[论文解读] Research on Third-Party Libraries in AndroidApps: A Taxonomy and Systematic LiteratureReview

Xian Zhan, Tianming Liu+5 more|arXiv (Cornell University)|Aug 9, 2021

Advanced Malware Detection Techniques参考文献 112被引用 14

一句话总结

本文首次对安卓应用中的第三方库（TPL）研究进行了系统性文献综述（SLR），分析了2012–2020年间74项研究。提出了一个四维的TPL研究分类体系，识别出关键方法、局限性及开放性挑战，并提供了全面的概述，以指导未来在TPL安全、隐私和维护方面的研究。

ABSTRACT

Third-party libraries (TPLs) have been widely used in mobile apps, which play an essential part in the entire Android ecosystem. However, TPL is a double-edged sword. On the one hand, it can ease the development of mobile apps. On the other hand, it also brings security risks such as privacy leaks or increased attack surfaces (e.g., by introducing over-privileged permissions) to mobile apps. Although there are already many studies for characterizing third-party libraries, including automated detection, security and privacy analysis of TPLs, TPL attributes analysis, etc., what strikes us odd is that there is no systematic study to summarize those studies' endeavors. To this end, we conduct the first systematic literature review on Android TPL-related research. Following a well-defined systematic literature review protocol, we collected 74 primary research papers closely related to the Android third-party library from 2012 to 2020. After carefully examining these studies, we designed a taxonomy of TPL-related research studies and conducted a systematic study to summarize current solutions, limitations, challenges and possible implications of new research directions related to third-party library analysis. We hope that these contributions can give readers a clear overview of existing TPL-related studies and inspire them to go beyond the current status quo by advancing the discipline with innovative approaches.

研究动机与目标

• 为解决安卓应用中第三方库（TPL）现有研究缺乏全面综合分析的问题。
• 识别并分类安卓生态系统中TPL分析的主要研究方向、方法和挑战。
• 提供一个结构化的TPL相关研究分类体系，以指导未来研究并增进对当前局限性的理解。
• 突出开放性挑战，并提出推动安卓移动安全与软件工程中TPL分析的潜在未来研究方向。

提出的方法

• 按照既定协议开展系统性文献综述（SLR），收集并分析2012至2020年间74篇关于安卓TPL的原始研究论文。
• 基于研究目的、背景、应用场景和方法论，构建了四维的TPL研究分类体系。
• 将研究归类为若干主题，如TPL检测、安全与隐私分析、漏洞检测以及依赖冲突解决。
• 对各项研究进行对比分析，以评估其方法论、工具和评估策略。
• 识别出重复出现的局限性，如依赖包名匹配、混淆处理问题以及漏洞TPL补丁延迟等问题。
• 综合关键发现，并基于现有文献的空白提出未来研究方向。

实验结果

研究问题

• RQ1 2012至2020年间，安卓应用第三方库分析的主要研究方向和主题是什么？
• RQ2 TPL检测、安全分析和漏洞评估中常用的方法和工具有哪些？
• RQ3 现有TPL研究中的关键局限性和挑战是什么，特别是检测准确性和实际适用性方面？
• RQ4 当前研究如何应对TPL引入的隐私泄露、权限过度授予以及依赖冲突问题？
• RQ5 安卓TPL分析领域中存在哪些开放性挑战及潜在的未来研究方向？

主要发现

• 谷歌应用商店中约51%的应用包含分析类库（如Google Firebase），超过60%的应用代码归因于第三方库。
• TPL引入了显著的安全风险，包括隐私泄露、权限过度授予以及因补丁延迟导致的供应链漏洞。
• 许多现有的TPL检测方法依赖于包名匹配，当应用混淆时该方法失效，从而限制了检测准确性。
• 大量应用在已知安全问题存在的情况下仍继续使用过时或存在漏洞的TPL，增加了攻击面。
• TPL可能干扰应用分析任务（如重新打包检测），通常需要基于白名单的过滤机制，但此类方法不完整且易出错。
• 尽管已有大量研究，该领域仍缺乏统一的分类体系和系统性综述，本文通过全面的SLR和四维分类体系解决了这一问题。