[论文解读] Steal Your Life Using 5 Cents: Hacking Android Smartphones with NFC Tags

Carlos Bermejo, Pan Hui|arXiv (Cornell University)|May 5, 2017

User Authentication and Security Systems参考文献 6被引用 10

一句话总结

本文展示了攻击者如何利用低成本NFC标签，通过NFC功能的Android设备实施URL/URI欺骗、窃取敏感数据（如银行和社交媒体账号密码）、通过设备指纹识别和地理位置追踪用户，并在无用户交互的情况下执行未经授权的操作。其主要贡献在于识别出NFC-Android生态系统中关键且可被利用的漏洞，并提出实用且非侵入性的安全解决方案。

ABSTRACT

Nowadays privacy in the connected world is a big user's concern. The ubiquity of mobile devices permits billions of users browse the web at anytime, anywhere. Near Field Communication (NFC) appeared as a seamlessly and simply communication protocol between devices. Commercial services such as Android Pay, and Apple Pay offer contactless payment methods that are spreading in more and more scenarios. However, we take risks while using NFC on Android devices, we can be hacked, and our privacy can be affected. In this paper we study the current vulnerabilities in the NFC-Android ecosystem. We conduct a series of experiments and we expose that with NFC and Android devices are vulnerable to URL/URI spoofing, Bank/social network information hacking, and user's device tracking via fingerprint and geo-location. It is important for the community to understand the problem and come up solution that can tackle these issues and inform the users about privacy awareness and risks on using these contactless services.

研究动机与目标

• 调查NFC-Android生态系统中可被利用的漏洞，以实现隐蔽且用户无法察觉的攻击。
• 揭示NFC标签如何被用于执行URL/URI欺骗、设备指纹识别和未经授权的数据外泄。
• 证明当前的Android权限模型和位置追踪机制无法防范基于NFC的追踪和数据窃取。
• 提出轻量级、可部署的安全解决方案，在保持可用性的同时增强NFC交互中的隐私保护。

提出的方法

• 在真实Android设备上开展实验，利用NFC协议漏洞，包括URI欺骗和未经认证的数据注入。
• 利用Android默认行为自动从NFC标签启动意图，以执行恶意操作（如打开URL、发送短信或拨打电话）。
• 通过NFC触发的基于Web的指纹识别技术收集设备指纹，利用NFC触发的Web会话暴露的浏览器和传感器数据。
• 通过在NFC标签中嵌入GPS坐标，并观察设备在无明确用户同意情况下的位置报告行为，收集地理位置数据。
• 评估跨多个Android版本和设备型号的攻击可行性，以评估漏洞的影响范围。
• 提出缓解策略，如用户感知的NFC标签警告、增强的权限控制，以及对NFC触发操作的客户端验证。

实验结果

研究问题

• RQ1 NFC标签如何绕过Android的权限模型并在无用户同意的情况下执行恶意操作？
• RQ2 基于NFC的攻击在无明确用户授权的情况下，能在多大程度上实现设备指纹识别和位置追踪？
• RQ3 通过NFC在Android设备上进行URL/URI欺骗和凭证窃取的实际攻击向量有哪些？
• RQ4 现有的Android权限模型（Marshmallow前后）为何无法有效保护用户免受基于NFC的攻击？
• RQ5 在保持可用性的前提下，最有效且非侵入性的技术解决方案是什么，以保障NFC交互的安全性？

主要发现

• NFC标签可在无用户交互的情况下触发Android设备上的恶意URL或意图，从而实现网络钓鱼和凭证窃取。
• 通过利用NFC触发的Web会话启动基于浏览器的指纹识别技术，可实现可行的NFC设备指纹识别。
• 通过在NFC标签中嵌入GPS坐标并观察设备的位置报告行为，可从Android设备外泄地理位置数据。
• 由于权限处理不一致且用户对NFC触发操作缺乏意识，攻击面在多个Android版本中依然很高。
• 现有的基于浏览器的位置请求提示无法防范基于NFC的位置追踪，因为NFC不会触发此类提示。
• 作者已在多款Android设备上成功演示所有攻击向量，证实了这些攻击的实际可行性。