[论文解读] Aware: Controlling App Access to I/O Devices on Mobile Platforms

Giuseppe Petracca, Ahmad Atamli+3 more|arXiv (Cornell University)|Apr 7, 2016

Advanced Malware Detection Techniques参考文献 16被引用 5

一句话总结

Aware 是一种安全框架，通过运行时拦截和显式用户授权，将移动平台上的应用 I/O 设备访问请求与用户意图绑定，以防止摄像头、麦克风和屏幕被未经授权使用。在无意识状态下，未被检测到的攻击从 82% 降低至 18%，在无授权情况下可阻止所有攻击，且用户仅需 4.79% 的最大性能开销即可检测到 82% 的复杂社会工程学攻击。

ABSTRACT

Smartphones' cameras, microphones, and device displays enable users to capture and view memorable moments of their lives. However, adversaries can trick users into authorizing malicious apps that exploit weaknesses in current mobile platforms to misuse such on-board I/O devices to stealthily capture photos, videos, and screen content without the users' consent. Contemporary mobile operating systems fail to prevent such misuse of I/O devices by authorized apps due to lack of binding between users' interactions and accesses to I/O devices performed by these apps. In this paper, we propose Aware, a security framework for authorizing app requests to perform operations using I/O devices, which binds app requests with user intentions to make all uses of certain I/O devices explicit. We evaluate our defense mechanisms through laboratory-based experimentation and a user study, involving 74 human subjects, whose ability to identify undesired operations targeting I/O devices increased significantly. Without Aware, only 18% of the participants were able to identify attacks from tested RAT apps. Aware systematically blocks all the attacks in absence of user consent and supports users in identifying 82% of social-engineering attacks tested to hijack approved requests, including some more sophisticated forms of social engineering not yet present in available RATs. Aware introduces only 4.79% maximum performance overhead over operations targeting I/O devices. Aware shows that a combination of system defenses and user interface can significantly strengthen defenses for controlling the use of on-board I/O devices.

研究动机与目标

• 解决远程访问木马（RATs）日益增长的威胁，这些木马滥用对移动 I/O 设备（如摄像头、麦克风和屏幕）的授权访问。
• 克服当前移动操作系统的局限性，这些系统未能将用户授权与实际设备使用绑定，导致隐蔽的数据外泄。
• 通过使所有 I/O 操作显式化并以授权为前提，减少用户对持续监控的依赖。
• 评估将系统级中介与用户界面反馈相结合，是否能显著提高对 I/O 设备社会工程学攻击的检测能力。
• 测量在真实 Android 环境中强制执行 I/O 操作显式用户授权所带来的性能开销。

提出的方法

• 通过系统级服务拦截所有对 I/O 设备（摄像头、麦克风、屏幕）的请求，实现访问中介。
• 为每次 I/O 操作显示持久的、与应用无关的用户提示，确保用户意图被显式捕获且无法被欺骗。
• 保持对正在进行的 I/O 操作的可见性，允许用户随时终止操作。
• 使用安全的非交互式界面，防止应用操纵或隐藏授权提示。
• 在 Android 6.0.1_r5 上实现该框架，并通过微基准测试和包含 74 名参与者的用户研究进行评估。
• 通过比较原生 Android 与启用 Aware 的系统中请求到批准的延迟，测量性能开销。

实验结果

研究问题

• RQ1 一种将用户授权与 I/O 设备操作绑定的系统级框架，能否显著降低恶意应用通过隐蔽方式外泄数据的成功率？
• RQ2 当用户提供显式、可见的授权提示时，用户在多大程度上能检测到劫持已批准请求的复杂社会工程学攻击？
• RQ3 在现代移动平台上强制执行 I/O 设备访问的显式用户授权，其性能开销是多少？
• RQ4 与现有访问控制机制相比，Aware 在阻止无需用户授权的攻击方面效果如何？
• RQ5 系统强制执行与用户界面反馈的结合，能否减少移动安全中的用户疲劳和通知盲视？

主要发现

• 在无 Aware 的情况下，74 名研究参与者中仅有 18% 能够识别出测试 RAT 应用的攻击，凸显了隐蔽 I/O 滥用的高成功率。
• 当用户未授权时，Aware 有效阻止了所有攻击，证明了对未经授权访问的完全防护。
• 在启用 Aware 的情况下，用户检测到了 82% 的复杂社会工程学攻击，这些攻击旨在劫持已批准的请求，包括此前未见过的攻击模式。
• Aware 引入的最大性能开销为屏幕截图操作的 4.79%，所有 I/O 操作的平均开销为 2.19%。
• 微基准测试结果显示，Aware 每个 I/O 请求仅增加 1–5 μs 的延迟，对系统响应能力的影响可忽略不计。
• 用户研究证实，显式、持久且与应用无关的授权提示显著减少了用户错误，并提高了对恶意行为的检测能力。