CN104778408A - 一种基于Android的隐蔽通道攻击审计与侦测方法 - Google Patents

Abstract

本发明公开了一种基于Android的隐蔽通道攻击审计与侦测方法，属于计算机系统安全技术领域。本发明包括以下步骤：(1)按照“共享资源-操作原语”的形式自定义目标隐蔽通道；(2)将定义好的隐蔽通道解析为相关的java层api hook函数和内核层审计规则；(3)根据访问共享资源的应用程序权限，在运行时根据内核审计模块和java层hook函数传递的信息，动态审计各应用程序之间对目标共享资源的操作特征；(4)当审计值超过阈值时，调用共享资源状态干扰模块，模仿高权限应用对共享资源操作特征改变共享资源的相关状态，干扰基于该共享资源的隐蔽数据传输。本发明在系统运行时动态审计隐蔽通道攻击的存在，扰乱隐蔽通道传输的数据内容，防止敏感数据的泄露。

Description

一种基于Android的隐蔽通道攻击审计与侦测方法

技术领域

本发明属于计算机系统安全技术领域，更具体地，涉及一种基于Android的隐蔽通道攻击审计与侦测方法。

背景技术

随着智能手机的普及与功能的完善，智能手机内部存储了越来越多的敏感数据信息，例如账户信息、联系人信息等。面对针对智能手机频发的敏感数据窃取手段，这些数据的安全显得愈发重要，需要不断的研究具有针对性的应对措施。

在各类隐私数据窃取的手段当中，隐蔽通道攻击具有极强的隐蔽性。其通过高权限与低权限应用程序的共谋，借助系统共享资源的可被观察与改变的状态，绕过操作系统基于权限的安全机制，使未申请相关权限的应用程序可以非法获取被权限保护的敏感数据。传统的恶意应用程序查杀工具，只针对每个恶意程序进行单独扫描，缺乏对隐蔽通道攻击特性的审查，无法识别该类攻击的特征。

针对上述问题，曾有方案依靠于强制访问控制框架，通过静态制定策略对承载隐蔽通道攻击数据媒介的共享资源进行严格的访问控制，以避免隐蔽通道攻击的产生。但该类方案限制了系统共享资源的使用，损坏了共享资源的可用性，对应用程序的正常运行会造成不必要的负面影响。

发明内容

针对现有技术的以上缺陷或改进需求，本发明提供一种基于Android的隐蔽通道攻击审计与侦测方法，用于在系统运行时动态审计隐蔽通道攻击的存在，并采取对相关系统共享资源进行有针对性的状态改变，从而扰乱隐蔽通道传输的数据内容，防止敏感数据的泄露。

本发明提供一种基于Android的隐蔽通道攻击审计与侦测方法，包括以下步骤：

步骤1注册用户描述的所要审计的目标隐蔽通道，其中，对所述目标隐蔽通道的描述包括系统共享资源路径和对共享资源状态的改变操作原语与读取操作原语；

步骤2读取所述目标隐蔽通道的描述，并生成对应的审计规则和hook函数；

步骤3监听应用程序对存放敏感数据的数据存放组件的访问行为，并为被应用程序访问过的敏感数据建立档案，所述档案包含被访问敏感数据的数据类型以及访问该敏感数据的应用程序UID；

步骤4监控应用程序对已注册的目标隐蔽通道对应的系统共享资源的访问，并将访问者的UID与所述档案进行匹配，若一个应用程序访问了所述目标隐蔽通道对应的系统共享资源，且其UID在所述档案中有记录，则为该应用程序本次以及后续的系统共享资源访问操作生成记录，然后执行步骤5，否则不记录此次应用程序对系统共享资源的访问操作，并重复该步骤；

步骤5当有另一应用程序访问了所述步骤4中的应用程序访问过的目标隐蔽通道对应的系统共享资源，且其权限低于步所述骤4中先访问同一项系统共享资源的应用程序的权限，则针对这个低权限应用程序，生成并维护所述低权限应用程序对相关系统共享资源的访问记录；

