CN115470494A - 一种安卓应用用户隐私泄露漏洞识别方法 - Google Patents

Abstract

本发明属于软件漏洞挖掘技术领域，具体为一种安卓应用用户隐私泄露漏洞识别方法。本发明包括：双向程序切片分析，基于关联分析及机器学习方法辅助的隐私信息识别，以及非单射数据变换分析。其中双向程序切片分析用于检测安卓应用从服务器端接收的数据以及判断它们是否流向了用户界面接口函数；基于关联分析及机器学习方法辅助的用户隐私信息识别技术能够全面地分析出上述服务器端返回的信息里哪些属于其他用户的隐私信息；非单射数据变换分析用于检测用户数据在呈现给用户之前在客户端进行了怎样的变换，进而判断是否遵守了“数据最小化”原则以及有无隐私风险。

Description

一种安卓应用用户隐私泄露漏洞识别方法

技术领域

本发明属于软件漏洞挖掘技术领域，具体涉及安卓应用用户隐私泄露漏洞识别方法。

背景技术

近年来越来越多的移动应用提供了连接用户的功能。这些应用往往会在用户之间传递丰富多样的数据，帮助用户建立联系，给用户带来极大的便利和丰富的服务，但同时也带来了一些隐私安全问题。一种被概括为“跨用户个人数据过度传输”的新型隐私安全风险伴随着跨用户平台的普及而产生。它是指比实际服务需求包含更多信息量的敏感用户数据从某一用户传递到其他用户的过程。在这个过程中，攻击者可以通过伪装成普通应用用户窃取传输而来的过多的其他用户的敏感资料，从而造成用户隐私泄露。

尽管已经有许多工作研究了移动应用程序中的用户数据泄露问题，但是大部分工作只关注了移动应用程序中的非法个人数据收集问题，很少关注这种新兴的跨用户平台功能的安全性，因此已有研究对这方面的隐私风险的理解以及检测方法相当有限。通过现有技术检测“跨用户个人数据过度传输”漏洞主要有两方面困难。一是现有的隐私检测技术很难从跨用户连接期间传递的各种数据中准确识别出他人的敏感数据（属于受害者用户），包括需要正确滤除并不敏感的事物或地点的数据（例如购物中心的经纬度），以及不属于受害者用户的个人数据。二是现有的技术很难检测本方法所关注的“数据过度传输”问题。识别“信息过度传输”的问题可以理解为检测接收的数据与使用的数据的不一致问题。应用开发者通常不会直接使用服务器传输的原始数据，而是会根据实际情况对服务器传输的原始数据进行一些定制化的变换操作再呈现到用户界面上，这使得呈现的内容和原始数据即使在信息量无差别的情况下，也会在形式上存在一些差异，因此无法通过直接比较原始数据和实际呈现的数据是否一样来判断这种不一致问题。

发明内容

本发明的目的是提供一种安卓应用用户隐私泄露漏洞自动化检测方法，适用于“跨用户个人数据过度传输”漏洞的检测。

“跨用户个人数据过度传输”是一类复杂的应用层漏洞。所检测的漏洞是一种由安卓应用客户端接收的其他用户隐私信息与实际呈现在用户界面上的其他用户信息不一致所导致的用户隐私泄露漏洞。具体而言，若安卓应用客户端实际接收到的其他用户隐私信息量大于实际呈现在用户界面上的其他用户隐私信息量，那么攻击者可通过监控网络的方式非法获取相比于界面上显示的其他用户信息更多的敏感数据，从而带来用户隐私泄露风险。

检测这种漏洞面临几个挑战，包括准确分析数据如何流动到用户界面上，数据的信息量经过了哪些会带来不一致的变换操作，以及如何准确识别数据中的他人隐私信息。

本发明提供的安卓应用用户隐私泄露漏洞自动化检测方法，结合多种技术来有效地克服这些难点，具体分为三个阶段（流程框架如图1所示）：

第一阶段，基于程序切片技术的静态代码预分析；

这一阶段的任务是识别存储用户信息的代码数据结构，以及分析这些信息如何被显示到用户界面上；具体来说，预分析包括前向污点分析和后向污点分析两部分；前向污点分析是追踪从网络接口流动到中间数据结构的信息，即以标准网络接口为起点，分析信息流向的中间数据结构；后向污点分析是追踪信息从中间数据结构流动到用户界面的过程，即以标准的用户界面接口为起点，分析信息来自哪些中间数据结构以及信息在显示至界面上前经过何种变换；这一阶段的输出信息是前向污点分析和后向污点分析交汇的中间数据结构以及识别出的变换操作；

