用中最常见的与数据相关的安全弱点类型是什么？它们如何导致财务风险？

主要发现

• Ausera在来自83个国家的693款真实世界Android银行应用中检测到2,157个安全弱点，代表了此类研究中规模最大的实证研究。
• 附属银行的安全防护水平始终弱于其母公司银行，表明开发与安全实践方面存在潜在差异。
• 过时的银行应用版本和第三方库极易被利用，许多漏洞长期未修复。
• 21家银行确认了报告的安全弱点，其中126个漏洞已修复，证明了负责任披露与合作的有效性。
• HSBC（英国）和OCBC（新加坡）等银行参与了面对面及线上会议，基于研究发现改进应用安全，表明研究产生了切实的产业影响。
• 研究发现，现有工具如QARK、AndroBugs和MobSF存在高误报率，且在检测银行应用安全方面缺乏针对性，尤其在数据泄露和加密误用方面。