WO2018150619A1 - 付与装置、付与方法及び付与プログラム - Google Patents

付与装置、付与方法及び付与プログラム Download PDF

Info

Publication number
WO2018150619A1
WO2018150619A1 PCT/JP2017/034354 JP2017034354W WO2018150619A1 WO 2018150619 A1 WO2018150619 A1 WO 2018150619A1 JP 2017034354 W JP2017034354 W JP 2017034354W WO 2018150619 A1 WO2018150619 A1 WO 2018150619A1
Authority
WO
WIPO (PCT)
Prior art keywords
program
unit
block
self
blocks
Prior art date
Application number
PCT/JP2017/034354
Other languages
English (en)
French (fr)
Inventor
文宏 金井
満昭 秋山
雄太 高田
毅 八木
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to US16/484,827 priority Critical patent/US11403388B2/en
Priority to JP2019500182A priority patent/JP6554249B2/ja
Priority to EP17896598.4A priority patent/EP3570196B1/en
Publication of WO2018150619A1 publication Critical patent/WO2018150619A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/51—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems at application loading time, e.g. accepting, rejecting, starting or inhibiting executable software based on integrity or source reliability
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G06F21/121—Restricting unauthorised execution of programs
    • G06F21/125—Restricting unauthorised execution of programs by manipulating the program code, e.g. source code, compiled code, interpreted code, machine code
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G06F21/14—Protecting executable software against software analysis or reverse engineering, e.g. by obfuscation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/54—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by adding security routines or objects to programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities

