APP下载

移动App个人信息安全检测分析

2021-01-16赵一凡曹晨业刘斌黄力冶

信息化建设 2021年5期
关键词:应用程序个人信息信息安全

赵一凡 曹晨业 刘斌 黄力冶

针对移动应用出现的个人信息非法泄露和使用等问题,提出一种结合人工渗透测试和漏洞分析的检测方法,通过静态和动态检测相结合,针对移动应用App进行多维度安全检测。

随着信息基础建设的发展和移动应用的普及,用户个人信息在使用过程中被应用开发者大量收集,出现了对个人信息的非法泄露和使用问题,严重威胁到了个人信息安全。据东部某省2020年App个人信息违法违规收集专项行动的数据显示,85%的App未明示收集使用个人信息的目的、方式和范围,56%的App未经用户同意收集使用个人信息,37%的App未按法律规定提供删除或更正个人信息功能或未公布投诉、举报方式等信息。

为此,笔者针对移动应用出现的个人信息非法泄露和使用等问题,提出一种结合人工渗透测试和漏洞分析的检测方法。通过静态和动态检测相结合,针对移动应用App进行列的分析,包含基本信息、漏洞信息、收集和使用个人信息行为、通讯传输行为、软件和技术供应链情况、技术脆弱性、隐私政策规范性以及App中第三方插件或SDK等进行多维度安全检测。

静态检测

静态检测由信息获取、重打包检测、权限检测和特征检测4个模块组成,对应用程序的源代码和文件信息进行扫描分析,解读应用程序的行为,具体流程如图1所示:

信息获取功能。该功能可获取应用程序的文件信息、权限的信息和组件信息。APK格式文件也可看作一个ZIP压缩文件,通过查看ZIP文件信息就可以获取文件相关信息;使用开源工具将Android应用程序中Android Manifest.xml文件轉换成XML文件,然后使用Python中的XML文件处理功能,来读取该XML文件中的uses-permission权限属性;Activity列表可获得应用的界面的类,服务是指后的运算类,可以通过service列表得到应用程序的后台运算类。

权限检测。权限检测技术可以提取到申请权限的Permission信息,根据Permission信息列表即可得出其敏感权限。应用程序的权限是安装时由用户确定的,如果一个应用程序在安装时未获得相应的权限,就无法正常运行。敏感权限是指App获取个人信息和个人敏感信息所需要的手机系统权限。如果安装时应用向系统申请了敏感权限,则应该做进一步检测。

特征检测功能。特征检测能识别出应用中的恶意代码,但因为特征库的更新不及时,这种检测方法有一定的滞后性。由于恶意行为必须通过系统API序列调用才能完成,在检测时舍弃二进制特征而采用API特征,对API序列进行分析,可以降低传统特征检测技术的滞后性。APK的特征参数包括被检测APK包含的所有的类以及函数名、参数签名和包名,以此来提高检测的全面性和准确性。

重打包检测功能。将APK文件进行反编译,嵌入恶意代码,再重新打包放在网络上供用户下载,是目前恶意代码传播的一种途径。公钥信息是由签名文件生成的,两个签名文件一定会生成不一致的公钥信息。重打包检测的原理是对比APK文件中和数据库中的Package Name和公钥信息,若两者一致,就判定为安全,如果不一致,则说明APK文件存在被重打包的风险。

动态检测

动态检测技术的核心是通过沙箱监测App动态运行行为,获取App代码中申请和使用的权限集合。采用的沙箱系统,如沙箱手机和云手机,可监测App在运行过程中的高达100+种行为,包括读取文件、写入文件、获取应用进程、读取系统配置等行为。同时行为函数调用栈对行为主体进行分析,过滤App或SDK行为,针对性排查违规行为主体,定位行为触发的代码位置。

