Android消息应用安全与隐私特性的实证比较

移动消息应用是基本的通信基础设施，每天被数十亿人用于分享信息，包括敏感数据。因此，安全和隐私是此类应用的关键关注点。虽然消息应用中普遍使用的加密协议已经得到充分研究，但此类应用的其他相关实现特性，如软件架构、权限使用和网络相关的运行时行为，尚未得到足够关注。在本文中，我们提出了一种通过可复现场景下的静态和动态分析来比较消息应用实现特性的方法，以识别具有潜在安全和隐私影响的差异。我们将该方法应用于研究Meta Messenger、Signal和Telegram的Android客户端。我们的主要发现揭示了应用复杂性、攻击面和网络行为方面的差异。静态上，Messenger具有最大的攻击面和最多的静态分析警告，而Telegram请求了最危险的权限。相比之下，Signal始终展现出极简设计，具有最少的依赖和危险权限。动态上，这些差异体现在网络活动中；Messenger最为活跃，表现出持续的后台通信，而Signal最不活跃。此外，我们的分析表明所有应用均正确遵守Android权限模型，没有未经授权的数据访问证据。