Definitions

  • the present invention relates to a grant device, a grant method, and a grant program.
  • the conventional technology for providing the self-tampering detection function has a problem that an attacker may easily find the location where the self-tampering detection function is implemented in the program.
  • Non-Patent Document 1 since the location where the integrity verification process is implemented is a fixed position, the location may be easily found.
  • the self-tampering detection code is inserted in units of lines of the source code. For this reason, when the source code is compiled into bytecode, the same block of instructions appears in multiple places where the self-tampering detection code is inserted, and the block is easily found by matching using signatures. There was a case where it was done.
  • the granting device of the present invention is a granting device that grants to the first program a function of detecting that the first program to be protected has been tampered with, and constitutes the byte code of the first program
  • An extraction unit for extracting a block at random from a block of an instruction sequence and extracting a block that is always executed before the randomly extracted block when the first program is executed;
  • a division unit that randomly divides an instruction sequence that constitutes the byte code of the second program that detects program tampering into a plurality of blocks, and a plurality of blocks divided by the division unit are extracted by the extraction unit.
  • an insertion unit for inserting the second program while maintaining the execution order in the second program at different positions in the block.
  • the granting method of the present invention is a granting method that is executed by a granting device that grants to the first program a function for detecting that the first program to be protected has been tampered with.
  • Extraction step of extracting a block at random from a block of an instruction sequence constituting the byte code and extracting a block that is always executed before the randomly extracted block when the first program is executed
  • a dividing step of randomly dividing the instruction sequence constituting the byte code of the second program for detecting falsification of the first program into a plurality of blocks, and the plurality of blocks divided by the dividing step
  • the execution sequence in the second program is maintained and inserted at different positions in the block extracted by the extraction step. Characterized in that it includes a input step.
  • FIG. 1 is a diagram illustrating an example of the configuration of the applying device according to the first embodiment.
  • FIG. 2 is a diagram illustrating an example of a self-tampering detection code according to the first embodiment.
  • FIG. 3 is a diagram illustrating an example of a control flow graph according to the first embodiment.
  • FIG. 4 is a diagram for explaining the division of the self-tampering detection code according to the first embodiment.
  • FIG. 5 is a diagram for explaining insertion of a self-tampering detection code according to the first embodiment.
  • FIG. 6 is a flowchart showing the overall processing flow of the assigning apparatus according to the first embodiment.
  • FIG. 7 is a flowchart showing a flow of extraction processing of the assigning apparatus according to the first embodiment.
  • FIG. 8 is a flowchart showing the flow of the dividing process of the assigning apparatus according to the first embodiment.
  • FIG. 9 is a flowchart showing a flow of insertion processing of the assigning apparatus according to the first embodiment.
  • FIG. 10 is a diagram illustrating an example of a computer in which a grant apparatus is realized by executing a program.
  • Attackers create malware and pirated applications by falsifying legitimate applications obtained from application distribution sites (hereinafter referred to as markets). For example, an attacker can insert a malicious code with a remote control function into a popular application acquired from the market, and it looks like the original legitimate application. It is possible to create malware that performs malicious activities in response to instructions from attackers.
  • Self-tampering detection is a technique for detecting tampering by a third party by verifying the integrity of the program itself during program execution. When tampering is detected, the operation of the program is stopped or a warning is displayed to the user who uses the program to prevent the altered program from operating in the user's environment. .
  • the self-tampering detection code is inserted in byte code instruction units that are finer granularity than the source code line units.
  • FIG. 1 is a diagram illustrating an example of the configuration of the applying device according to the first embodiment.
  • the assigning device 10 includes an input unit 11, an output unit 12, a storage unit 13, and a control unit 14.
  • the program to which the self-tampering detection function is given is an Android application
  • the protection target program of the present invention is not limited to the Android application, It can be any program that is byte code or can be converted to byte code.
  • the input unit 11 receives input of data from the user.
  • the input unit 11 is an input device such as a mouse or a keyboard, for example.
  • the output unit 12 outputs data by screen display or the like.
  • the output unit 12 is a display device such as a display, for example.
  • the input unit 11 and the output unit 12 may be interfaces for data input / output.
  • the input unit 11 receives an input of the application 21 to be protected.
  • the application 21 to be protected is a byte code.
  • the input unit 11 may accept input of an application source code.
  • the assigning device 10 further includes a functional unit that converts the source code into a byte code.
  • the application 21 to be protected is an example of a first program.
  • the output unit 12 outputs the protected application 22.
  • the protected application 22 is an application in which a self-tampering detection function is added to the application 21 to be protected.
  • the storage unit 13 is a storage device such as an HDD (Hard Disk Drive), an SSD (Solid State Drive), or an optical disk.
  • the storage unit 13 may be a semiconductor memory capable of rewriting data such as a RAM (Random Access Memory), a flash memory, and a NVSRAM (Non Volatile Static Random Access Memory).
  • the storage unit 13 stores an OS and various programs executed by the assigning device 10. Furthermore, the storage unit 13 stores various information used in executing the program. In addition, the storage unit 13 stores a self-tampering detection code 131.
  • the self-tampering detection code 131 is a program template in which a function for detecting self-tampering is implemented in advance.
  • the storage unit 13 may store a plurality of types of self-tampering detection codes 131.
  • the function for detecting self-tampering implemented in the self-tampering detection code 131 may be any function that can verify the integrity of the application.
  • the function for performing self-tampering detection may detect tampering by comparing a self-signed value given to an application with a hard-coded value, or obtain a hash value of an execution code. Alternatively, alteration may be detected by comparison with a hash value calculated in advance.
  • FIG. 2 is a diagram illustrating an example of a self-tampering detection code according to the first embodiment.
  • the self-tampering detection code 131 is a byte code composed of a plurality of lines.
  • the self-tampering detection code 131 is an example of a second program.
  • the control unit 14 controls the entire imparting device 10.
  • the control unit 14 is, for example, an electronic circuit such as a CPU (Central Processing Unit) or MPU (Micro Processing Unit), or an integrated circuit such as an ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Array).
  • the control unit 14 has an internal memory for storing programs and control data defining various processing procedures, and executes each process using the internal memory.
  • the control unit 14 functions as various processing units when various programs are operated.
  • the control unit 14 includes an extraction unit 141, a division unit 142, and an insertion unit 143.
  • the extraction unit 141 extracts a block at random from a block of an instruction sequence constituting the byte code of the application 21 to be protected. When the application 21 to be protected is executed, the extraction unit 141 precedes the randomly extracted block. Be sure to extract the blocks to be executed.
  • the extraction unit 141 constructs a control flow graph for each function included in the bytecode of the application 21 to be protected.
  • the control flow graph can be constructed, for example, by using the byte code of the application 21 to be protected as an input and using an existing byte code analysis framework.
  • the extraction unit 141 extracts a node as a starting point at random from each control flow graph for each function included in the application 21 to be protected, and always passes when the state transitions from the start of function execution to the starting point node.
  • a node that is, a dominating node that is a node on the path from the start of function execution to the starting node is extracted.
  • the byte code instruction sequence block corresponding to the starting node and the dominant node extracted at this time is a candidate point for insertion of the self-tampering detection code.
  • FIG. 3 is a diagram illustrating an example of a control flow graph according to the first embodiment.
  • the control flow graph 200 is a control flow graph corresponding to a predetermined function included in the application 21 to be protected. As shown in FIG. 3, the control flow graph 200 has nodes 201 to 207. At this time, the extraction unit 141 extracts the node 206 as a starting point node. Note that the extraction unit 141 randomly determines a node to be extracted as a starting node.
  • the extraction unit 141 extracts nodes 201 and 203, which are nodes that always pass when the state transitions from the start of execution of the function to the start node, as control nodes.
  • nodes 201 and 203 which are nodes that always pass when the state transitions from the start of execution of the function to the start node, as control nodes.
  • the application 21 to be protected is executed, if the state transitions to the node 206, the nodes 201, 203, and 206 are guaranteed to be executed in the order of the nodes 201, 203, and 206.
  • the insertion candidate point of the self-tampering detection code is included in the block of byte code instruction sequences corresponding to the nodes 201, 203, and 206.
  • the extraction unit 141 extracts the origin node and the dominant node for all functions included in the application 21 to be protected.
  • the dividing unit 142 randomly divides the instruction sequence constituting the byte code of the self-tampering detection code 131 that detects tampering of the application 21 to be protected, into a plurality of blocks. At this time, the dividing unit 142 can perform division using one instruction on the self-tampering detection code 131 that is a byte code as a minimum unit.
  • the dividing unit 142 divides the self-tampering detection code 131 for each function for which the extraction node 141 has extracted the starting node and the dominant node. Further, the dividing unit 142 randomly determines the number of blocks after the division and the number of bytecode instructions included in each block for each function to be divided.
  • FIG. 4 is a diagram for explaining the division of the self-tampering detection code according to the first embodiment.
  • FIG. 4 shows an example of division of the self-tampering detection code 131 shown in FIG.
  • each of the first to 17th lines is one instruction sequence.
  • the self-tampering detection code 131 is a part of the actual self-tampering detection code omitted for the sake of explanation.
  • the dividing unit 142 divides the self-tampering detection code 131 into seven blocks 132 to 138.
  • the dividing unit 142 performs the division so that a plurality of consecutive instruction sequences satisfying a predetermined condition among the instruction sequences constituting the byte code of the self-tampering detection code 131 are included in the same block. You may go.
  • the dividing unit 142 divides an instruction string that needs to be executed continuously and an instruction string that is executed depending on a conditional branch into the same block. This prevents the behavior of the process executed by the self-tampering detection code 131 from being different from that assumed due to the division by the dividing unit 142.
  • the dividing unit 142 divides the block 132 so that both the first and second instruction sequences are included in the block 132, for example.
  • the first and second instruction sequences in FIG. 4 are examples of instruction sequences that need to be executed continuously.
