[论文解读] PolyScope: Multi-Policy Access Control Analysis to Triage Android Systems

Y. Lee, William Enck+7 more|arXiv (Cornell University)|Aug 8, 2020

Advanced Malware Detection Techniques被引用 4

一句话总结

PolyScope 是一种新颖的访问控制分析工具，通过分析强制性（SEAndroid）与自主性（UNIX）访问控制之间的相互作用，识别并优先处理 Android 中基于文件的攻击向量。它检测权限扩展——攻击者利用策略灵活性来提升权限——并计算实际的攻击操作，发现约 15–20% 的扩展权限无法被利用，从而实现对 Google 和 OEM Android 版本中漏洞的精准筛选，包括两个此前未知的漏洞。

ABSTRACT

Android filesystem access control provides a foundation for Android system integrity. Android utilizes a combination of mandatory (e.g., SEAndroid) and discretionary (e.g., UNIX permissions) access control, both to protect the Android platform from Android/OEM services and to protect Android/OEM services from third-party apps. However, OEMs often create vulnerabilities when they introduce market-differentiating features because they err when re-configuring this complex combination of Android policies. In this paper, we propose the PolyScope tool to triage the combination of Android filesystem access control policies to vet releases for vulnerabilities. The PolyScope approach leverages two main insights: (1) adversaries may exploit the coarse granularity of mandatory policies and the flexibility of discretionary policies to increase the permissions available to launch attacks, which we call permission expansion, and (2) system configurations may limit the ways adversaries may use their permissions to launch attacks, motivating computation of attack operations. We apply PolyScope to three Google and five OEM Android releases to compute the attack operations accurately to vet these releases for vulnerabilities, finding that permission expansion increases the permissions available to launch attacks, sometimes by more than 10X, but a significant fraction of these permissions (about 15-20%) are not convertible into attack operations. Using PolyScope, we find two previously unknown vulnerabilities, showing how PolyScope helps OEMs triage the complex combination of access control policies down to attack operations worthy of testing.

研究动机与目标

• 为解决在 OEM 通过重新配置复杂访问控制策略引入漏洞的 Android 系统中，识别真实攻击向量的挑战。
• 检测攻击者如何利用自主访问控制（DAC）的灵活性和粗粒度强制访问控制（MAC）的特性，来扩展其权限。
• 计算实际的攻击操作——可行的利用路径——而非仅识别完整性违规，从而实现对漏洞的有效筛选以供测试。
• 提供一种可扩展的方法，用于分析 Android 中结合的 MAC 和 DAC 策略，包括 Android 权限，以提升平台完整性。
• 通过精确建模权限扩展和攻击可行性，揭示 OEM Android 版本中此前未知的漏洞。

提出的方法

• PolyScope 计算完整性违规，即低完整性主体（攻击者）被授权修改高完整性主体（受害者）所使用的资源。
• 通过分析攻击者如何操纵 DAC 策略，以获得超出 MAC 策略原始授权范围的更广泛访问权限，来建模权限扩展。
• 该工具结合 SEAndroid MAC 策略、UNIX DAC 策略和 Android 权限模型，以推理组合访问控制行为。
• 通过确定扩展权限是否可被用于执行真实攻击（如文件抢占或链接遍历）来计算攻击操作。
• PolyScope 使用符号执行和策略组合技术，分析多个 Android 版本中所有可能的权限扩展及其可利用性。
• 该方法包含一个过滤步骤，用于消除无法利用的扩展权限，从而减少误报，并实现高效的漏洞筛选。

实验结果

研究问题

• RQ1 攻击者如何利用自主访问控制（DAC）的灵活性，在 Android 中扩展其有效权限，使其超出强制访问控制（MAC）所授予的范围？
• RQ2 在 Android 文件系统访问控制中，哪些完整性违规可作为真实攻击操作被利用，哪些由于访问限制而属于无害？
• RQ3 OEM 对 Android 访问控制策略的修改在多大程度上引入了新的、此前未知的攻击向量？
• RQ4 权限扩展使攻击面扩大了多少？其中有多少比例的扩展权限实际上可用于真实攻击？
• RQ5 对结合的 MAC、DAC 和 Android 权限策略进行统一分析，能否在不过多产生误报的情况下准确识别可利用的漏洞？

主要发现

• 在某些 Android 版本中，权限扩展使潜在可利用权限的数量增加了 10 倍以上，显著扩大了攻击面。
• 尽管存在这种扩展，约 15–20% 的新可用权限无法转化为实际攻击操作，表明存在较高的非可利用威胁比例。
• PolyScope 在 OEM Android 版本中识别出两个此前未知的漏洞，证明了其在真实世界漏洞筛选中的有效性。
• 该工具通过过滤掉无法利用的扩展权限，成功减少了误报，使测试可集中于高风险攻击操作。
• 分析表明，OEM 在功能定制过程中常常未能修复引入的完整性违规，导致持久性漏洞。
• 作用域存储不影响外部存储之外的完整性违规，证实 PolyScope 的发现与核心文件系统访问控制密切相关。