DCert：找出你口袋里的泄露

静态数据流分析在评估应用程序安全性方面已证明其有效性。它面临的一个主要挑战是针对大型软件的可扩展性。当对计算和存储资源施加额外限制时（如移动设备的情况），该问题更加严重。在此类情况下，分析在传统计算机上执行。这带来了两个问题。首先，中间人攻击可篡改被分析的应用程序。因此一旦位于移动设备上，什么能保证实际版本未被篡改。其次，分析本身可能出错导致错误结果。作为解决方案，我们提出DCert，一种用于检查和认证数据流属性的工具，它由两部分组成：（重量级）分析器和（轻量级）检查器。分析器部署在传统计算机上。它验证给定应用程序对指定策略的符合性，并生成证明分析结果有效性的证书。随后移动设备上的检查器只需对应用程序大小进行线性遍历，即可验证或反驳该证书及策略。这使我们能够分离验证与检查过程，同时通过证书确保它们之间的信任关系。我们描述了DCert并报告了在真实世界应用程序上获得的实验结果。