论文研究-一种基于Android轻型网关敏感数据泄露检测模型.pdf

所需积分/C币:9 2019-07-22 19:29:33 1.39MB .PDF
收藏 收藏
举报

针对智慧家居控制系统中基于Android系统轻型网关的敏感数据泄露问题,提出了一种基于Android本地库层污点传播和应用层控制的分层互连检测模型。通过在IPC Binder通信时标记污点,在待测应用进程调用本地网络套接字函数时检测污点,分析污点传播路径并计算泄露指数,实现对敏感数据泄露的跟踪检测。实验表明,该模型能够检测出各个敏感数据源以明文或密文方式的数据泄露,准确率达到93%以上,同时性能开销不超过1%,从而实现对Android轻型网关敏感数据泄露的有效检测,实用性强,并为之后相关研究提供了新方向。
第8期 三进平,等:一种基于 Android轻型网关敏感数据泄露检测模型 2393 泄露。 SSL加密,属于密文沚露方式ε但检测模块截获数据包是在SSL 2.2检测处理流程 加密之前,枍测是否泄露可以通过比较截获数据包中的data与污 该模型欻据处理流程如图3所示,控制模块首先开始步骤点标记的da,当完全致时即对应的敏感数据泄露。 12,其中步骤2是测试员根据实际需要自行配置,配置结果存 d)方式4。传播路径S-B-EC表示传播的污点数据经过 储于向量s,然后裝载待测ak文件,接着标记模垬开始步骤3加密过程κ,之后又经过传输层SⅠ加密,属于密文泄露方式。 的工作,之后检测模块进行步骤45的工作,北时是根据测试由于检测模块截获数据包是在SsL加密之前与加密过程E之 员自定义向量s过滤截获数据包并发给控制模块。最后,控制后,同样检测是否泄露取决于节点E加密前后明文和密文的 模块进行数据包的处理分析。 关系。 shared check 为了检测方式2、4数据泄露需要对E节点加密算法进行 module module area 分析 1>查询敏感数据源进程信息,写人共享区 3.2加密分析 2>自定义待测嫩感数据源信息列表写入共享区; 艰据密码学中对于密码体制的定义-2,密码体制满足 3>根据列表信息,有恶意进程访问时标记污点 以下条件的五元组(甲,C,K,8,0)。其中:P表示所有可能的明 文组成的有限集;C表示所有可能的密文组成的有限集;K代 4读取列表信息以便截获过滤数据包表密钥空间,是由所有可能的密钥组成的有限集;对任意的K 5>将数据包发送给控制模块 K,都存在一个加密法则K∈和相应的解密法则dK∈叨 6>分析处理 并且对每个eK:P→C和dk:C→P,对任意的明文x∈q,均有 d_k(e_ k(x)) 图3数据处理流程图 对于特定的待测应用APP,其加密过程可表示为 y=en_K(.h 3检测算法分析 其中:cnK表示加密算法,k表示密钥,x表示明文,y表示牛成 的密文。山式(2)可以推出两种情形。 对检測模块发來的数据包,控制模块需要进行分析处 理。此时的数据包可能是明文的,也可能是密文的,需妟通过 情形1当enK与k一定时,若x1=x2,则enk(x1,k) enK(x2,k),也就是待测应用的_K与k一定时,当mat模 分析标记污点的传播路径进行确定。 块每次使用常量data标记时,则 check模块每次截获的三元组 3.1污点传播路径 data也是常量。 敏感数据的源点是敏感信息进程,经过标记模块变为污点 情形2当enK或k不确定时,x相同,y不一定相同。即 数裾,在污点传播过程中可能会通过算法加密模坎,最后会通当待测用的cnK或h不确定时,即使mark模块每次使用常 过网络套接字函数泄露出去。污点数据的传播路径如图4所量da标记, check模块每次截尖的:元组dta也不·定相 示。节点S,S2,…,S为向量s的分量(以下用S表示任意分同2。 量),节点B为污点标记模块,节点E是核心加密算法模块,节 表1分类列举了当前市场上部分 Android恶意APP使用 点C、P分别对应检测模块中污点数据泄露出口S-wrie()的一些加密算法,表中DES、AES等属于分组加密算法,由于密 和 sendloByles(。从图中可以看出,传播路径有四条,分别为:钥k不确定,明文和密文的关系也不确定。 S-B-C、S-B-P、S-B-E-C、S-B-E-P。 表1 Android恶意使用加密算法埊例表 窃取类别 加密算法 恶意应用 账号密码类 Baiduwenki, Cawitt等 GPS、P类 R2、EBC等 Acnetdoor、 FakeNefix等 文件、照片类DES、 BLOWFISH等 Trojan、BIKE等 IⅥSI、MEI类 RSA、AES等 Banbridge, Crusewind等 图4污点传播路径有向图 通过分析冇向图中的污点传播路径,可以得出污点数据的 对于情形1,k次使用常量明文x标记污点时,得到的密文 泄露方式: 序列y1,y2,…,y.(y;x,i∈k),若(y1=y yk),即可验 a)方式1。传播路径SBP表示传播的污点数据白始至敏感数据泄露。 终没有经过加密过程E,属于明文泄露方式。检测是否泄露可 对于情形2,同样k次使用相同的明文x标记污点,得到密 以通过比较截获数据包中的data与污点标记的data,当完全 文的集合Y={y1,y,…,y4},y,∈Y,∈k,提取%的特征序列 致时即对应的敏感数据泄露。 构成一个向量空间,则必定存在该向量空间的特征基A b)方式2。传播路径SB-E-P表示传播的污点数据经过A,A,…,A}。对于任何一次使用常量daa标记得到的密 加密过程E,属于密文泄露方式。检测是否泄露取决于节点E文y,如果存在h个值a1,a2,…,a(k>>h)且 加密前后明文和密文的关系。 y=a1A+a,A (3) c)方式3。传播路径S-B-C表示传播的污点数据会在传输层即可验证敏感数据泄露。 2394 计算机应用研究 第33卷 3.3检测算法 检测,结果如表3所示。表中的明文选项是指通过SBP方式 控制模块接收到图4中节点P或节点C发送过来的数据泄露,密文选项表示通过其他三种泄露方式。