  • inclusion between “if-” and “return-void” can be set as the aforementioned predetermined condition.
  • the dividing unit 142 divides the block so that all the instruction sequences from the 15th line to the 17th line are included in the block 138, for example.
  • the instruction sequences in the first and second lines in FIG. 4 are examples of instruction sequences that are executed depending on conditional branches.
  • the inserting unit 143 inserts the plurality of blocks divided by the dividing unit 142 into different positions in the blocks extracted by the extracting unit 141 while maintaining the execution order in the self-tampering detection code 131. Specifically, for each control flow graph, the insertion unit 143 assigns a plurality of blocks divided by the division unit 142 to different positions in the byte code blocks corresponding to the starting node and the dominant node, that is, self The falsification detection code 131 is inserted at a candidate insertion point.
  • the inserting unit 143 can randomly determine the insertion positions of the plurality of blocks divided by the dividing unit 142 from the insertion candidate points. However, the insertion unit 143 inserts the blocks to be inserted so that the execution order of the blocks to be inserted is the same as the execution order in the self-tampering detection code 131.
  • FIG. 5 is a diagram for explaining insertion of a self-tampering detection code according to the first embodiment.
  • the insertion unit 143 determines, for example, two locations of the node 201 as insertion positions. And the insertion part 143 inserts the block 132 in the location performed previously among two places according to the execution order in the self-tampering detection code 131, and inserts the block 133 in the location performed later. Similarly, the insertion unit 143 inserts blocks 134 to 136 at three locations of the node 203 and inserts blocks 137 and 138 at two locations of the node 206.
  • the insertion unit 143 adds at least one of exception processing or secures a variable storage area when inserting a plurality of blocks divided by the division unit 142. For example, when a code that generates an exception is included in the divided block, the insertion unit 143 inserts a block and further inserts a code for performing exception processing. When a temporary variable is used in the divided block, the insertion unit 143 uses an unused variable storage area in the original bytecode or uses a newly added variable storage area. The block is changed as follows.
  • the insertion unit 143 can insert a different self-tampering detection code 131 for each function.
  • FIG. 6 is a flowchart showing the overall processing flow of the assigning apparatus according to the first embodiment.
  • the extraction unit 141 extracts an insertion candidate point for the self-tampering detection code 131 (step S10).
  • the insertion unit 143 selects, from the byte codes of the application 21 to be protected, a function in which there is an insertion candidate point for the self-tampering detection code 131 and the self-tampering detection code 131 has not been inserted (step S20). ).
  • the dividing unit 142 divides the self-tampering detection code 131 (step S30).
  • the inserting unit 143 inserts the self-tampering detection code 131 divided by the dividing unit 142 into the selected function (Step S40).
  • step S50, No If there remains a target function to which the self-tampering detection code 131 has not been inserted (step S50, No), the assigning device 10 further executes the processing of steps S20 to S40. On the other hand, when the self-tampering detection code 131 is inserted into all the functions to be targeted (step S50, Yes), the assigning device 10 ends the process. Thereafter, the granting device 10 can output the byte code of the protected application 22.
  • FIG. 7 is a flowchart showing a flow of extraction processing of the assigning apparatus according to the first embodiment.
  • the extraction unit 141 first acquires all functions in the bytecode of the application 21 to be protected (step S101). Next, the extraction unit 141 selects a function from which an insertion candidate point of the self-tampering detection code 131 has not been extracted (step S102). Next, the extraction unit 141 constructs a control flow graph of the selected function (step S103).
  • the extraction unit 141 randomly selects a starting node from all nodes in the constructed control flow graph (step S104). Then, the extraction unit 141 extracts the starting point node and the dominating node of the starting point node as insertion candidate points for the self-tampering detection code 131 (step S105).
  • the extraction unit 141 when there remains a function for which the extraction candidate point of the self-tampering detection code 131 has not been extracted (No at Step S106), the extraction unit 141 further executes the processes of Steps S102 to S105. On the other hand, when extraction of candidate positions for insertion of the self-tampering detection code 131 is performed from all functions, the extraction unit 141 ends the process (Yes in step S106).
  • FIG. 8 is a flowchart showing the flow of the dividing process of the assigning apparatus according to the first embodiment.
  • the dividing unit 142 first acquires a self-tampering detection code 131 stored as a template (step S301). Next, the dividing unit 142 randomly divides the acquired self-tampering detection code 131 into a plurality of blocks (step S302).
  • FIG. 9 is a flowchart showing a flow of insertion processing of the assigning apparatus according to the first embodiment.
  • the insertion unit 143 first obtains candidate positions for insertion of the self-tampering detection code 131 extracted by the extraction unit 141 (step S401). Next, the insertion unit 143 acquires the self-tampering detection code 131 that has been divided by the dividing unit 142 (step S402). Then, the insertion unit 143 inserts the divided self-tampering detection code 131 at the candidate insertion point of the self-tampering detection code 131 (step S403).
  • the extraction unit 141 randomly extracts a block from the instruction sequence block constituting the byte code of the first program, and always executes the block before the randomly extracted block when the first program is executed.
  • the blocks to be extracted In addition, the dividing unit 142 randomly divides the instruction sequence constituting the byte code of the second program that detects falsification of the first program into a plurality of blocks. Further, the insertion unit 143 inserts the plurality of blocks divided by the division unit 142 into different positions in the blocks extracted by the extraction unit 141 while maintaining the execution order in the second program.
  • the blocks extracted by the extraction unit 141 are always executed in order when the first program, that is, the program to be protected is executed, so the second program, that is, the self-tampering detection code. When inserted, each block can be executed in order without omission.
  • the self-tampering detection code is randomly divided and inserted for each function included in the protected program, it is difficult to mechanically discover the entire self-tampering detection code from the protected program. is there. For this reason, according to the first embodiment, it is possible to prevent an attacker from easily finding the location where the self-tampering detection function is installed in the program.
  • the extraction unit 141 extracts a node as a starting point at random from each of the control flow graphs for each function included in the first program, and a node on the path from the execution start of the function to the node as the starting point Can be extracted.
  • the insertion unit 143 inserts the plurality of blocks divided by the division unit 142 into different positions in the byte code blocks corresponding to the starting node and the dominant node. Since the control flow graph can be constructed by using an existing bytecode analysis framework, according to the first embodiment, the insertion of the self-tampering detection code is automated, and the developer's knowledge and implementation capability It is possible to provide a self-tampering detection function that does not depend on it.
  • the dividing unit 142 performs division so that a plurality of consecutive instruction sequences satisfying a predetermined condition set in advance are included in the same block among the instruction sequences constituting the byte code of the second program. Also good. Thus, by dividing the self-tampering detection code, it is possible to prevent the behavior of the self-tampering detection process executed by the protected program from being different from the assumed one.
  • the insertion unit 143 adds at least one of exception processing or secures a variable storage area when inserting a plurality of blocks divided by the division unit 142. Thereby, it is possible to prevent inconsistency in execution of the protected application 22 due to the insertion of the block by the insertion unit 143.
  • each component of each illustrated device is functionally conceptual and does not necessarily need to be physically configured as illustrated.
  • the specific form of distribution / integration of each device is not limited to the one shown in the figure, and all or a part of the distribution / integration is functionally or physically distributed in arbitrary units according to various loads or usage conditions. Can be integrated and configured.
  • all or a part of each processing function performed in each device may be realized by a CPU and a program that is analyzed and executed by the CPU, or may be realized as hardware by wired logic.
  • the granting device 10 can be implemented by installing a granting program for granting the above-described self-tampering detection function as package software or online software on a desired computer.
  • the information processing apparatus can function as the grant apparatus 10.
  • the information processing apparatus referred to here includes a desktop or notebook personal computer.
  • the information processing apparatus includes mobile communication terminals such as smartphones, mobile phones and PHS (Personal Handyphone System), and slate terminals such as PDA (Personal Digital Assistant).
  • the granting device 10 can be implemented as a granting server device that uses a terminal device used by a user as a client and provides the client with a service related to granting the above-mentioned self-tampering detection function.
  • the grant server device is implemented as a server device that provides a grant service that receives a byte code of a protection target program and outputs a protected program.
  • the grant server device may be implemented as a Web server, or may be implemented as a cloud that provides a service related to the grant of the self-tampering detection function by outsourcing.
  • FIG. 10 is a diagram illustrating an example of a computer in which a granting device is realized by executing a program.
  • the computer 1000 includes a memory 1010 and a CPU 1020, for example.
  • the computer 1000 also includes a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These units are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012.
  • the ROM 1011 stores a boot program such as BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1090.
  • the disk drive interface 1040 is connected to the disk drive 1100.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1100.
  • the serial port interface 1050 is connected to a mouse 1110 and a keyboard 1120, for example.
  • the video adapter 1060 is connected to the display 1130, for example.
  • the hard disk drive 1090 stores, for example, an OS 1091, an application program 1092, a program module 1093, and program data 1094. That is, the program that defines each process of the adding device 10 is implemented as a program module 1093 in which a code executable by a computer is described.
  • the program module 1093 is stored in the hard disk drive 1090, for example.
  • a program module 1093 for executing processing similar to the functional configuration in the adding device 10 is stored in the hard disk drive 1090.
  • the hard disk drive 1090 may be replaced by an SSD.
  • the setting data used in the processing of the above-described embodiment is stored as program data 1094 in, for example, the memory 1010 or the hard disk drive 1090. Then, the CPU 1020 reads the program module 1093 and the program data 1094 stored in the memory 1010 and the hard disk drive 1090 to the RAM 1012 and executes them as necessary.
  • the program module 1093 and the program data 1094 are not limited to being stored in the hard disk drive 1090, but may be stored in, for example, a removable storage medium and read by the CPU 1020 via the disk drive 1100 or the like. Alternatively, the program module 1093 and the program data 1094 may be stored in another computer connected via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.). Then, the program module 1093 and the program data 1094 may be read by the CPU 1020 from another computer via the network interface 1070.
  • LAN Local Area Network
  • WAN Wide Area Network