第二阶段，其他用户的隐私信息识别；

这一阶段的任务是分析出服务端传输来的哪些信息是属于其他用户（即区别于当前使用应用的用户）的隐私信息；利用关联分析技术与机器学习方法分析代码中包含的语义信息，确定哪些中间数据结构存储用户信息，以及存储其他用户的隐私信息；

第三阶段，基于非单射变换分析技术的风险检测；

这阶段通过判断用户隐私数据流动到用户界面过程中的变换操作是否为单射，来确定是否存在用户隐私泄露漏洞。

以下将详细介绍三个阶段。

第一阶段，基于程序切片技术的静态代码预分析；

“跨用户个人数据过度传输”关注的是传输的属于其他用户的隐私信息与实际界面上呈现的用户数据之间的不一致，因此需要分析数据从传输到客户端开始直到呈现到用户界面上的流动过程，这里采用了程序切片技术。根据观察，开发者通常使用某种中间数据结构管理传输到客户端的数据，最常见的中间数据结构就是面向对象编程语言里常用的类。为了识别有哪些信息传输到了客户端，分析工具需要通过代码分析找到上述这些中间数据结构。根据观察，开发者通常将数据的处理分为两个步骤：首先将传输到客户端的数据存储到中间数据结构中；之后从中间数据结构中获取数据，可能在进行一些变换操作之后显示到用户界面上。因此本方法将分析也分成两个步骤：第一步从标准网络接口函数出发进行前向污点分析，分析传输到客户端的数据流动到中间数据结构的过程；第二步从标准用户界面接口函数出发进行后向污点分析，分析从中间数据结构流动到用户界面的过程（静态代码预分析方法如图2所示）。

前向污点分析：前向污点分析从标准的网络库函数出发。本发明参考权威排名网站AppBrain所提供的第三方网络库使用情况数据，整理了安卓应用最常用的网络库接口作为前向污点分析的起点；同时也整理了安卓应用中最常用的反序列化第三方库，作为识别中间数据结构的标识。当前向分析分析到常用的反序列化库的反序列化接口时，就会记录此处生成的中间数据结构的信息。

后向污点分析：后向污点分析从标准的用户界面函数出发。本发明整理了安卓开发文档提供的所有标准的用户界面函数。另外本发明对样本应用代码中的视图组件使用情况进行了统计，选取了使用频率较高的视图组件，并且将它们对应的标准用户界面函数作为后向污点分析的起点。当后向分析分析到中间数据结构时，会记录此处中间数据结构的信息。

第二阶段，其他用户的隐私信息识别；

“跨用户个人数据过度传输”是一种其他用户（区别于当前使用应用的用户）的隐私泄露漏洞，因此检测工具需要从传输到客户端的各类信息中识别出属于其他用户的隐私信息。这里有两个难点，其一是如何识别出敏感的用户数据（如用户的地理位置，区别于属于并不敏感的事物或地点的数据，例如购物中心的经纬度）；其二是如何识别敏感用户数据的主体是否为其他用户（即受害者用户）。本发明利用应用程序代码中包含的语义信息，实现了基于关联分析及机器学习辅助的隐私信息识别技术，能够准确地识别出属于其他用户的敏感数据。

这阶段利用代码中的语义信息帮助识别用户隐私信息，以及区分当前用户和其他用户的隐私信息。具体而言，利用中间数据结构的名称以及中间数据结构成员的名称所包含的语义信息帮助判别其是否是用于存储用户信息的中间数据结构；利用网络请求、中间数据结构的名称以及用户界面中包含的语义信息帮助区分用户信息为当前用户隐私或是其他用户隐私。

识别敏感用户数据：已有识别用户敏感数据的方法通常是基于关键词匹配或者是基于机器学习方法。这些技术在“跨用户个人数据过度传输”问题中并不能很好地解决问题，因为它们并不能区分某一看似敏感的数据属于用户还是无关主体，如公共事物或地点。根据观察，代码中的中间数据结构以及其成员变量的名称包含的语义信息都可以有效地用于识别敏感用户数据。例如一个名为 “UserProfile”的Java类，其语义可以帮助确定这是存储用户个人信息的中间数据结构；以及如果一个类的成员变量名称为“age”，其表示年龄这种与个人用户强相关的信息，那么也可以推断这个类存储了敏感用户数据。这些被判断为存储敏感用户数据的中间数据结构中的成员都可能是和用户相关的，因此会被保留下来。基于以上观察，本发明训练了一个二分类机器学习模型用于有效识别中间数据结构名称中的语义信息，并保留被判定为存储敏感用户数据的中间数据结构内的所有成员信息。紧接着本方法采用了关联分析方法，利用WordNet、ConceptNet等语义词典提供的关联信息对这些保留下来的信息词进行基于语义关联的分类，一些未被归类的词需要极少量的人工归类。由此本发明得到一个较为完整的隐私词集。与这个词集合相关联的任何中间数据结构的成员变量会被识别出来。