从表中可以看 包,按以下过程分析处理: 出,第I组实验的正确率为0.937,第2组是0.942,第3组样 a)比较节点P截获数据包中的d与污点标记时三元组容量为600,正确率为0.945,第4组实验的正确率是0.96。 中的d,若相同,表示通过方式1路径sBP传播,则向量f可以得出当样本容量增大时,检测正确率也在增大,当样本容 对应分量置1,向量∥对应分量置1,丟弃d;否则,表示通过量增大到某一数量级时,检测准确率会逐渐趋于稳定 方式2路径S-B-E-P传播,则向量W对应分量置2,暂存dala 表2窃取敏感数据类恶意应用用例表 至向量d对应分量。同样比较节点C截获数据包中的dala与 分类 特征描述 污点标记时三元组中的dala,若相同,表示通过方式3路径S- S-B-P 没有使用加密算法,也没有SSL加密传输,窃取IMEI、An droid version,MAC、设备号等 B-C传播,则向量f对应分量置1,向量W对应分量置3,丢弃 S-B-0 没有使用加密算法,但通过SSL密传输,通过htts求类 dla;否则,表示通过方式4路径S-B-E-C传播,则向量W对应 的账号、密码传输等 分量置4,暂存daa至向量a对应分量 S.B-E-P 使用加密算汰,但没有SSL加密传输,泄露账号、日志、文件、 各忘录等 b)对于泄露方式24,根据向量d中存储的data,根据3.2 SBEC使用加密算法,也通过S.加密传输,泄露账号地址、重要 节中情形1、2的分析,如果有敏感信息泄露,则向量f对应分 信号敏感信息等 量置位,否则∫置0 表3模型有效性检测结果 c)计算待测应用的泄露指数l 恶意漏报明文密文明密文正确率 式中:表示泄露指数“,f为f标志向量对应分量,n是敏感 0.945 数据源的维数。 l18 6l5 d)判断/是否大于0,当>0时,表示敏感数据泄露。 4.3与 Taintdrojd对比测试 )根据向量W可得出对应敏感数据溴泄露方式。 为了进一步测试该模型的检测效果,从样木库中选择三组 4实验评估 样本,与文献[6]中的检测工具 Taint droid进行对比测试,实验 结果如表4所示,表屮 Cheeked表示模型。从表4屮可以 实验环境选择Tiny412开发板作为测试设备,处理器四 看出,通过对三组测试样本进行测试, Taint droid检测率在 核 Cortex a9,内存1GB, Android版本4.4.2,内核版本3.0.8 通过改造该平台搭建测试模型,首先导出 Android平台的共享 U.82左右, Check mdl检测率0.90以上, Checked检测效果优 于 Taint droid 库文件 ipcore.so与 libbinder.so,解析获取 Posix.cpp、 Native- 表4与 Taintdroid对比检测结果 Crypto.cp等源文件,得到函数 iost()、 sendto Byte()和SL wite()原型,分别添加前缀如“ stmark_”,得到 ctlmark ioclt 检测率 样本个数 ()、 ctlmark_ sendto Bytes()、 ctlmark SSL write()的命名形式, Taint Droid Check Mdl Taint Droid Check Mdl 编译并重新加入本地库中。然后编写壳函数,壳函数用于实现 0.91 0.84 0. 污点的标记和检测功能,壳函数的签名(返回值、名称、参数) 0.82 0.94 与上述三个函数的原名称完仝相同,但函数体不同,函数体包 括实现相应的功能代码、传参代码、调用添加前缀的对应函数44性能分析 代码。得到污点标记的mark.so和检测的 check.so共享库文 为了评估该模型相对于原始 Android系统增加的性能开 件,再导入本地库层中,夲地层模块撚建完毕。最后装载控制销,特地开发一组用十测试的AP,这组AP能够窃取轻型网 模块的apk文件。 关的敏感数据,通过网络泄露出去,传给远程的 server。平均 4.1泄露方式分析 测试次数为五次。为∫评估mark.sn和 check.so模块增加的 窃取敏感数据的恶意应用测试样本从文献[15~17]中获额外时间开销,通过日志时间戳获取敏感污点数据从标记至泄 取118个。根据文中第3章的分析,恶意测试用例分为叫个露所用的时间差的办法进行测试,结果如图6所示。 类别,如表2所示 140 50 120 cFU用率% 为了检测恶意应用窃取 Android轻型网关敏感数据的泄 100 露方式,从恶意样本中分别选择容量为200和400的两组恶意 30 样本进行检测。实验结果如图5所示。从图中可以看出,当样 本容量为20时,明文方式泄露数量是43,密文方式泄露数量 10 是154;当样本容量为400)时,明文泄露88个,密文泄露3068 400 个,密文泄露方式数量远高于明文泄露方式。 样本容量/个 图5敏感数据泄露方式测试结果图6性能开销测试结果 4.2有效性分析 从图6中可以看出,未修改系统( no modified)的时间差开 从测试样本中选用四组不同数量级的恶意样本分别进行销和CPL利用率分别为37.6ms与23%,当加载了mak.so和 第8期 三进平,等:一种基于 Android轻型网关敏感数据泄露检测模型 2395· check.o模块( modified)之后变为43.8ms与23%,时间差开 flow tracking system for realtime privacy monitoring on smartphones 销增加了6.2ms,增幅0.16%,CPU利用率不变。当装载了 LJ. ACM Trans on Computer Systems, 2014, 32(2): 5 control模块之后,数值分别为43.8ms与24%,时间差开销不[7 Peng Guojun, Shao yuru, Wang Taige,eta. Research on android 变,CU利用率增加1个百分点。