步骤6根据所述步骤4与所述步骤5生成的各个系统共享资源访问记录审计具有较高权限应用程序与所述低权限应用程序对相同系统共享资源的访问，并估算在每一对高权限与低权限应用程序之间，通过所述目标隐蔽通道对应的系统共享资源所隐蔽传输的数据量，当估算的隐蔽传输数据量超出设定的阈值时，执行步骤7，否则重复本步骤；

步骤7对在所述步骤6中承载了超标隐蔽数据传输的目标隐蔽通道对应的系统共享资源的状态进行干扰。

总体而言，通过本发明所构思的以上技术方案与现有技术相比，具有以下有益效果：

(1)对基于各类共享资源的存储隐蔽通道具有良好的泛用性。相比于一些仅审查固定系统资源的方案，本发明通过审计规则与hook函数的动态生成，支持了对隐蔽通道攻击审计的可定制性；

(2)审计标准拥有良好的可扩展性。本发明采用了模块化架构，对于审计标准采用了模块化封装。只要实现接口中的指定方法，用户便可以根据自己的需求对各类型隐蔽通道开发特定的审计标准，从而提高审计准确率；

(3)对假阳性审计结果的高容忍性。由于本发明采用了针对隐蔽通道的状态干扰而非严格访问控制，使得应用程序对相关共享资源的正常访问不受限制，同时可以有效遏制通过编制共享资源状态而进行的隐蔽数据传输。

附图说明

图1为本发明基于Android的隐蔽通道攻击审计与侦测方法的应用环境示意图；

图2为本发明基于Android的隐蔽通道攻击审计与侦测方法的流程图；

图3为本发明决策模块的结构示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。

图1所示为本发明基于Android的隐蔽通道攻击审计与侦测方法的应用环境示意图。用户先对需要审计的隐蔽通道进行定义，在本发明实施例中，隐蔽通道被定义为系统共享资源与对应的修改操作、读取操作所组成的元组。隐蔽通道定义将被发往决策模块和内核审计模块(auditd模块)，并由这两个模块解析为与系统调用相关的内核审计规则与java层hook函数。在机器运行过程中，决策模块从应用层hook函数、数据存储组件(Content Provider)监控模块与内核审计模块收集应用程序的敏感数据访问与共享资源使用信息，并审计系统内敏感数据及与目标隐蔽通道相关系统共享资源的访问情况。当内核审计模块在审计过程中估算的经由目标隐蔽通道相关共享资源所传输的数据量(简称隐蔽传输数据量)突破阈值，即认为有隐蔽通道攻击发生，于是决策模块调用位于内核的干扰模块或相关java层hook函数对涉事隐蔽通道相关的共享资源进行状态改变操作(例如改变共享资源值、改变资源描述属性等)，以干扰隐蔽通道上的信息传输。当之后的某一个时间窗口内估算的隐蔽传输数据量恢复正常时，则撤销干扰。

图2为本发明基于Android的隐蔽通道攻击审计与侦测方法的流程图，具体包括以下步骤：

步骤1根据隐蔽通道的定义，用户对所要审计的目标隐蔽通道进行描述，并注册该目标隐蔽通道，注册后，目标隐蔽通道所对应的每一个系统共享资源会被标注一个唯一的识别号。对目标隐蔽通道的描述包括如下部分：

1、系统共享资源路径，该系统共享资源可以是系统层的一个共享文件，或者是socket，因为在Android这样基于Linux内核的系统中，一切数据客体都被视为文件，有自身的路径。另外，该共享资源路径项可以为空，因为一些共享资源可以由相关的操作原语与其参数共同指明，例如系统音量这一共享资源，可由AudioManager.setStreamVolume方法与参数AudioManager.STREAM_MUSIC共同表示；