识别敏感用户数据的主体是否为其他用户：前一步骤识别出的敏感用户数据包括其他用户的数据与当前用户的数据，需要排除那些属于当前用户的数据以减少漏洞识别结果中的误报。根据观察，应用程序代码中也包含一些能够帮助区分其他用户和当前用户的语义信息，具体包括：1）网络请求中的语义信息，如请求地址“/api/v1/users/nearby”表示附近用户的数据；2）中间数据结构的名称，如“Follower”可以表示其他关注者的信息，而“MyProfile”则明显表示当前用户的信息；3）用户界面中包含的语义信息，如其他用户的信息通常不会流向安卓应用的设置页面。本发明基于以上这三方面的语义信息训练了一个二分类机器学习模型，帮助判断敏感用户数据的主体是否为其他用户。

第三阶段，基于非单射变换分析技术的风险检测；

敏感用户数据在呈现到用户界面上之前通常会进行一定的变换操作。具体采用何种变化操作取决于各个应用的开发逻辑以及开发者个人的开发风格。因此检测工具很难直接分析出这些高度定制化的变换操作是否带来了所关注的传输的他人敏感信息与实际呈现的信息不一致的问题。根据观察，传输到客户端的数据与用户界面实际呈现的数据之间的的不一致，其数学本质是一种非单射的关系。无论数据发生什么样的变换，仅仅当数据在流动过程中发生信息丢失的时候才会导致上述的不一致现象。从“跨用户个人数据过度传输”漏洞的角度来说，这种不一致现象有两种情况。第一种，传输到客户端的敏感用户数据并没有流动到用户界面上（即无论数据的值是什么其在用户界面上显示的值皆为“空”，因而其数学本质是非单射性质），其明显属于上文所述的“不一致”问题。第二种，数据在流动到用户界面上之前经过非单射的变换操作，如进行了数据掩码操作，上述的“不一致”问题也会发生。对于第一种情况可以在代码预分析阶段进行识别；对于第二种情况，本发明设计了一种通用的检测方案：构建一个稻草人虚拟用户档案，针对一些常用的用户属性赋予合理的值，同时本发明对虚拟稻草人用户的属性值进行一些微小的扰动以产生不同但是互相临近的值，让数据变换的操作作用于这些互相临近的值。如果不同的值经过数据变换操作产生了相同的结果，则说明数据变换操作是非单射的，即这里存在本方法关注的不一致的漏洞。例如若用户之间距离的精确值为54.123千米，本方法将对其进行邻近值扰动，相应产生54.122千米、54.123千米和54.124千米三个距离值。在经过四舍五入保留两位小数的数据变换操作后，这三个值产生了相同的结果54.12千米。因此证明此处存在上述所关注的不一致情况，因而会带来泄露用户精确位置的“跨用户个人数据过度传输”漏洞。本阶段的具体工作方式如图3所示。

本发明实现了多种先进的分析技术。双向程序切片分析技术对来自网络端的数据在移动客户端的通用流动过程建模，从两次切片分析的交汇处全面地识别出集中管理各类信息的数据结构；关联分析技术与机器学习技术相结合，充分利用了移动应用代码中丰富的语义信息，识别存储用户信息及其他用户信息的数据结构，取得了较为全面的隐私覆盖效果，进而帮助广泛准确地识别移动应用中与其他用户隐私相关的信息；非单射数据变换分析技术精准地抽象了所面向漏洞的数学本质，能够从真实世界内存在的多样化数据变换方式中检测出与所面向漏洞相关的风险变换操作。本发明工具检测效率高、自动化程度高、分析结果准确，能够很好地实现对“跨用户个人数据过度传输”漏洞的大规模检测，为漏洞的验证与修复提供有效的信息。

附图说明

图1为本发明系统的整体架构图。

图2为代码预分析阶段的工作流程图。

图3为风险检测阶段的工作流程图。

具体实施方式

本发明设计并实现了上述结合了双向程序切片分析技术，基于关联分析及机器学习方法辅助的隐私信息识别技术，以及非单射数据变换分析技术的“跨用户个人数据过度传输”漏洞检测方法。本节对该框架的具体实现进行详细介绍。