由此可以看出,壳代码对于 malware detection and interception based on behavior monitoring J] 原始系统的影晌几乎可以忽略,控制模块由于与本地层模块分 Wuhan University Journal of Natural Sciences, 2012, 17(5) 层分布,不会增加额外时间开销,但増加了额外CPU的开销 421-427 总休来看,模型时问和CPU的开销是可以接受的。 [8SchreibeT.AndroidbinderEb/oL].[2012-03-29].http://www nds. rub. de/media/attachments/files/2012/03/binder. pdf 5结束语 [9 Zhang Y, Wang Y, Wang D, et al. Blackdroid: a black-box way for AndRoid plai 本文提出的基于 Android本地层污点传播和应用层控制 [C//Proe of the 3 rrl Inlernational Confererce on Consumer Eler:tra- 的检测模型,能够有效地检测 Android轻型网关的敏感数据泄 nics. Communications and Networks. S.I.: IEEE Press, 2013 露,模型额外性能开销不超过1%,具有很好的实用性,同时为 l78-181 进一步研究 Android智能轻型网关敏感数据保护提供了方向。[1U]冯登国.密鸡分析学[M.北京:清华大学出版社,200 参考文献 T Il Hellman M E. A cryptanalytic time-memory trade-off J|. IEEE L 1 Bian Jiali, Fan Dengke, Zhang Junming. The new intelligent home Trans on Information Theory, 1980, 26(4): 401-406 control system based on the dynamic and intelligent gateway[ Cl// [12] Wei TE, Jeng a B, Lee H M, et al. Android privacy C]//Proe of Proc of the 4 th Ieee International Conference on Broadband Network International Conference on Machine Learning and Cybernetics. [S and Multimedia Technology. [S1.]: IEEE Press, 2011: 526-530 ]: IEFF Press,2012:1830-1837 L2」IluJ, Wu Chengdong, Yuan Zhongjia,et. Research of intelli-[13王志强,张玉清,刘奇旭,等一种Ndmd恶意行为检测方法 gent home security surveillance system based on ZigBee[C]//Proc of LJ」.西安交通大学学报,2015,42(3):8-14. International Symposium on Intelligent Information Technology Appli [14 Wang Ping, Chao Kuoming, Lo Chichun, et al. Using taint analysis cation Workshops. [S1]: IEEE Press, 2008: 554-557 for threat risk of cloud applications[ C]// Proc of the 1l th IEEE Inter L3 Chen Chiamei, Lin Jeming, Lai Guhsin. Detecting mobile application national Conference on e-Business Engineering. [S1.: IEEE Press malicious behaviors based on data flow of source code[C //Proc of 2014:185-190 Intermational Conference on Trustworthy Systems and Their Applica[15]戴威,郑滔.基于 android权限机制的功态隐私保护模型[J].计 IEEE Press 2014: 1-6 算机应用研究,2012,29(9):3478-3482 [4 Felt A P, Chin E, Hanna S, et al. Android permissions demystified [16] Wei T E, Mao C H, Jeng A B, et aL. Android mal ware detection via [C]//Proc of the 1 8th ACM Conference on Computer and Communi a latent nel work behavior analysis[ C//PrIx of the: 11 th IEEE. Inter- cations Security. New York: ACM Press, 2011: 627-638 national Conference on Trust, Security and Privacy in Computing and [5 Kuzuno H, Tonami S. Signature generation for sensitive information Communications. LS.I.: IEEE Press, 2012: 1251-1258 leakage in Android applications[C]//Proe of the 29 th IEEE