2、对共享资源状态的改变操作与读取操作原语,即改变或读取该资源状态的操作原语，可以是应用层的java api方法或内核层的系统调用号。

步骤2隐蔽通道攻击侦测框架(下文简称框架)读取用户的目标隐蔽通道描述，针对位于系统层的目标隐蔽通道相关的系统共享资源，框架通过调用内核审计规则定义工具auditctl在内核审计模块(auditd)中生成审计规则。针对位于应用层的目标隐蔽通道对应的系统共享资源，对改变与读取对应共享资源状态的API函数进行hook。

步骤3重启系统后，上述审计规则与hook函数生效，同时框架开始监听应用程序对存放敏感数据的数据存放组件(Content Provider)的访问行为，并为被应用程序访问过的敏感数据建立档案，此档案中包含了被访问数据的数据类型以及访问该数据的应用程序UID。

步骤4框架监控应用程序对步骤1中注册的目标隐蔽通道对应的系统共享资源的访问，并将访问者的UID与上述步骤3建立的档案进行匹配，若当前一个应用程序访问了步骤1中用户定义目标隐蔽通道对应的系统共享资源，且其UID在步骤3建立的档案中有记录，则说明此次访问系统共享资源的应用程序具备敏感数据访问权限，且已访问了相关敏感数据，则为该应用程序本次以及后续的系统共享资源访问操作生成记录，然后执行步骤5；否则不记录此次应用程序对系统共享资源的访问操作，并重复该步骤。

步骤5当有应用程序访问了步骤4中具备敏感数据访问权限的应用程序访问过的目标隐蔽通道对应的系统共享资源，且此次访问系统共享资源的应用程序的权限低于步骤4中先访问同一项系统共享资源的应用程序的权限，则针对这个低权限应用程序，生成并维护该低权限应用程序对相关系统共享资源的访问记录作为审计记录，该访问记录在一个滑动时间窗口内保存这个低权限应用程序对其在所访问的系统共享资源的此次与后续访问记录。

步骤6决策模块在由步骤4与步骤5生成的各个系统共享资源访问记录中审计步骤4中的高权限应用程序与步骤5中的低权限应用程序对相同共享资源的访问，并计算访问频度、突发性、交替性等指标，从而估算在每一对高权限与低权限应用程序之间，通过目标隐蔽通道对应的共享资源所传输的数据量。当估算的隐蔽传输数据量超出用户设定的阈值时，执行步骤7，否则重复本步骤。步骤6具体包括以下子步骤：

(6-1)决策模块内部维护一个审计消息队列，同时对每一个目标隐蔽通道对应的系统共享资源维护一个共享资源审计子节点(下文简称审计子节点)，一个审计子节点负责审计各应用程序对一项目标隐蔽通道对应系统共享资源的访问操作。决策模块接收从底层审计模块(auditd)以及应用层hook函数提交的审计消息。每一条审计消息中记载了应用程序对一项系统共享资源的一次访问操作信息，包括这个应用程序的UID、所访问系统共享资源在步骤1中注册的识别号、此次访问的时间戳以及此次访问的读写属性。依据来自auditd的审计消息上附带的共享资源路径字段，将该审计消息分发至决策模块中对应系统共享资源的审计子节点中。对于应用层hook函数提交的审计消息，则通过目标隐蔽通道对应共享资源的识别号将其分发至目标隐蔽通道对应共享资源的审计子节点；

(6-2)审计消息按应用程序所具备的敏感数据访问权限划分为两类。有权限访问敏感数据的应用程序，对目标隐蔽通道对应系统共享资源的访问所产生的记录节点为高权限审计消息，该类审计消息只记录高权限应用程序对共享资源状态的改变操作(此改变操作与下文的读操作在步骤1中已由用户定义，改变操作简称M操作)，其余应用程序的系统共享资源访问操作产生低权限审计消息，只记录其对共享资源状态进行的读操作(简称R操作)，即是说，高权限应用程序的R操作与低权限应用程序的M操作不会被发送到任何审计子节点中。当一个审计子节点接收到高权限应用程序的M操作审计消息时，向本审计子节点内所有记载低权限应用程序R操作的审计消息发送当前最新M操作的时间戳，审计子节点同时记录此次发送前最近一次旧M操作的时间戳；

