IIFA：Android 应用的模块化跨应用意图信息流分析
软件工程
2023-05-09 v1 密码学与安全
编程语言
摘要
Android 应用通过意图（intent）的消息传递进行协作。然而，当应用不具有相同的权限集合时，跨应用通信（IAC）可能被意外或恶意滥用，例如违背用户预期泄露敏感信息。近期研究考虑使用静态程序分析来检测由于组件间通信（ICC）或 IAC 引起的危险数据泄露，但在精度、完备性和可扩展性方面存在不足。为解决这些问题，我们提出了一种用于静态 ICC/IAC 分析的新方法。我们对 ICC/IAC 摘要信息进行不动点迭代，以精确解析涉及两个以上应用的意图通信。我们将这些结果与基线（即不考虑意图）信息流分析生成的信息流相集成，并解析敏感数据是否（传递地）流经组件/应用从而最终被泄露。我们的主要贡献是首个完全自动、完备且精确的 ICC/IAC 信息流分析，由于模块化而可扩展到真实应用，避免了组合爆炸：我们的方法使用简短摘要而非内联意图调用来确定通信应用，后者常需同时分析所有应用元组。我们从可扩展性、精度和召回率方面评估了工具 IIFA。利用基准测试，我们确定算法的精度和召回率明显优于知名的 SOTA IAC 分析。但最重要的是，应用于 Google Playstore 上 90 个最流行应用，IIFA 展示了对大规模真实应用语料的可扩展性。IIFA 报告了经由两个或更多应用/组件的 62 个有问题的 ICC-/IAC 相关信息流。
引用
@article{arxiv.1812.05380,
title = {IIFA: Modular Inter-app Intent Information Flow Analysis of Android Applications},
author = {Abhishek Tiwari and Sascha Groß and Christian Hammer},
journal= {arXiv preprint arXiv:1812.05380},
year = {2023}
}