Interna- [17] Gu Boxuan, Li Xinfeng, Li Gang, et al. D2taint: differentiated and tional Conference on Data Engineering Workshops. LS. l.: IEEE dynamic information flow tracking on smartphones for numerous data Press,2013:ll2-119 sources C]//Proc of IEEE INFOCOM.S 1.1: IEEE Press, 2013 [6 Enck W, Gilbert P, Chun B G, et aL. Taint Droid an information- 791-799 (上接第2380页) [C]//Proc of Conference on Programming Language Design and Im [8 Ahren R, Zoeleweij P, Gemund A J C V. An evaluation of similarity plementation. 2005: 15-26 coefficients for software fault localization[ C]//Proc of Pacific Rim In- 14 Liu Chao, Yan Xifeng, Fei Long, et al. SOBER: statistical model ternational Symposium on Dependable Computing, 2006: 39-46 based bug localization[ Cl//Proc of European Software Engineering [9 Ahreu R, Zvelewei P, Gemund A J C V. On the accuracy of spec- Conference on lleld Jointly with International Symposium on Founda trurm-based fault localization[C]//Proc of ' Testing: Academic and In- tions of Software Engineering. 2005: 286-295 dustrial Conference on Practice and Research Techniques. 2007: 89-98 [15 Liu Chao, Fei Long, Yan Xifeng, et al. Statistical debugging: a hy- [ 10] Wong WE, Qi Yu, Zhao Lei, et al. Effective fault localization using pothesis testing-based approach[J]. IEEE Trans on Software Engi code coverage[C]//Proc of Annual International Computer Software neering,2006,32(10):831-848 L16 Chilimbi T M, Liblit B, Mehra K, et al. IIOLMES: effective statisti and Applications Conferenee 2007: 449-456 cal debugging via efficient path profiling[ C]//Proc of International [11] Wony W E, Debroy V, Choi B. A family of c detoverage-hased heIr Conference on Software Engineering. 2009: 34-44 ristics for effective fault localization[J]. Journal of Systems and [17]李伟,郑征,郝鹏,等.基于谓词执行序列的软焠缺陷定位算法 Software,2010.83(1):l88-208. [J].计算机学报,2013,36(12):2406-2419 [12] Liblit b, Aiken a, Zheng Aⅹ,e!al.B" g isolation vⅶ 1a remote pre-[I8]邡鹏,郑征,张震宇,等.基于谓词执行信息分析的自适应缺陷定 ing[ C //Proc of Ce nference on g anguage 位算法[J],计算机学报,2014,37(3):500-51 Design and Implementation. 2003: 141-154 19 The Siemens Suite EB/OL] .(2007-01-01 [13 Liblit B, Naik M, Zheng a X, et al. Scalable statistical bug isolation portal/index. php

...展开详情
试读 5P 论文研究-一种基于Android轻型网关敏感数据泄露检测模型.pdf
立即下载 低至0.43元/次 身份认证VIP会员低至7折
    抢沙发
    一个资源只可评论一次,评论内容不能少于5个字
    img

    关注 私信 TA的资源

    上传资源赚积分,得勋章
    最新推荐
    论文研究-一种基于Android轻型网关敏感数据泄露检测模型.pdf 9积分/C币 立即下载
    1/5
    论文研究-一种基于Android轻型网关敏感数据泄露检测模型.pdf第1页
    论文研究-一种基于Android轻型网关敏感数据泄露检测模型.pdf第2页

    试读已结束,剩余3页未读...

    9积分/C币 立即下载 >