Android-operativsystemet bygger på redan väletablerade behörighetssystem, men kompletterar dem genom att göra det möjligt att återanvända applikationskomponenter inom och över applikationer genom en enda kommunikationsmekanism, kallad Intent-mekanismen. I detta papper utvecklar vi tekniker för att statiskt upptäcka Android-program sårbarhet för attacker som får obehörig tillgång till behörighetsskyddad information. Vi tar itu med tre typer av sådana attacker, kända som förvirrade vicesheriff, tillståndssamfund, och Intent spoofing. Vi visar att applikationens sårbarhet för dessa attacker kan upptäckas med hjälp av fläckanalys. Baserat på denna teknik, utvecklade vi AuthorityFlow, ett verktyg för att upptäcka sårbarheter i bytekod och konfiguration av Android-program. För att möjliggöra AuthorityFlow-analysen utvecklar vi en statisk teknik för automatisk identifiering av behörighetsskyddade informationskällor i behörighetsbaserade system. Denna teknik identifierar API:er vars utförande leder till tillståndskontroll och anser att dessa API:er är källor till föroreningar. Baserat på detta tillvägagångssätt, utvecklade vi Authority Mapper, en komponent i AuthorityFlow som förbättrar på tidigare arbete genom att utföra helautomatisk identifiering av sådana API:er för Android Java-kod. Vår automatiserade analys av populära program fann att 56% av de bästa 313 Android-program aktivt använder inter-komponent informationsflöden. Bland de testade programmen hittade AuthorityFlow fyra exploaterbara sårbarheter. Genom att bidra till att säkerställa frånvaron av inter-application tillstånd läckor, tror vi att den föreslagna analysen kommer att vara mycket fördelaktigt för Android ekosystem och andra mobila plattformar som kan använda liknande analyser i framtiden.
TillståndFlow använder fläckanalys för att automatiskt upptäcka inter-application tillstånd läcker REF.
Automatic detection of inter-application permission leaks in Android applications
{'venue': 'IBM J. Res. Dev.', 'journal': 'IBM J. Res. Dev.', 'mag_field_of_study': ['Computer Science']}