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Technology Law (AREA)
  • Multimedia (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)

Abstract

抽出部（１４１）は、第１のプログラムのバイトコードを構成する命令列のブロックから、ランダムにブロックを抽出し、第１のプログラムが実行される際に、当該ランダムに抽出したブロックより前に必ず実行されるブロックを抽出する。また、分割部（１４２）は、第１のプログラムの改ざんを検知する第２のプログラムのバイトコードを構成する命令列を、ランダムに複数のブロックに分割する。また、挿入部（１４３）は、分割部（１４２）によって分割された複数のブロックを、抽出部（１４１）によって抽出されたブロック内のそれぞれ異なる位置に、第２のプログラムにおける実行順序を維持して挿入する。

Description

付与装置、付与方法及び付与プログラム
　本発明は、付与装置、付与方法及び付与プログラムに関する。
　従来、アプリケーションに、攻撃者による当該アプリケーションの改ざんを検知する自己改ざん検知機能を付与する技術が知られている。例えば、アプリケーションのバイトコードをクラス単位で暗号化しておき、実行時には復号ルーチンが必要に応じてバイトコードの復号、及び完全性検証を行う手法が知られている（例えば、非特許文献１を参照）。また、例えば、アプリケーションのソースコードに対して完全性検証を行う実行コードを多数自動挿入し、アプリケーション実行時にはそれらのコードが確率的に反応することで、攻撃者が全ての自己改ざん検知コードを無効化することを困難にする手法が知られている（例えば、非特許文献２を参照）。
Mykola　Protsenko,　Sebastien　Kreuter　and　Tilo　Muller,　"Dynamic　Self-Protection　and　Tamperproofing　for　Android　Apps　using　Native　Code,"　in　Proceedings　of　the　International　Conference　on　Availability,　Reliability　and　Security　(ARES),　pp.　129-138,　2015. Lannan　Luo,　Yu　Fu,　Dinghao　Wu,　Sencun　Zhu,　and　Peng　Liu　"Repackage-proofing　Android　Apps,"　in　Proceedings　of　the　International　Conference　on　Dependable　Systems　and　Networks　(DSN),　pp.　403-414,　2016.
　しかしながら、従来の自己改ざん検知機能を付与する技術には、プログラムにおける自己改ざん検知機能の実装箇所が、攻撃者によって容易に発見されてしまう場合があるという問題があった。
　例えば、非特許文献１に記載の手法では、完全性検証処理を実装している箇所が固定位置であるため、当該箇所が容易に発見される場合があった。また、例えば、非特許文献２に記載の手法では、自己改ざん検知コードはソースコードの行単位で挿入される。このため、ソースコードがバイトコードにコンパイルされた際に、自己改ざん検知コードが挿入された複数の箇所に同じ命令列のブロックが現れることになり、シグネチャを用いたマッチングにより当該ブロックが容易に発見されてしまう場合があった。
　本発明の付与装置は、保護対象の第１のプログラムが改ざんされたことを検知する機能を、前記第１のプログラムに付与する付与装置であって、前記第１のプログラムのバイトコードを構成する命令列のブロックから、ランダムにブロックを抽出し、前記第１のプログラムが実行される際に、当該ランダムに抽出したブロックより前に必ず実行されるブロックを抽出する抽出部と、前記第１のプログラムの改ざんを検知する第２のプログラムのバイトコードを構成する命令列を、ランダムに複数のブロックに分割する分割部と、前記分割部によって分割された複数のブロックを、前記抽出部によって抽出されたブロック内のそれぞれ異なる位置に、前記第２のプログラムにおける実行順序を維持して挿入する挿入部と、を有することを特徴とする。
　本発明の付与方法は、保護対象の第１のプログラムが改ざんされたことを検知する機能を、前記第１のプログラムに付与する付与装置で実行される付与方法であって、前記第１のプログラムのバイトコードを構成する命令列のブロックから、ランダムにブロックを抽出し、前記第１のプログラムが実行される際に、当該ランダムに抽出したブロックより前に必ず実行されるブロックを抽出する抽出工程と、前記第１のプログラムの改ざんを検知する第２のプログラムのバイトコードを構成する命令列を、ランダムに複数のブロックに分割する分割工程と、前記分割工程によって分割された複数のブロックを、前記抽出工程によって抽出されたブロック内のそれぞれ異なる位置に、前記第２のプログラムにおける実行順序を維持して挿入する挿入工程と、を含んだことを特徴とする。
　本発明によれば、プログラムにおける自己改ざん検知機能の実装箇所が、攻撃者によって容易に発見されないようにすることができる。
図１は、第１の実施形態に係る付与装置の構成の一例を示す図である。 図２は、第１の実施形態に係る自己改ざん検知コードの一例を示す図である。 図３は、第１の実施形態に係る制御フローグラフの一例を示す図である。 図４は、第１の実施形態に係る自己改ざん検知コードの分割について説明するための図である。 図５は、第１の実施形態に係る自己改ざん検知コードの挿入について説明するための図である。 図６は、第１の実施形態に係る付与装置の全体の処理の流れを示すフローチャートである。 図７は、第１の実施形態に係る付与装置の抽出処理の流れを示すフローチャートである。 図８は、第１の実施形態に係る付与装置の分割処理の流れを示すフローチャートである。 図９は、第１の実施形態に係る付与装置の挿入処理の流れを示すフローチャートである。 図１０は、プログラムが実行されることにより付与装置が実現されるコンピュータの一例を示す図である。
　以下に、本願に係る付与装置、付与方法及び付与プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
［本発明の背景］
　まず、実施形態の詳細な説明を行う前に、本発明の背景について説明する。本発明の保護対象のプログラムであって、改ざんの標的となるプログラムとして、例えば、Ａｎｄｒｏｉｄ（登録商標）が搭載された携帯電話端末上で実行されるアプリケーションがある。Ａｎｄｒｏｉｄでは、ＯＳ（Operating　System）がオープンソースであり仕様が明確である点や、多くの解析ツールが公開されている点等から、リバースエンジニアリングを用いたアプリケーションの改ざんが容易である。
　攻撃者は、アプリケーション配布サイト（以下、マーケットと呼ぶ。）から取得した正規のアプリケーションに改ざんを行うことで、マルウェアや海賊版アプリケーションを作成する。例えば、攻撃者はマーケットから取得した人気のアプリケーションに対して、遠隔操作を行う機能を持った悪性コードを挿入することで、見かけ上は、元の正規アプリケーションのように動作するが、その裏で攻撃者からの指示を受け悪性な活動を行うようなマルウェアを作成することが可能である。
　このようなアプリケーションの改ざんへの対策として、アプリケーションにあらかじめ自己改ざん検知機能を付与しておく対策が有効である。自己改ざん検知とはプログラム実行中に当該プログラムが自身の完全性を検証することで、第三者による改ざんを検知する技術である。改ざんが検知された際には、プログラムの動作を停止したり、プログラムを利用するユーザに対して警告を表示したりすることで、改ざんされたプログラムがユーザの環境上で動作することを防止する。
　一方で、このような対策は、アプリケーションの開発者が自発的に行う必要があり、自己改ざん検知機能をアプリケーションに実装する際にはアプリケーション改ざんに関する知識や、実装能力が要求される。そのため、個々の開発者のセキュリティに対する意識や実装スキルに依存して、そもそも対策が付与されていない場合や、対策の強度が弱く攻撃者によって自己改ざん検知機能自体が容易に無効化可能である場合がある。
　このような背景を踏まえ、アプリケーションに対して堅牢な自己改ざん検知機能を全自動で付与する技術が研究されている。しかしながら、前述の通り、従来技術には、プログラムにおける自己改ざん検知機能の実装箇所が攻撃者によって容易に発見されやすい場合があるという問題があった。そこで、本発明は、このような問題を解決することを目的としている。
　具体的に、本発明では、自己改ざん検知機能の実装箇所を発見されにくくするため、ソースコードの行単位よりもさらに細かい粒度であるバイトコードの命令単位で自己改ざん検知コードを挿入する。
　また、本発明では、自己改ざん検知コードの挿入を自動化することによって、個々の開発者のセキュリティに対する意識や実装スキルによらない自己改ざん検知機能の付与を可能としている。
［第１の実施形態の構成］
　まず、図１を用いて、本発明の第１の実施形態に係る付与装置の構成について説明する。図１は、第１の実施形態に係る付与装置の構成の一例を示す図である。図１に示すように、付与装置１０は、入力部１１、出力部１２、記憶部１３及び制御部１４を有する。
　なお、第１の実施形態においては、自己改ざん検知機能が付与されるプログラムが、Ａｎｄｒｏｉｄのアプリケーションである場合の例について説明するが、本発明の保護対象のプログラムは、Ａｎｄｒｏｉｄのアプリケーションに限られず、バイトコードであるか、又はバイトコードに変換可能な任意のプログラムとすることができる。
　入力部１１は、ユーザからのデータの入力を受け付ける。入力部１１は、例えば、マウスやキーボード等の入力装置である。出力部１２は、画面の表示等により、データを出力する。出力部１２は、例えば、ディスプレイ等の表示装置である。また、入力部１１及び出力部１２は、データの入出力のためのインタフェースであってもよい。