(6-3)每个审计子节点维护一个时间窗口(在本发明实施例中，默认大小为1秒)，当接收到低权限应用程序的R操作审计消息时，比对这条审计消息的时间戳与在步骤(6-2)中所记录的最近一次旧M操作的时间戳。若此时间戳在同一时间窗口内相比旧时间戳发生了更新，则说明高权限应用程序与低权限应用程序在一项共享资源上发生了一次新的疑似通信，审计子节点记录一次有效数据传输；

(6-4)当一个审计子节点在一个时间窗口内通过步骤(6-3)记录的有效数据传输量超过阈值，则执行步骤7。

步骤7干扰模块对在步骤6中承载了超标隐蔽数据传输的目标隐蔽通道对应的系统共享资源的状态进行干扰。收到干扰请求后，干扰模块通过步骤1中注册的改变操作原语对涉嫌承载隐蔽通道数据传输的系统共享资源状态的值进行修改，例如微调系统设定选项值、在系统资源分配时额外随机分配少量的资源等，干扰隐蔽通道上的数据传输。在施加干扰期间，每经过一个时间窗口，重新按照步骤6估算当前正在干扰的目标隐蔽通道上的隐蔽数据传输量，若数据传输量低于阈值，则停止对当前目标隐蔽通道对应系统共享资源状态的干扰。

图3所示为本发明决策模块的结构示意图。决策模块由审计消息队列与审计子节点构成，其中审计消息队列负责暂存由java hook与内核审计模块发送来的审计消息，每一条审计消息代表了一个应用程序对一项系统共享资源的一次访问记录。决策模块通过读取每条审计消息的所属共享资源字段，将审计消息分发至各共享资源访问审计子节点，每个审计子节点唯一负责对一项共享资源的访问操作做出审计。各审计子节点内部均包含一个审计消息子队列用于暂存与自身所代表的共享资源相关的审计消息。当自己内部的审计消息子队列不为空时，审计子节点开始审计自己内部审计消息子队列中的访问记录。在一个审计消息子队列中，每条低权限应用程序，即无权访问敏感数据的应用程序对共享资源的访问记录中都记载了高权限应用程序，即有权访问敏感数据的应用程序最近一次访问同一共享资源的时间戳，每当审计子节点读取到新的高权限应用的访问记录时，这条记录的时间戳将会被记入此后读取的低权限应用访问记录的对应字段中。这样，每当共享资源审计子节点读取低权限应用访问记录时，可以知晓最近一次高权限应用对同一共享资源的访问时间，从而计算出权限不同的应用程序对该共享资源访问的频度、交替性、突发程度等指标。

本领域的技术人员容易理解，以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种基于Android的隐蔽通道攻击审计与侦测方法，其特征在于，包括：

步骤1注册用户描述的所要审计的目标隐蔽通道，其中，对所述目标隐蔽通道的描述包括系统共享资源路径和对共享资源状态的改变操作原语与读取操作原语；

步骤2读取所述目标隐蔽通道的描述，并生成对应的审计规则和hook函数；

步骤3监听应用程序对存放敏感数据的数据存放组件的访问行为，并为被应用程序访问过的敏感数据建立档案，所述档案包含被访问敏感数据的数据类型以及访问该敏感数据的应用程序UID；

步骤4监控应用程序对已注册的目标隐蔽通道对应的系统共享资源的访问，并将访问者的UID与所述档案进行匹配，若一个应用程序访问了所述目标隐蔽通道对应的系统共享资源，且其UID在所述档案中有记录，则为该应用程序本次以及后续的系统共享资源访问操作生成记录，然后执行步骤5，否则不记录此次应用程序对系统共享资源的访问操作，并重复该步骤；

步骤5当有另一应用程序访问了所述步骤4中的应用程序访问过的目标隐蔽通道对应的系统共享资源，且其权限低于步所述骤4中先访问同一项系统共享资源的应用程序的权限，则针对这个低权限应用程序，生成并维护所述低权限应用程序对相关系统共享资源的访问记录；

