[论文解读] Unauthorized Cross-App Resource Access on MAC OS X and iOS

Luyi Xing, Xiaolong Bai+6 more|arXiv (Cornell University)|May 26, 2015

Advanced Malware Detection Techniques参考文献 13被引用 7

一句话总结

本文揭示了苹果macOS和iOS平台中存在关键安全漏洞，使沙盒化恶意应用可通过未受保护的跨应用通信机制（如钥匙串、URL Scheme、WebSocket和NSConnection）实现未经授权的跨应用资源访问（XARA）。作者证明，这些漏洞可被利用来完全泄露敏感用户数据（包括密码、令牌和私有应用文件），方法是利用应用间交互中的弱认证机制；并提出一种自动化扫描工具Xavus，用于在应用发布前检测此类缺陷。

ABSTRACT

On modern operating systems, applications under the same user are separated from each other, for the purpose of protecting them against malware and compromised programs. Given the complexity of today's OSes, less clear is whether such isolation is effective against different kind of cross-app resource access attacks (called XARA in our research). To better understand the problem, on the less-studied Apple platforms, we conducted a systematic security analysis on MAC OS~X and iOS. Our research leads to the discovery of a series of high-impact security weaknesses, which enable a sandboxed malicious app, approved by the Apple Stores, to gain unauthorized access to other apps' sensitive data. More specifically, we found that the inter-app interaction services, including the keychain, WebSocket and NSConnection on OS~X and URL Scheme on the MAC OS and iOS, can all be exploited by the malware to steal such confidential information as the passwords for iCloud, email and bank, and the secret token of Evernote. Further, the design of the app sandbox on OS~X was found to be vulnerable, exposing an app's private directory to the sandboxed malware that hijacks its Apple Bundle ID. As a result, sensitive user data, like the notes and user contacts under Evernote and photos under WeChat, have all been disclosed. Fundamentally, these problems are caused by the lack of app-to-app and app-to-OS authentications. To better understand their impacts, we developed a scanner that automatically analyzes the binaries of MAC OS and iOS apps to determine whether proper protection is missing in their code. Running it on hundreds of binaries, we confirmed the pervasiveness of the weaknesses among high-impact Apple apps. Since the issues may not be easily fixed, we built a simple program that detects exploit attempts on OS~X, helping protect vulnerable apps before the problems can be fully addressed.

研究动机与目标

• 调查macOS和iOS上的应用隔离机制是否能有效防范未经授权的跨应用资源访问（XARA）攻击。
• 识别并分析苹果跨应用通信与沙盒机制中的安全弱点，这些弱点可被用于此类攻击。
• 开发一种自动化扫描工具（Xavus），能够检测应用二进制文件中缺失的认证机制，以防止攻击利用。
• 通过测试高影响力应用并展示隐蔽、未被察觉的攻击链，评估这些漏洞在现实世界中的影响。
• 为未来操作系统的应用安全设计提供洞见与缓解策略。

提出的方法

• 对macOS和iOS进行了系统性安全分析，逆向工程并测试了诸如钥匙串、WebSocket、NSConnection和URL Scheme等跨应用机制的行为。
• 构建了端到端的攻击链，针对高影响力应用（如Facebook、Evernote、WeChat）进行攻击，以演示对凭证和私有数据的未经授权访问。
• 开发了Xavus，一种自动化二进制分析工具，用于扫描macOS和iOS应用二进制文件，检测跨应用交互中缺失的认证机制。
• 通过劫持Apple Bundle ID，在macOS上利用基于BID的沙盒模型，获得对其他应用容器目录的完全访问权限。
• 在两个平台上使用中间人攻击技术，隐蔽地将窃取的令牌转发至目标应用，从而规避检测。
• 通过分析数百个应用二进制文件，验证了扫描器的有效性，确认了此类漏洞在生态系统中的广泛存在。

实验结果

研究问题

• RQ1 沙盒化的恶意应用是否能在macOS和iOS上绕过隔离机制，访问其他应用的敏感数据？
• RQ2 苹果的跨应用通信机制（如钥匙串、URL Scheme、WebSocket、NSConnection）是否对未经授权访问具备充分防护？
• RQ3 苹果的沙盒机制与Bundle ID机制在身份欺骗攻击下，其权限提升漏洞程度如何？
• RQ4 应用间及应用与操作系统间认证机制的缺失，是否会导致广泛且隐蔽的数据外泄？
• RQ5 在真实世界的应用二进制文件中，此类漏洞的自动化检测效果如何？

主要发现

• macOS和iOS上的钥匙串服务因跨应用访问控制中认证不足，易受恶意应用的未经授权访问。
• 在macOS和iOS上，URL Scheme劫持使恶意应用能够通过伪装成合法应用来窃取敏感令牌（如Evernote、iCloud令牌）。
• 在macOS上，NSConnection和WebSocket机制在缺乏适当认证检查的情况下，可被用于跨应用数据外泄。
• macOS上的基于BID的沙盒模型可被恶意应用通过劫持其他应用的Bundle ID而攻破，从而获得对目标应用私有容器目录的完全访问权限。
• 作者成功将恶意应用提交至苹果App Store并获得批准，证明该漏洞可绕过苹果的审核流程。
• 扫描工具Xavus在数百个高影响力应用中检测到缺失认证，证实该缺陷在生态系统中广泛存在。