　また、入力部１１は、保護対象のアプリケーション２１の入力を受け付ける。このとき、保護対象のアプリケーション２１は、バイトコードである。なお、入力部１１は、アプリケーションのソースコードの入力を受け付けてもよい。この場合、付与装置１０は、ソースコードをバイトコードに変換する機能部をさらに有する。なお、保護対象のアプリケーション２１は、第１のプログラムの一例である。
　また、出力部１２は、保護済みのアプリケーション２２を出力する。保護済みのアプリケーション２２は、保護対象のアプリケーション２１に、自己改ざん検知機能が付与されたアプリケーションである。
　記憶部１３は、ＨＤＤ（Hard　Disk　Drive）、ＳＳＤ（Solid　State　Drive）、光ディスク等の記憶装置である。なお、記憶部１３は、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non　Volatile　Static　Random　Access　Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１３は、付与装置１０で実行されるＯＳや各種プログラムを記憶する。さらに、記憶部１３は、プログラムの実行で用いられる各種情報を記憶する。また、記憶部１３は、自己改ざん検知コード１３１を記憶する。
　自己改ざん検知コード１３１は、あらかじめ自己改ざん検知を行う機能が実装されたプログラムのテンプレートである。記憶部１３は、複数種類の自己改ざん検知コード１３１を記憶していてもよい。
　また、自己改ざん検知コード１３１に実装された自己改ざん検知を行う機能は、アプリケーションの完全性を検証できるものであればよい。例えば、自己改ざん検知を行う機能は、アプリケーションに付与された自己署名の値をハードコードされた値と比較することによって改ざんを検知するものであってもよいし、実行コードのハッシュ値を取得し、あらかじめ計算しておいたハッシュ値との比較によって改ざんを検知するものであってもよい。
　ここで、図２を用いて、自己改ざん検知コード１３１について説明する。図２は、第１の実施形態に係る自己改ざん検知コードの一例を示す図である。図２に示すように、自己改ざん検知コード１３１は、複数の行によって構成されたバイトコードである。なお、自己改ざん検知コード１３１は、第２のプログラムの一例である。
　制御部１４は、付与装置１０全体を制御する。制御部１４は、例えば、ＣＰＵ（Central　Processing　Unit）、ＭＰＵ（Micro　Processing　Unit）等の電子回路や、ＡＳＩＣ（Application　Specific　Integrated　Circuit）、ＦＰＧＡ（Field　Programmable　Gate　Array）等の集積回路である。また、制御部１４は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部１４は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１４は、抽出部１４１、分割部１４２及び挿入部１４３を有する。
　抽出部１４１は、保護対象のアプリケーション２１のバイトコードを構成する命令列のブロックから、ランダムにブロックを抽出し、保護対象のアプリケーション２１が実行される際に、当該ランダムに抽出したブロックより前に必ず実行されるブロックを抽出する。
　具体的に、まず、抽出部１４１は、保護対象のアプリケーション２１のバイトコードに含まれる関数ごとに制御フローグラフを構築する。制御フローグラフは、例えば、保護対象のアプリケーション２１のバイトコードを入力として既存のバイトコード解析フレームワークを利用することで構築することができる。
　抽出部１４１は、保護対象のアプリケーション２１に含まれる関数ごとの制御フローグラフのそれぞれから、ランダムに起点となるノードを抽出し、関数の実行開始から起点ノードまで状態が遷移する際に必ず通過するノード、すなわち、関数の実行開始から当該起点となるノードに至る経路上のノードである支配ノードを抽出する。このとき抽出された起点となるノード及び支配ノードに対応したバイトコードの命令列のブロックが、自己改ざん検知コードの挿入候補地点である。
　ここで、図３を用いて、制御フローグラフについて説明する。図３は、第１の実施形態に係る制御フローグラフの一例を示す図である。制御フローグラフ２００は、保護対象のアプリケーション２１に含まれる所定の関数に対応した制御フローグラフである。図３に示すように、制御フローグラフ２００は、ノード２０１～２０７を有する。このとき、抽出部１４１は、起点ノードとして、ノード２０６を抽出する。なお、抽出部１４１は、起点ノードとして抽出するノードをランダムに決定する。
　次に、抽出部１４１は、関数の実行開始から起点ノードまで状態が遷移する際に必ず通過するノードであるノード２０１及び２０３を支配ノードとして抽出する。ここで、保護対象のアプリケーション２１が実行される際、ノード２０６に状態が遷移する場合であれば、ノード２０１、２０３及び２０６については、ノード２０１、２０３、２０６の順で実行されることが保証されている。この場合、自己改ざん検知コードの挿入候補地点は、ノード２０１、２０３及び２０６に対応したバイトコードの命令列のブロックに含まれる。また、抽出部１４１は、保護対象のアプリケーション２１に含まれる全ての関数について、起点ノード及び支配ノードの抽出を行う。
　分割部１４２は、保護対象のアプリケーション２１の改ざんを検知する自己改ざん検知コード１３１のバイトコードを構成する命令列を、ランダムに複数のブロックに分割する。このとき、分割部１４２は、バイトコードである自己改ざん検知コード１３１上の１命令を最小単位として分割を行うことができる。
　また、分割部１４２は、抽出部１４１によって起点ノード及び支配ノードの抽出が行われた関数ごとに、自己改ざん検知コード１３１の分割を行う。また、分割部１４２は、分割後のブロック数や、各ブロックに含めるバイトコードの命令数を、分割対象の関数ごとにランダムに決定する。
　ここで、図４を用いて、自己改ざん検知コード１３１の分割について説明する。図４は、第１の実施形態に係る自己改ざん検知コードの分割について説明するための図である。
なお、図４は、図２に示す自己改ざん検知コード１３１の分割の例を表している。自己改ざん検知コード１３１は、１行目～１７行目のそれぞれが１つの命令列である。なお、自己改ざん検知コード１３１は、説明のため、実際の自己改ざん検知コードの一部を省略したものである。図４の例では、分割部１４２は、自己改ざん検知コード１３１をブロック１３２～１３８の７個のブロックに分割する。
　このとき、分割部１４２は、自己改ざん検知コード１３１のバイトコードを構成する命令列のうち、あらかじめ設定された所定の条件を満たす連続する複数の命令列が同じブロックに含まれるように、分割を行ってもよい。例えば、分割部１４２は、連続して実行される必要がある命令列や条件分岐に依存して実行される命令列が同じブロックに含まれるように分割する。これにより、分割部１４２による分割に起因して、自己改ざん検知コード１３１によって実行される処理の挙動が想定されていたものと異なってしまうことを防止する。
　例えば、「invoke-virtual」で始まる命令列の次に「move-result」で始まる命令列があることを、前述の所定の条件として設定することができる。この場合、図４の例において、分割部１４２は、例えば１行目と２行目の命令列がいずれもブロック１３２に含まれるように分割を行う。なお、図４の１行目と２行目の命令列は、連続的に実行される必要がある命令列の一例である。
　また、例えば「if-」と「return-void」の間に含まれることを前述の所定の条件として設定することができる。この場合、図４の例において、分割部１４２は、例えば１５行目から１７行目までの命令列がいずれもブロック１３８に含まれるように分割を行う。なお、図４の１行目と２行目の命令列は、条件分岐に依存して実行される命令列の一例である。
　挿入部１４３は、分割部１４２によって分割された複数のブロックを、抽出部１４１によって抽出されたブロック内のそれぞれ異なる位置に、自己改ざん検知コード１３１における実行順序を維持して挿入する。具体的には、挿入部１４３は、制御フローグラフごとに、分割部１４２によって分割された複数のブロックを、起点となるノード及び支配ノードに対応するバイトコードのブロック内のそれぞれ異なる位置、すなわち自己改ざん検知コード１３１の挿入候補地点に挿入する。
　挿入部１４３は、分割部１４２によって分割された複数のブロックの挿入位置を、挿入候補地点の中からランダムに決定することができる。ただし、挿入部１４３は、挿入するブロックの実行順序が、自己改ざん検知コード１３１における実行順序と同一となるように挿入する。
　ここで、図５を用いて、自己改ざん検知コード１３１の挿入について説明する。図５は、第１の実施形態に係る自己改ざん検知コードの挿入について説明するための図である。図５の例では、まず、挿入部１４３は、例えば、ノード２０１の２箇所を挿入位置として決定する。そして、挿入部１４３は、自己改ざん検知コード１３１における実行順序に従って、２箇所のうち先に実行される箇所にブロック１３２を挿入し、後に実行される箇所にブロック１３３を挿入する。同様に、挿入部１４３は、ブロック１３４～１３６をノード２０３の３箇所に挿入し、ブロック１３７及び１３８をノード２０６の２箇所に挿入する。
　挿入部１４３は、分割部１４２によって分割された複数のブロックを挿入する際に、例外処理の追加、又は変数保存領域の確保の少なくともいずれかを行う。例えば、挿入部１４３は、分割後のブロックに例外を発生させるコードが含まれていた場合、ブロックを挿入するとともに、例外処理を行うコードをさらに挿入する。また、分割後のブロックで一時的な変数が利用されている場合、挿入部１４３は、元々のバイトコード内で未使用の変数保存領域を利用するか、新たに追加した変数保存領域を利用するように当該ブロックを変更する。
