[论文解读] AuDroid: Preventing Attacks on Audio Channels in Mobile Devices

Giuseppe Petracca, Yuqiong Sun+2 more|arXiv (Cornell University)|Apr 1, 2016

Advanced Malware Detection Techniques参考文献 10被引用 10

一句话总结

AuDroid 是 Android 的安全扩展，通过强制实施基于格的信息流策略，保护动态创建的音频通信通道——防止通过麦克风和扬声器发生的窃听和混淆代理攻击。它与 SELinux 集成，使用回调机制处理特权应用的解析和可信用户路径，已在 17 款真实世界应用中阻止六种攻击场景，性能影响极小。

ABSTRACT

Voice control is a popular way to operate mobile devices, enabling users to communicate requests to their devices. However, adversaries can leverage voice control to trick mobile devices into executing commands to leak secrets or to modify critical information. Contemporary mobile operating systems fail to prevent such attacks because they do not control access to the speaker at all and fail to control when untrusted apps may use the microphone, enabling authorized apps to create exploitable communication channels. In this paper, we propose a security mechanism that tracks the creation of audio communication channels explicitly and controls the information flows over these channels to prevent several types of attacks.We design and implement AuDroid, an extension to the SELinux reference monitor integrated into the Android operating system for enforcing lattice security policies over the dynamically changing use of system audio resources. To enhance flexibility, when information flow errors are detected, the device owner, system apps and services are given the opportunity to resolve information flow errors using known methods, enabling AuDroid to run many configurations safely. We evaluate our approach on 17 widely-used apps that make extensive use of the microphone and speaker, finding that AuDroid prevents six types of attack scenarios on audio channels while permitting all 17 apps to run effectively. AuDroid shows that it is possible to prevent attacks using audio channels without compromising functionality or introducing significant performance overhead.

研究动机与目标

• 解决移动设备上利用麦克风和扬声器访问的音频攻击日益增长的威胁。
• 防止系统应用和第三方应用创建的音频通道中发生未经授权的信息流。
• 设计一种灵活可扩展的访问控制机制，支持在不损害安全性的前提下解决信息流违规问题。
• 实现对涉及音频重放、隐蔽信道和未经授权命令注入的攻击的检测与缓解。
• 在强制实施强安全策略的同时，保持应用程序的功能正常。

提出的方法

• 扩展 SELinux 参考监视器，实时跟踪音频通信通道的创建与删除。
• 根据数据来源和敏感性为音频通道分配安全标签，强制实施基于格的机密性和完整性策略。
• 使用回调机制与特权系统应用和服务协作，协商信息流违规的可接受解析方式。
• 通过可信路径与设备所有者通信，请求批准潜在不安全的音频流。
• 通过可加载模块与 Android 安全框架集成，支持向后兼容性和可扩展性。
• 在内核级别实施动态策略强制，以中介对麦克风和扬声器资源的访问。

实验结果

研究问题

• RQ1 如何系统性地检测并防止 Android 中利用麦克风和扬声器通道的音频攻击？
• RQ2 何种机制可在不破坏应用功能的前提下，对动态创建的音频通道强制实施信息流控制？
• RQ3 当信息流违规发生时，特别是在系统关键组件中，如何灵活地解决安全策略？
• RQ4 能否设计一种安全框架，同时支持自动解析和用户驱动的批准机制来处理音频通道流？
• RQ5 在真实世界 Android 应用中强制实施细粒度音频通道安全，其性能和兼容性开销如何？

主要发现

• AuDroid 在 17 款广泛使用的 Android 应用中成功阻止了六种不同类型的基于音频通道的攻击。
• 所有 17 个评估的应用在 AuDroid 下均能正确运行，证明其具有高度兼容性且功能回归极小。
• 通过真实工作负载评估确认，该框架引入的性能开销可忽略不计。
• 使用回调机制处理特权应用解析，实现了对系统服务中信息流违规的安全处理。
• 可信用户路径使设备所有者能够批准高风险音频流，提升了可用性而不削弱安全性。
• AuDroid 与 SELinux 的集成实现了对音频 I/O 的强强制访问控制，且无需修改应用代码。