步骤6根据所述步骤4与所述步骤5生成的各个系统共享资源访问记录审计具有较高权限应用程序与所述低权限应用程序对相同系统共享资源的访问，并估算在每一对高权限与低权限应用程序之间，通过所述目标隐蔽通道对应的系统共享资源所隐蔽传输的数据量，当估算的隐蔽传输数据量超出设定的阈值时，执行步骤7，否则重复本步骤；

步骤7对在所述步骤6中承载了超标隐蔽数据传输的目标隐蔽通道对应的系统共享资源的状态进行干扰。

2.如权利要求1所述的方法，其特征在于，在所述步骤1注册所述目标隐蔽通道后，所述目标隐蔽通道所对应的每一个系统共享资源会被标注一个唯一的识别号。

3.如权利要求1所述的方法，其特征在于，在所述步骤2中，针对位于系统层的目标隐蔽通道对应的系统共享资源，通过调用内核审计规则定义工具auditctl生成所述审计规则；针对位于应用层的目标隐蔽通道对应的系统共享资源，通过改变与读取对应系统共享资源状态的API函数生成所述hook函数。

4.如权利要求1-3中任一项所述的方法，其特征在于，在所述步骤5中生成的访问记录在一个滑动时间窗口内保存所述低权限应用程序对其在所访问的系统共享资源的此次与后续访问记录。

5.如权利要求1-3中任一项所述的方法，其特征在于，所述步骤6包括以下子步骤：

(6-1)维护一个审计消息队列，同时对每一个目标隐蔽通道对应的系统共享资源维护一个审计子节点，一个审计子节点负责审计各应用程序对一项目标隐蔽通道对应系统共享资源的访问操作，所述审计消息队列接收审计消息，每一条审计消息中记载了应用程序对一项系统共享资源的一次访问操作信息，包括该应用程序的UID、所访问系统共享资源的识别号、此次访问的时间戳以及此次访问的读写属性，并将所述审计消息分发至对应系统共享资源的审计子节点中；

(6-2)对于具有权限访问敏感数据的应用程序，对所述目标隐蔽通道对应系统共享资源的访问所产生的记录为高权限审计消息，只记录高权限应用程序对共享资源状态的改变操作，其余应用程序的系统共享资源访问操作产生低权限审计消息，只记录其对共享资源状态进行的读操作，当一个审计子节点接收到所述改变操作审计消息时，向所述审计子节点内所有记载读操作的审计消息发送当前最新改变操作的时间戳，所述审计子节点同时记录此次发送前最近一次旧改变操作的时间戳；

(6-3)每个审计子节点维护一个时间窗口，当接收到读操作审计消息时，比对该读操作审计消息与在所述步骤(6-2)中所记录的最近一次旧改变操作的时间戳，若该读操作审计消息的时间戳在同一时间窗口内相比旧时间戳发生了更新，则所述审计子节点记录一次有效数据传输；

(6-4)当一个审计子节点在一个时间窗口内通过所述有效数据传输的数据量超过阈值，则执行步骤7。

6.如权利要求5所述的方法，其特征在于，在所述步骤(6-1)中依据所述审计消息附带的共享资源路径字段或所述目标隐蔽通道对应系统共享资源的识别号，将所述审计消息分发至对应系统共享资源的审计子节点中。

7.如权利要求1-3中任一项所述的方法，其特征在于，在所述步骤7中通过所述步骤1中注册的所述改变操作原语对所述承载隐蔽数据传输的系统共享资源状态的值进行修改，以干扰隐蔽通道上的数据传输。

8.如权利要求7所述的方法，其特征在于，在所述步骤7施加干扰期间，每经过一个时间窗口，重新按照所述步骤6估算当前正在干扰的目标隐蔽通道上的隐蔽数据传输量，若数据传输量低于所述阈值时，则停止对当前目标隐蔽通道对应系统共享资源状态的干扰。