　なお、記憶部１３には、複数種類の自己改ざん検知コード１３１を用意しておいてもよい。この場合、挿入部１４３は、関数ごとに異なる自己改ざん検知コード１３１を挿入することができる。
［第１の実施形態の処理］
　図６～９を用いて、付与装置１０の処理について説明する。まず、図６を用いて、付与装置１０の全体の処理の流れを説明する。図６は、第１の実施形態に係る付与装置の全体の処理の流れを示すフローチャートである。
　図６に示すように、まず、抽出部１４１は、自己改ざん検知コード１３１の挿入候補地点を抽出する（ステップＳ１０）。ここで、挿入部１４３は、保護対象のアプリケーション２１のバイトコードから、自己改ざん検知コード１３１の挿入候補地点が存在し、かつ、自己改ざん検知コード１３１が未挿入である関数を選択する（ステップＳ２０）。次に、分割部１４２は、自己改ざん検知コード１３１の分割を行う（ステップＳ３０）。そして、挿入部１４３は、選択した関数に、分割部１４２によって分割された自己改ざん検知コード１３１を挿入する（ステップＳ４０）。
　対象となる関数に、自己改ざん検知コード１３１の挿入が行われていないものが残っている場合（ステップＳ５０、Ｎｏ）、付与装置１０はステップＳ２０～Ｓ４０の処理をさらに実行する。一方、全ての対象となる関数に、自己改ざん検知コード１３１の挿入が行われた場合（ステップＳ５０、Ｙｅｓ）、付与装置１０は処理を終了する。その後、付与装置１０は、保護済みのアプリケーション２２のバイトコードを出力することができる。
　次に、図７を用いて、抽出部１４１による自己改ざん検知コード１３１の挿入候補地点を抽出する処理（ステップＳ１０）について詳細に説明する。図７は、第１の実施形態に係る付与装置の抽出処理の流れを示すフローチャートである。
　図７に示すように、抽出部１４１は、まず、保護対象のアプリケーション２１のバイトコード内の全ての関数を取得する（ステップＳ１０１）。次に、抽出部１４１は、自己改ざん検知コード１３１の挿入候補地点が未抽出である関数を選択する（ステップＳ１０２）。次に、抽出部１４１は、選択した関数の制御フローグラフを構築する（ステップＳ１０３）。
　ここで、抽出部１４１は、構築した制御フローグラフ中の全ノードから、起点ノードをランダムに選択する（ステップＳ１０４）。そして、抽出部１４１は、起点ノード及び起点ノードの支配ノードを自己改ざん検知コード１３１の挿入候補地点として抽出する（ステップＳ１０５）。
　ここで、自己改ざん検知コード１３１の挿入候補地点の抽出が行われていない関数が残っている場合（ステップＳ１０６、Ｎｏ）、抽出部１４１はステップＳ１０２～Ｓ１０５の処理をさらに実行する。一方、全関数から自己改ざん検知コード１３１の挿入候補地点の抽出が行われている場合、抽出部１４１は処理を終了する（ステップＳ１０６、Ｙｅｓ）。
　次に、図８を用いて、分割部１４２による自己改ざん検知コード１３１の分割処理（ステップＳ３０）について詳細に説明する。図８は、第１の実施形態に係る付与装置の分割処理の流れを示すフローチャートである。
　図８に示すように、分割部１４２は、まず、テンプレートとして記憶されている自己改ざん検知コード１３１を取得する（ステップＳ３０１）。次に、分割部１４２は、取得した自己改ざん検知コード１３１を複数のブロックにランダムに分割する（ステップＳ３０２）。
　次に、図９を用いて、分割部１４２による自己改ざん検知コード１３１の挿入処理（ステップＳ４０）について詳細に説明する。図９は、第１の実施形態に係る付与装置の挿入処理の流れを示すフローチャートである。
　図９に示すように、挿入部１４３は、まず抽出部１４１によって抽出された、自己改ざん検知コード１３１の挿入候補地点を取得する（ステップＳ４０１）。次に、挿入部１４３は、分割部１４２による分割が行われた自己改ざん検知コード１３１を取得する（ステップＳ４０２）。そして、挿入部１４３は、自己改ざん検知コード１３１の挿入候補地点に、分割後の自己改ざん検知コード１３１を挿入する（ステップＳ４０３）。
［第１の実施形態の効果］
　抽出部１４１は、第１のプログラムのバイトコードを構成する命令列のブロックから、ランダムにブロックを抽出し、第１のプログラムが実行される際に、当該ランダムに抽出したブロックより前に必ず実行されるブロックを抽出する。また、分割部１４２は、第１のプログラムの改ざんを検知する第２のプログラムのバイトコードを構成する命令列を、ランダムに複数のブロックに分割する。また、挿入部１４３は、分割部１４２によって分割された複数のブロックを、抽出部１４１によって抽出されたブロック内のそれぞれ異なる位置に、第２のプログラムにおける実行順序を維持して挿入する。
　抽出部１４１によって抽出されたブロックは、第１のプログラム、すなわち保護対象のプログラムが実行される際に必ず順序通りに実行されるようになっているため、第２のプログラム、すなわち自己改ざん検知コードを挿入した場合に、各ブロックを漏れなく順序通りに実行させることができる。
　また、保護対象のプログラムに含まれる関数ごとに、自己改ざん検知コードをランダムに分割したうえで挿入しているため、保護済みプログラムから、自己改ざん検知コード全体を機械的に発見することは困難である。このため、第１の実施形態によれば、プログラムにおける自己改ざん検知機能の実装箇所が、攻撃者によって容易に発見されないようにすることが可能になる。
　また、抽出部１４１は、第１のプログラムに含まれる関数ごとの制御フローグラフのそれぞれから、ランダムに起点となるノードを抽出し、関数の実行開始から当該起点となるノードに至る経路上のノードである支配ノードを抽出することができる。このとき、挿入部１４３は、制御フローグラフごとに、分割部１４２によって分割された複数のブロックを、起点となるノード及び支配ノードに対応するバイトコードのブロック内のそれぞれ異なる位置に挿入する。制御フローグラフは、既存のバイトコード解析フレームワークを利用することで構築することができるため、第１の実施形態によれば、自己改ざん検知コードの挿入を自動化し、開発者の知識や実装能力によらない自己改ざん検知機能の付与を可能にすることができる。
　また、分割部１４２は、第２のプログラムのバイトコードを構成する命令列のうち、あらかじめ設定された所定の条件を満たす連続する複数の命令列が同じブロックに含まれるように、分割を行ってもよい。これにより、自己改ざん検知コードを分割することによって、保護済みのプログラムで実行される自己改ざん検知処理の挙動が、想定されていたものと異なってしまうことを防止することができる。
　挿入部１４３は、分割部１４２によって分割された複数のブロックを挿入する際に、例外処理の追加、又は変数保存領域の確保の少なくともいずれかを行う。これにより、挿入部１４３によるブロックの挿入により、保護済みのアプリケーション２２の実行に不整合が生じることを防止することができる。
［システム構成等］
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
　また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
［プログラム］
　一実施形態として、付与装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の自己改ざん検知機能の付与を実行する付与プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の付与プログラムを情報処理装置に実行させることにより、情報処理装置を付与装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）等の移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistant）等のスレート端末等がその範疇に含まれる。
　また、付与装置１０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の自己改ざん検知機能の付与に関するサービスを提供する付与サーバ装置として実装することもできる。例えば、付与サーバ装置は、保護対象のプログラムのバイトコードを入力とし、保護済みのプログラムを出力とする付与サービスを提供するサーバ装置として実装される。この場合、付与サーバ装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の自己改ざん検知機能の付与に関するサービスを提供するクラウドとして実装することとしてもかまわない。
　図１０は、プログラムが実行されることにより付与装置が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
　ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、付与装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、付与装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤにより代替されてもよい。
　また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
　なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local　Area　Network）、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　１０　付与装置
　１１　入力部
　１２　出力部
　１３　記憶部
　１４　制御部
　２１　保護対象のアプリケーション
　２２　保護済みのアプリケーション
　１３１　自己改ざん検知コード
　１３２、１３３、１３４、１３５、１３６、１３７、１３８　ブロック
　１４１　抽出部
　１４２　分割部
　１４３　挿入部
　２００　制御フローグラフ
　２０１、２０２、２０３、２０４、２０５、２０６、２０７　ノード

