[论文解读] MobileAppScrutinator: A Simple yet Efficient Dynamic Analysis Approach for Detecting Privacy Leaks across Mobile OSs

Jagdish Prasad Achara, Vincent Roca+2 more|Graduate School and Research Center in Digital Science (EURECOM)|May 26, 2016

Advanced Malware Detection Techniques参考文献 5被引用 4

一句话总结

MobileAppScrutinator 是一个动态分析平台，通过监控网络流量（包括混淆或加密的 PII）来检测和衡量 Android 和 iOS 上的第三方隐私泄露。它揭示了 Android 应用在追踪方面显著比 iOS 应用更具侵入性，且当前操作系统的隐私保护措施（如 AdIdentifier 重置和限制广告追踪）因应用的绕过手段而失效。

ABSTRACT

Smartphones, the devices we carry everywhere with us, are being heavily tracked and have undoubtedly become a major threat to our privacy. As "tracking the trackers" has become a necessity, various static and dynamic analysis tools have been developed in the past. However, today, we still lack suitable tools to detect, measure and compare the ongoing tracking across mobile OSs. To this end, we propose MobileAppScrutinator, based on a simple yet efficient dynamic analysis approach, that works on both Android and iOS (the two most popular OSs today). To demonstrate the current trend in tracking, we select 140 most representative Apps available on both Android and iOS AppStores and test them with MobileAppScrutinator. In fact, choosing the same set of apps on both Android and iOS also enables us to compare the ongoing tracking on these two OSs. Finally, we also discuss the effectiveness of privacy safeguards available on Android and iOS. We show that neither Android nor iOS privacy safeguards in their present state are completely satisfying.

研究动机与目标

• 开发一个统一的动态分析平台，能够检测 Android 和 iOS 上的 PII 泄露。
• 衡量现实世界移动应用中第三方追踪的范围和行为。
• 比较 Android 和 iOS 平台在追踪普遍性和技术手段上的差异。
• 评估现有隐私保护措施在 Android 和 iOS 上防止追踪的有效性。

提出的方法

• 该平台通过在应用中注入代码，实现实时监控 Android 和 iOS 上的网络流量，执行动态分析。
• 捕获并分析发送到远程服务器的数据，包括明文、SSL 加密和混淆的 PII（例如哈希或加密的标识符）。
• 即使在 IMEI、AndroidID 或 MAC 地址等标识符被转换后传输的情况下，也能检测 PII 泄露。
• 该工具在两个操作系统上使用一致的注入和监控逻辑，以实现直接的跨平台比较。
• 对 140 款在两个平台上均可获取的流行应用进行行为评估，以确保测试条件的一致性。
• 评估隐私设置（如 AdIdentifier 重置和限制广告追踪）对追踪持久性的影响。

实验结果

研究问题

• RQ1 在流行的 Android 和 iOS 应用中，向第三方泄露个人身份信息（PII）的程度如何？
• RQ2 当前操作系统级别的隐私保护措施（如 AdIdentifier 重置和限制广告追踪）在 Android 和 iOS 上防止追踪的有效性如何？
• RQ3 应用使用了哪些追踪技术来绕过隐私保护机制，尤其是在 iOS 上？
• RQ4 Android 和 iOS 应用在追踪行为和 PII 泄露模式上存在哪些差异？
• RQ5 第三方库在 iOS 上收集如 IdentifierForVendor 这类稳定标识符的程度如何，从而削弱用户隐私设置？

主要发现

• 在测试的 140 款 iOS 应用中，66% 在重置 AdIdentifier 后仍继续追踪用户，表明重置功能无法有效防止跨会话追踪。
• 20% 的 iOS 应用收集了 IdentifierForVendor，这是一种稳定且不可重置的标识符，使第三方能够跨会话关联用户活动，尽管存在隐私设置。
• 在苹果限制访问后，使用 WiFi MAC 地址进行追踪的应用比例从 66% 下降至 42%，但仍有大量应用使用替代标识符以维持追踪。
• Android 应用在追踪方面被发现显著比 iOS 应用更具侵入性，表现为更频繁且更广泛的第三方数据收集。
• 尽管苹果政策规定在无应用内广告的情况下禁止访问 AdIdentifier，但许多应用仍能获取该信息，且限制广告追踪设置无法可靠阻止追踪。
• 许多应用在发送 PII 前使用混淆技术（如哈希或加密），而 MobileAppScrutinator 能够成功检测并分析这些行为。