沙箱系统结合DPI技术,对应用通讯传输数据进行抓取,分析传输数据内容,访问服务器地址、地理位置、网络传输类型等信息。定位信息接收对象,分析数据内容是否包含个人信息。建立本地websocket服务,浏览器连接上后,启动动态/法规检测,会给IDB发启动命令,IDB启动手机websocket服务,通过ssh通知手机连接IDB手机websocket服务,IDB下载ipa之后,将ipa移动到手机指定路径,调用命令安装,然后启动。手机检测过程中产生行为数据,经由IDB转发到浏览器端。

漏洞分析

通过静态和动态的检测方式对上述软件系统权限进行检测,能够发现常见的一些权限错配方面的问题,但还需根据代码测试进行漏洞的分析,以发现相关漏洞带来的个人信息安全威胁,具体检测漏洞类型见表1。

检测分析

检测样本选取。本次App个人信息安全检测对象为从在东部某省注册的7249个App中随机选择50个,分别从华为应用市场、应用宝、安智市场、百度手机助手、魅族市场、360市场等多个应用商城渠道下载获取,涵盖公众服务、卫生健康、新闻传媒、出行、互联网金融、儿童教育、网络游戏等领域,同时兼顾下载次数较高、领域内代表性强、社会热度较高的移动应用作为本次检测的对象。

检测结果分析。本次对东部某省App个人信息安全检测的结果显示,移动App在隐私政策、用户账号、个人信息收集等方面存在较多问题,具体情况如下:

未在隐私政策中说明个人信息存储和超期处理方式:存在未明确个人信息存放地域(国内、国外)、存储期限(法律规定范围内最短期限或明确的期限)、超期处理方式的问题。检测情况:经检测有27款应用不符合此项要求,占比为54%。

未在隐私政策中明示各项业务功能所收集的个人信息类型:存在未详细列举收集个人信息的业务功能及其收集的个人信息类型、收集/使用目的、收集具体方式的问题。检测情况:经检测有20款应用不符合此项要求,占比为40%。

隐私政策等文件存在免责等不合理条款:存在App运营者在用户协议、服务协议、隐私政策等文件中出现免除自身责任、加重用户责任、排除用户主要权利条款的问题。检测情况:经检测有17款应用不符合此项要求,占比为34%。

未在隐私政策中明示收集个人信息的业务功能:存在未逐项列举收集个人信息的业务功能及其收集的个人信息类型、收集/使用目的、收集具体方式的问题。检测情况:经检测有17款应用不符合此项要求,占比为34%。

不支持用户注销账号或是否支持用户查询、更正或删除个人信息:存在未提供App注销账号的途径,App未提供查询、更正、删除个人信息的途径,或因共享、转让、批露涉及第三方的,未通知第三方及时删除的问题。检测情况:经检测有16款应用不符合此项要求,占比为32%。

未在隐私政策中明示对外共享、转让、公开披漏个人信息规则:存在个人信息对外共享、转让、公开批露等情况,但在软件测试过程中查看隐私政策条款,未明确对外共享转让公开批露个人信息的目的、涉及的个人信息的类型、接受方类型或身份及承担的法律责任等信息的问题。检测情况:经检测有14款应用不符合此项要求,占比为28%。

随着5G技术的普及,移动App与生活联系将越发紧密,移动App个人信息安全评估将会成为信息安全的重要工作。本文中静态检测和动态检测相结合的方法,可以兼顾测试结果的全面性和准确性。在大数据时代,只有做好个人信息合规建设,才能让信息更好为人们服务,移动应用行业才能健康发展。

(作者单位:浙江省电子信息产品检验研究院)

猜你喜欢

应用程序个人信息信息安全
如何保护劳动者的个人信息?
个人信息保护进入“法时代”
警惕个人信息泄露
删除Win10中自带的应用程序
谷歌禁止加密货币应用程序
保护信息安全要滴水不漏
高校信息安全防护
保护个人信息安全刻不容缓
信息安全
个人信息保护等6项通信行业标准征求意见