Claims (6)

  1. 　保護対象の第１のプログラムが改ざんされたことを検知する機能を、前記第１のプログラムに付与する付与装置であって、
    　前記第１のプログラムのバイトコードを構成する命令列のブロックから、ランダムにブロックを抽出し、前記第１のプログラムが実行される際に、当該ランダムに抽出したブロックより前に必ず実行されるブロックを抽出する抽出部と、
    　前記第１のプログラムの改ざんを検知する第２のプログラムのバイトコードを構成する命令列を、ランダムに複数のブロックに分割する分割部と、
    　前記分割部によって分割された複数のブロックを、前記抽出部によって抽出されたブロック内のそれぞれ異なる位置に、前記第２のプログラムにおける実行順序を維持して挿入する挿入部と、
    　を有することを特徴とする付与装置。
  2. 　前記抽出部は、前記第１のプログラムに含まれる関数ごとの制御フローグラフのそれぞれから、ランダムに起点となるノードを抽出し、関数の実行開始から当該起点となるノードに至る経路上のノードである支配ノードを抽出し、
    　前記挿入部は、前記制御フローグラフごとに、前記分割部によって分割された複数のブロックを、前記起点となるノード及び前記支配ノードに対応するバイトコードのブロック内のそれぞれ異なる位置に挿入することを特徴とする請求項１に記載の付与装置。
  3. 　前記分割部は、前記第２のプログラムのバイトコードを構成する命令列のうち、あらかじめ設定された所定の条件を満たす連続する複数の命令列が同じブロックに含まれるように、分割を行うことを特徴とする請求項１又は２に記載の付与装置。
  4. 　前記挿入部は、前記分割部によって分割された複数のブロックを挿入する際に、例外処理の追加、又は変数保存領域の確保の少なくともいずれかを行うことを特徴とする請求項１から３のいずれか１項に記載の付与装置。
  5. 　保護対象の第１のプログラムが改ざんされたことを検知する機能を、前記第１のプログラムに付与する付与装置で実行される付与方法であって、
    　前記第１のプログラムのバイトコードを構成する命令列のブロックから、ランダムにブロックを抽出し、前記第１のプログラムが実行される際に、当該ランダムに抽出したブロックより前に必ず実行されるブロックを抽出する抽出工程と、
    　前記第１のプログラムの改ざんを検知する第２のプログラムのバイトコードを構成する命令列を、ランダムに複数のブロックに分割する分割工程と、
    　前記分割工程によって分割された複数のブロックを、前記抽出工程によって抽出されたブロック内のそれぞれ異なる位置に、前記第２のプログラムにおける実行順序を維持して挿入する挿入工程と、
    　を含んだことを特徴とする付与方法。
  6. 　コンピュータを、請求項１から４のいずれか１項に記載の付与装置として機能させるための付与プログラム。
PCT/JP2017/034354 2017-02-14 2017-09-22 付与装置、付与方法及び付与プログラム WO2018150619A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US16/484,827 US11403388B2 (en) 2017-02-14 2017-09-22 Assignment device, assignment method, and assignment program
JP2019500182A JP6554249B2 (ja) 2017-02-14 2017-09-22 付与装置、付与方法及び付与プログラム
EP17896598.4A EP3570196B1 (en) 2017-02-14 2017-09-22 Imparting device, imparting method, and imparting program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017-024901 2017-02-14
JP2017024901 2017-02-14