一、基于程序切片技术的静态代码预分析

本发明使用Soot/Flowdroid框架实现程序切片分析的代码。预分析阶段以安卓应用程序代码为输入，首先从标准的网络库函数出发做前向分析，记录数据能够到达的中间数据结构；接着从标准的用户界面函数出发做后向分析，记录界面上显示的数据来源于哪些中间数据结构。前向分析和后向分析会产生一些交汇的中间数据结构，这些中间数据结构作为候选的存储敏感用户信息的中间数据结构，是预分析阶段的输出。此外，预分析阶段还保留了代码里的语义信息，以供后续的步骤分析。

二、其他用户的隐私信息识别

本发明的其他用户隐私信息识别阶段以预分析阶段得到的候选中间数据结构以及提取到的语义信息为输入。首先分别利用候选中间数据结构与其成员变量名称中的语义信息，识别出存储敏感用户信息的中间数据结构。对于候选中间数据结构名称，本发明通过人工标注样本，使用机器学习技术训练了一个二分类模型用于判断是否数据结构名称中包含代表用户数据的信息。另外基于先前的研究工作（如SUPOR[1]、Uipicker[2]），本发明收集了尽可能多的隐私词形成了原始隐私项列表，将它们分成了52个类别。接着通过三位安卓应用分析专家人工判断这些隐私项是否与敏感用户数据强相关，具体而言，如果两位或者更多的专家对于某一中间数据结构达成了统一意见，那么其将会被标注和用户数据强相关。借鉴于ClueFinder[3]研究工作的工具，若候选的中间数据结构中包含与用户强相关的隐私项，其也会被判定为与敏感用户数据强相关。通过以上两种判别标准，本发明能够有效地从候选的中间数据结构中识别出存储敏感用户信息的中间数据结构。进一步地，对于识别出来的与敏感用户数据强相关的中间数据结构，其成员信息(如Java类的成员变量)将被保留并通过基于语义的关联分析方法进行聚类，相同或相近含义的成员词将被聚集在一起，最终形成了包含64个类别的隐私词集，作为识别用户敏感数据的依据。

另外，本发明收集了网络请求、中间数据结构的名称以及用户界面中包含的信息，并人工标注了其是否与其他用户数据相关，来帮助判断一个中间数据结构是否存储的是属于其他用户的信息；并以此为依据训练了一个二分类机器学习模型，进行实际的敏感用户数据主体判别，即是否属于其他用户。

三、基于非单射变换分析技术的风险检测

本发明的基于非单射变换技术的风险检测阶段以前两个阶段提供的信息为输入，判断变换操作是否是单射的。首先，第二阶段提供的64类隐私项，通过结合分析经验的方式，赋予了其中40类有明确含义的隐私项一些常用值作为其标准值，其余24类隐私项暂时没有提供标准值。由此一份虚拟稻草人用户数据被构建出来，作为测试变换操作非单射性的基础。测试方法为对这些标准值进行微小扰动以产生接近但是不同的值，并利用标准值以及扰动产生的值作为原始输入运行预分析阶段提取出的变换操作。如果测试结果内产生了相同的输出值，则证明被测试变换操作为非单射的数据变换操作，相应本发明自动生成风险报告，并用于后续验证。

参考文献

[1] Jianjun Huang, Zhichun Li, Xusheng Xiao, Zhenyu Wu, Kangjie Lu,Xiangyu Zhang, and Guofei Jiang. 2015. {SUPOR}: Precise and scalablesensitive user input detection for android apps. In Usenix Security Symposium (USENIX Security).

[2] YuhongNan,MinYang,ZheminYang,ShunfanZhou,GuofeiGu,andXiaoFengWang. 2015. Uipicker: User-input privacy identification in mobileapplications. In Usenix Security Symposium (USENIX Security).

[3] YuhongNan,ZheminYang,XiaofengWang,YuanZhang,DonglaiZhu,andMinYang. 2018. Finding Clues for Your Secrets: Semantics-Driven, Learning-BasedPrivacy Discovery in Mobile Apps.. In ISOC Network and Distributed System Security Symposium (NDSS)。

Claims (5)

1. 一种安卓应用用户隐私泄露漏洞识别方法，所识别的漏洞是由安卓应用客户端接收的其他用户隐私信息与实际呈现在用户界面上的其他用户信息不一致所导致的用户隐私泄露漏洞；其特征在于，安卓应用用户隐私泄露漏洞识别方法具体分为三个阶段：

