[论文解读] AUSERA: Large-Scale Automated Security Risk Assessment of Global Mobile Banking Apps.

Sen Chen, Guozhu Meng+8 more|arXiv (Cornell University)|May 14, 2018

Advanced Malware Detection Techniques参考文献 38被引用 16

一句话总结

本文提出 AUSERA，一种结合自然语言处理与静态代码分析的三阶段自动化系统，用于检测全球移动银行应用中的安全弱点。该系统分析了来自 80 多个国家的 693 款真实应用，发现 2,157 个漏洞，其中 21 家银行承认了报告的问题，凸显了旧版应用、第三方库污染以及弱哈希函数带来的风险。

ABSTRACT

Contemporary financial technology (FinTech) that enables cashless mobile payment has been widely adopted by financial institutions, such as banks, due to its convenience and efficiency. However, FinTech has also made massive and dynamic transactions susceptible to security risks. Given large financial losses caused by such vulnerabilities, regulatory technology (RegTech) has been developed, but more comprehensive security risk assessment is specifically desired to develop robust, scalable, and efficient financial activities. In this paper, we undertake the first automated security risk assessment and focus on global banking apps to examine FinTech. First, we analyze a large number of banking apps and propose a comprehensive set of security weaknesses widely existent in these apps. Second, we design a three-phase automated security risk assessment system (Ausera), which combines natural language processing and static analysis of data and control flows, to efficiently identify security weaknesses of banking apps. We performed experiments on 693 real-world banking apps across over 80 countries and unveiled 2,157 weaknesses. To date, 21 banks have acknowledged the weaknesses that we reported. We find that outdated version of banking apps, pollution from third-party libraries, and weak hash functions are all likely to be exploited by attackers. We also show that banking apps of different provenance exhibit various types of security weaknesses, mainly due to economies and regulations that take shape. Given the drastic change in the nature of intermediation, it behooves the RegTech companies and all stakeholders to understand the characteristics and consequences of security risks brought by contemporary FinTech.

研究动机与目标

• 为应对由于金融科技快速普及和交易量动态增长所带来的全球移动银行应用安全风险日益加剧的问题。
• 开发一种可扩展的自动化系统，以大规模识别移动银行应用中的安全弱点。
• 理解监管和经济因素如何影响不同地区银行应用中所呈现的安全漏洞类型。
• 通过提供金融行业机构和监管机构可全面使用的自动化评估框架，支持监管科技（RegTech）的发展。

提出的方法

• AUSERA 框架采用三阶段架构：对代码进行静态分析以检测数据流与控制流，对应用文档和元数据进行自然语言处理，以及关联分析结果以检测安全弱点。
• 利用静态分析识别不安全的编码模式，例如硬编码密钥和弱加密函数。
• 应用自然语言处理技术，从应用描述、权限信息和第三方库引用中提取与安全相关的信息。
• 通过关联静态分析与 NLP 分析的结果，降低误报率并提高检测准确性。
• 采用风险评分模型，根据漏洞的可利用性和潜在影响程度对漏洞进行优先级排序。
• 该框架在来自 80 多个国家的 693 款真实世界银行应用数据集上进行了评估。

实验结果

研究问题

• RQ1 全球移动银行应用中最普遍的安全弱点是什么？
• RQ2 结合静态分析与自然语言处理的自动化系统在检测银行应用安全漏洞方面的有效性如何？
• RQ3 不同地区的监管和经济差异在多大程度上影响了银行应用中所发现的安全弱点类型？
• RQ4 哪些具体漏洞——如旧版本、第三方库污染或弱哈希函数——最常被利用？
• RQ5 在实际中，有多少家银行承认并响应了自动化漏洞披露？

主要发现

• 本研究在来自 80 多个国家的 693 款真实世界移动银行应用中识别出 2,157 个安全弱点。
• 21 家银行承认了通过 AUSERA 系统报告的漏洞，表明该研究具有实际影响并得到积极回应。
• 银行应用的旧版本被发现是可利用漏洞的主要来源。
• 第三方库显著加剧了安全污染，扩大了攻击面。
• 弱哈希函数被广泛使用，增加了密码学攻击的风险。
• 不同地区的银行应用呈现出不同的漏洞模式，主要受当地监管政策和经济条件的影响。