Publications (1)

Publication Number Publication Date
WO2018150619A1 true WO2018150619A1 (ja) 2018-08-23

Family

ID=63169297

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/034354 WO2018150619A1 (ja) 2017-02-14 2017-09-22 付与装置、付与方法及び付与プログラム

Country Status (4)

Country Link
US (1) US11403388B2 (ja)
EP (1) EP3570196B1 (ja)
JP (1) JP6554249B2 (ja)
WO (1) WO2018150619A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022091231A1 (ja) * 2020-10-28 2022-05-05 日本電気株式会社 改ざん検知機能組み込み装置、改ざん検知機能組み込み方法、及びコンピュータ可読媒体
WO2022091232A1 (ja) * 2020-10-28 2022-05-05 日本電気株式会社 監視範囲決定装置、監視範囲決定方法、及びコンピュータ可読媒体
WO2022259401A1 (ja) * 2021-06-09 2022-12-15 日本電気株式会社 監視範囲決定装置、監視範囲決定方法、及びコンピュータ可読媒体

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11354405B1 (en) * 2021-07-06 2022-06-07 Polyverse Corporation Code snippet mobilization systems and methods

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008010508A1 (fr) * 2006-07-18 2008-01-24 Panasonic Corporation dispositif de génération de commande
JP2008084275A (ja) * 2006-09-29 2008-04-10 Fujitsu Ltd ソフトウェアの改ざん監視装置および改ざん監視方法

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE69132675T2 (de) * 1990-04-06 2002-06-13 Nec Corp., Tokio/Tokyo Parallelfliessband-Befehlsverarbeitungssystem für sehr lange Befehlswörter
US6463538B1 (en) 1998-12-30 2002-10-08 Rainbow Technologies, Inc. Method of software protection using a random code generator
US9721092B2 (en) * 2014-03-27 2017-08-01 International Busines Machines Corporation Monitoring an application in a process virtual machine

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008010508A1 (fr) * 2006-07-18 2008-01-24 Panasonic Corporation dispositif de génération de commande
JP2008084275A (ja) * 2006-09-29 2008-04-10 Fujitsu Ltd ソフトウェアの改ざん監視装置および改ざん監視方法

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
KANEI, FUMIHIRO: "Evaluating Resistance of Android Applications to Automated Repackaging", TRANSACTIONS OF INFORMATION PROCESSING SOCIETY OF JAPAN, vol. 56, no. 12, 15 December 2015 (2015-12-15), pages 2275 - 2288, XP009515425, Retrieved from the Internet <URL:http://id.nii.ac.jp/1001/00146612/> *
LANNAN LUOYU FUDINGHAO WUSENCUN ZHUPENG LIU: "Repackage-proofing Android Apps", PROCEEDINGS OF THE INTERNATIONAL CONFERENCE ON DEPENDABLE SYSTEMS AND NETWORKS (DSN, 2016, pages 403 - 414
MYKOLA PROTSENKOSEBASTIEN KREUTERTILO MULLER: "Dynamic Self-Protection and Tamperproofing for Android Apps using Native Code", PROCEEDINGS OF THE INTERNATIONAL CONFERENCE ON AVAILABILITY, RELIABILITY AND SECURITY (ARES, 2015, pages 129 - 138, XP032795236, doi:10.1109/ARES.2015.98
See also references of EP3570196A4

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022091231A1 (ja) * 2020-10-28 2022-05-05 日本電気株式会社 改ざん検知機能組み込み装置、改ざん検知機能組み込み方法、及びコンピュータ可読媒体
WO2022091232A1 (ja) * 2020-10-28 2022-05-05 日本電気株式会社 監視範囲決定装置、監視範囲決定方法、及びコンピュータ可読媒体
JP7517456B2 (ja) 2020-10-28 2024-07-17 日本電気株式会社 監視範囲決定装置、監視範囲決定方法、及びプログラム
JP7517455B2 (ja) 2020-10-28 2024-07-17 日本電気株式会社 改ざん検知機能組み込み装置、改ざん検知機能組み込み方法、及びプログラム
WO2022259401A1 (ja) * 2021-06-09 2022-12-15 日本電気株式会社 監視範囲決定装置、監視範囲決定方法、及びコンピュータ可読媒体

Also Published As

Publication number Publication date
US20200042695A1 (en) 2020-02-06
EP3570196A1 (en) 2019-11-20
US11403388B2 (en) 2022-08-02
JP6554249B2 (ja) 2019-07-31
EP3570196A4 (en) 2020-09-16
EP3570196B1 (en) 2022-08-03
JPWO2018150619A1 (ja) 2019-07-11

Similar Documents

Publication Publication Date Title
CN105760773B (zh) 通过易受攻击的应用控制打开文件的系统和方法
JP6554249B2 (ja) 付与装置、付与方法及び付与プログラム
US9141801B2 (en) Apparatus and method for analyzing permission of application for mobile devices and detecting risk
KR101720686B1 (ko) 시각화 유사도 기반 악성 어플리케이션 감지 장치 및 감지 방법
KR101503785B1 (ko) 동적 라이브러리를 보호하는 방법 및 장치
EP2937807B1 (en) Monitoring device and monitoring method
KR20140037994A (ko) 위험도 계산을 통한 리패키지 애플리케이션의 분석시스템 및 분석방법
EP2881877A1 (en) Program execution device and program analysis device
CN112231702B (zh) 应用保护方法、装置、设备及介质
JP6000465B2 (ja) プロセス検査装置、プロセス検査プログラムおよびプロセス検査方法
US20180218154A1 (en) Analysis device, analysis method, and analysis program
CN109818972B (zh) 一种工业控制系统信息安全管理方法、装置及电子设备
JP6018344B2 (ja) 動的読み込みコード解析装置、動的読み込みコード解析方法及び動的読み込みコード解析プログラム
Rashid et al. Finding bugs in Android application using genetic algorithm and apriori algorithm
US12003525B2 (en) Development security operations on the edge of the network
CN109714371B (zh) 一种工控网络安全检测系统
KR102145324B1 (ko) 라이브러리 인젝션을 통한 취약점 분석 방법 및 서버
KR101616702B1 (ko) 코드사인을 이용한 소프트웨어 관리방법
AU2021427822B2 (en) Information processing device, information processing method, and information processing program
CN113407940B (zh) 脚本检测方法、装置、存储介质以及计算机设备
KR101588533B1 (ko) 안드로이드 시스템에서 응용 프로그램의 보안을 강화하는 방법 및 장치
Lee et al. Identifying Code Tampering Using A Bytecode Comparison Analysis Tool
WO2022249416A1 (ja) 分析装置、分析方法、および、分析システム
KR101616793B1 (ko) 애플리케이션 무결성 검사 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17896598

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019500182

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2017896598

Country of ref document: EP

Effective date: 20190812