第一阶段，基于程序切片技术的静态代码预分析

这阶段的任务是识别存储用户信息的代码数据结构，以及分析这些信息如何被显示到用户界面上；具体地，预分析分为前向污点分析和后向污点分析两部分；前向污点分析是追踪从网络接口流动到中间数据结构的信息，即以标准网络接口为起点，分析信息流向的中间数据结构；后向污点分析是追踪信息从中间数据结构流动到用户界面的过程，即以标准的用户界面接口为起点，分析信息来自哪些中间数据结构以及信息在显示至界面上前经过何种变换；这一阶段的输出信息是前向污点分析和后向污点分析交汇的中间数据结构以及识别出的变换操作；

第二阶段，其他用户的隐私信息识别

这阶段的任务是分析出网络接口接收到的信息里哪些为属于其他用户的隐私信息，所述其他用户是指区别于当前使用应用的用户；利用关联分析技术与机器学习方法分析代码中的包含语义的信息，确定哪些中间数据结构存储用户信息，并进一步判断是否存储其他用户的隐私信息；

第三阶段，基于非单射变换分析技术的风险检测

这阶段的任务是通过判断用户隐私数据流动到用户界面过程中的变换操作是否为单射，来确定是否存在用户隐私泄露漏洞。

2.根据权利要求1所述的安卓应用用户隐私泄露漏洞识别方法，其特征在于，第一阶段中：

所述前向污点分析，是从标准的网络库函数出发；具体参考权威排名网站AppBrain所提供的第三方网络库使用情况数据，整理安卓应用最常用的网络库接口作为前向污点分析的起点；同时整理安卓应用中最常用的反序列化第三方库，作为识别中间数据结构的标识；当前向分析分析到常用的反序列化库的反序列化接口时 记录此处生成的中间数据结构的信息；

所述后向污点分析，是从标准的用户界面函数出发；具体整理了安卓开发文档提供的所有标准的用户界面函数；另外对样本应用代码中的视图组件使用情况进行统计，选取使用频率较高的视图组件，并且将它们对应的标准用户界面函数作为后向污点分析的起点；当后向分析分析到中间数据结构时，记录此处中间数据结构的信息。

3.根据权利要求1所述的安卓应用用户隐私泄露漏洞识别方法，其特征在于，第二阶段中，利用代码中的语义信息帮助识别用户隐私信息以及区分当前用户和其他用户的隐私信息；具体而言，利用中间数据结构的名称以及中间数据结构成员的名称所包含的语义信息帮助判别其是否是用于存储用户信息的中间数据结构；利用网络请求、中间数据结构的名称以及用户界面中包含的语义信息帮助区分用户信息为当前用户隐私或是其他用户隐私。

4.根据权利要求3所述的安卓应用用户隐私泄露漏洞识别方法，其特征在于，第二阶段中：

识别敏感用户数据：训练一个二分类机器学习模型，用于有效识别中间数据结构名称中的语义信息，并保留被判定为存储敏感用户数据的中间数据结构内的所有成员信息；接着采用关联分析方法，利用WordNet、ConceptNet等语义词典提供的关联信息对这些保留下来的信息词进行基于语义关联的分类；由此得到一个较为完整的隐私词集；与这个词集合相关联的任何中间数据结构的成员变量会被识别出来；

识别敏感用户数据的主体是否为其他用户：前一步骤识别出的敏感用户数据包括其他用户的数据与当前用户的数据，需要排除那些属于当前用户的数据以减少漏洞识别结果中的误报；根据观察，应用程序代码中包含一些能够帮助区分其他用户和当前用户的语义信息，具体包括：（1）网络请求中的语义信息；（2）中间数据结构的名称，（3）用户界面中包含的语义信息；基于以上这三方面的语义信息训练一个二分类机器学习模型，用于判断敏感用户数据的主体是否为其他用户。

5.根据权利要求4所述的安卓应用用户隐私泄露漏洞识别方法，其特征在于，第三阶段中：

传输到客户端的数据与用户界面实际呈现的数据之间的不一致，其数学上是一种非单射的关系；表现为两种情况：第一种，传输到客户端的敏感用户数据并没有流动到用户界面上，即无论数据的值是什么，其在用户界面上显示的值皆为“空”，其数学本质是非单射性质，属于所述的“不一致”问题；第二种，数据在流动到用户界面上之前经过非单射的变换操作，也将发生所述的“不一致”问题；对于第一种情况可以在代码预分析阶段进行识别；对于第二种情况，设计一种通用的检测方案：构建一个稻草人虚拟用户档案，针对一些常用的用户属性赋予合理的值，同时对虚拟稻草人用户的属性值进行一些微小的扰动以产生不同但是互相临近的值，让数据变换的操作作用于这些互相临近的值；如果不同的值经过数据变换操作产生了相同的结果，则说明数据变换操作是非单射的，即这里存在所关注的不一致的漏洞。

Images