[论文解读] Danger is My Middle Name: Experimenting with SSL Vulnerabilities in Android Apps

Lucky Onwuzurike, Emiliano De Cristofaro|arXiv (Cornell University)|May 4, 2015

Advanced Malware Detection Techniques参考文献 9被引用 5

一句话总结

本文研究了100款下载量高的热门Android应用中的SSL漏洞，结合静态与动态分析，揭示了广泛存在的不安全实践。研究发现，32%的应用接受所有证书和主机名，4%的应用未加密传输敏感数据，在安装恶意证书的情况下，高达91%的应用在中间人攻击下存在漏洞。

ABSTRACT

This paper presents a measurement study of information leakage and SSL vulnerabilities in popular Android apps. We perform static and dynamic analysis on 100 apps, downloaded at least 10M times, that request full network access. Our experiments show that, although prior work has drawn a lot of attention to SSL implementations on mobile platforms, several popular apps (32/100) accept all certificates and all hostnames, and four actually transmit sensitive data unencrypted. We set up an experimental testbed simulating man-in-the-middle attacks and find that many apps (up to 91% when the adversary has a certificate installed on the victim's device) are vulnerable, allowing the attacker to access sensitive information, including credentials, files, personal details, and credit card numbers. Finally, we provide a few recommendations to app developers and highlight several open research problems.

研究动机与目标

• 识别并衡量具有大量用户基础的热门Android应用中与SSL相关的安全漏洞。
• 评估不安全SSL/TLS实现（如证书固定绕过和主机名验证失败）的普遍性。
• 通过受控实验测试环境，评估这些应用在现实世界中遭受中间人（MITM）攻击的风险。
• 为开发人员提供可操作的建议，并指出移动安全领域中的开放研究挑战。

提出的方法

• 选取了至少拥有1000万次下载量且具备完整网络访问权限的100款Android应用。
• 通过静态分析检测源代码和库中的不安全SSL/TLS配置。
• 使用自定义测试平台进行动态分析，模拟使用伪造CA的中间人攻击。
• 监控网络流量，检测未加密数据传输和证书接受行为。
• 在两种条件下评估应用行为：默认设备信任库和预安装恶意证书时。
• 使用自动化工具注入和流量检查，记录敏感数据泄露和信任违规情况。

实验结果

研究问题

• RQ1 在下载量高的热门Android应用中，不安全SSL/TLS实现的普遍程度如何？
• RQ2 应用在多大程度上未能验证服务器证书或主机名，从而扩大了中间人攻击面？
• RQ3 当设备上预安装了恶意证书时，凭据和敏感数据泄露的实际风险是什么？
• RQ4 不同的应用配置和信任设置如何影响其对中间人攻击的易受程度？
• RQ5 导致生产环境中Android应用通信不安全的关键实现缺陷有哪些？

主要发现

• 在分析的100款应用中，32款（32%）接受所有证书和主机名，表明存在严重的信任验证绕过问题。
• 4款应用（4%）通过未加密连接以明文形式传输敏感数据，包括凭据和信用卡号码。
• 当恶意证书被预安装到设备时，分析的应用中高达91%易受中间人攻击。
• 许多应用未能实现证书固定，或依赖不安全的信任管理器，增加了遭受网络攻击的风险。
• 研究发现，使用默认SSL套接字工厂和禁用主机名验证等常见安全实践仍在广泛部署。
• 结果凸显了理论安全最佳实践与生产环境中Android应用实际实现之间的关键差距。