计算机研究与发展

作者：李振,汤战勇,李政桥,王海,龚晓庆,陈峰,陈晓江,房鼎益,

关键词：Android安全, 隐私泄露, 静态分析, 数据流分析, 污点分析,

近年来，Android操作系统发展迅猛，大量的移动用户使用Android智能设备作为私人通信和工作的工具.Android移动用户的隐私信息随之成为黑色产业从业者的主要攻击目标之一.现有的隐私检测研究主要集中于解决Android应用程序内部的隐私泄露风险，包括程序组件内隐私泄露、组件间隐私泄露以及组件间通信(inter-componentcommunication,ICC)漏洞的检测.然而在实际环境中，不同应用程序间通过协作获取用户隐私的行为广泛存在，这造成大量用户隐私信息被泄露的风险.如何有效检测和防止跨APP组件间隐私泄露是亟待解决的问题.然而Android应用程序中组件数量庞大并且存在大量与跨APP间隐私泄露无关的组件.因此在应用程序之间如何检测可能存在的隐私泄露路径面临严峻的挑战.针对该问题，提出一种构建潜在泄露隐私的组件序列的方法，并利用数据流分析技术实现一个跨APP组件间隐私泄露的检测系统PLDetect.PLDetect解决了现有技术存在的检测结果滞后的问题以及代码覆盖率不全的问题.最后，PLDetect在隐私泄露路径的基础上，使用一种基于加密的隐私泄露防护方法对隐私信息进行加密，保证在不影响应用程序运行时性能的情况下有效阻止隐私数据被恶意传送.最终实验表明，PLDetect在81个应用程序中监测出5组应用程序存在跨APP组件间隐私泄露问题并有效阻断了隐私数据的泄露.

来源：2019年第6期

《计算机研究与发展》期刊编辑部

查看计算机研究与发展杂志2019年第6期