多维度iOS隐私泄露评估模型研究

doi:10.11959/j.issn.2096-109x.2016.00043

网络与信息安全学报 ›› 2016, Vol. 2 ›› Issue (4): 73-79.doi: 10.11959/j.issn.2096-109x.2016.00043

• 学术论文 • 上一篇

多维度iOS隐私泄露评估模型研究

邢月秀¹,胡爱群¹,王永剑²,赵然¹

¹ 东南大学信息安全研究中心，江苏南京210096
² 公安部第三研究所，上海200031

修回日期:2016-03-08 出版日期:2016-04-01 发布日期:2016-05-25
作者简介:邢月秀（1991-），女，安徽宣城人，东南大学硕士生，主要研究方向为隐私保护、手机取证。|胡爱群（1964-），男，江苏如皋人，博士，东南大学教授、博士生导师，主要研究方向为网络与信息安全、物理层安全技术。|王永剑（1981-），男，山西长治人，公安部第三研究所副研究员，主要研究方向为网络与信息安全。|赵然（1991-），男，江苏南京人，东南大学硕士生，主要研究方向为隐私保护、手机取证。
基金资助:
国家重点基础研究发展计划（“973”计划）基金资助项目(2013CB338003)

Research on multi-dimensional iOS privacy disclosure evaluation model

Yue-xiu XING¹,Ai-qun HU¹,Yong-jian WANG²,Ran ZHAO¹

¹ Information Security Research Center,Southeast University,Nanjing 210096,China
² The Third Research Institute of Ministry of Public Security,Shanghai 200031,China

Revised:2016-03-08 Online:2016-04-01 Published:2016-05-25
Supported by:
The National Basic Research Program of China (973 Program)(2013CB338003)

摘要/Abstract

摘要：

针对目前iOS平台隐私泄露检测缺乏系统性的评估方法，提出了一种多维度iOS隐私泄露评估模型。该模型分为综合静态分析、动态分析和网络数据分析方法，从多维度对应用程序隐私泄露行为进行特征抽取和评估。实验测试了30款来自苹果App Store不同类型的应用程序，发现超过50%的应用程序会读取用户位置信息，约40%的应用程序存在未经用户同意发送数据到服务器的情况。该模型弥补了单一使用静态分析或动态分析方法的局限性，有效解决了隐私泄露的量化问题。

关键词: iOS, 隐私泄露, 静态分析, 动态分析, 网络数据分析

Abstract:

The existing iOS platform is lacking ofsystematic assessment methods of privacy leak detection.To solve this problem,a multi-dimensional iOSprivacy disclosure evaluation model was presented.This model combined static analysis,dynamic analysis and network data analysis method to extract the features of the application’s pri-vacy disclosure behavior and evaluate it form multiple dimensions way.The model on 30 different types of apps from the iOS App Store and found out that more than 50% of all investigated apps aretracking users’ locations were evaluated,almost 40% of all send data to a server without the user’s consent.The model makes up for the limitations of single static analysis or dynamic analysis methods,solves the quantization problem of privacy disclosure effectively.

Key words: iOS, privacy disclosure, static analysis, dynamic analysis, network data analysis

中图分类号:

TN929.53

邢月秀,胡爱群,王永剑,赵然. 多维度iOS隐私泄露评估模型研究[J]. 网络与信息安全学报, 2016, 2(4): 73-79.

Yue-xiu XING,Ai-qun HU,Yong-jian WANG,Ran ZHAO. Research on multi-dimensional iOS privacy disclosure evaluation model[J]. Chinese Journal of Network and Information Security, 2016, 2(4): 73-79.

图/表 7

图1

图2

表1

表2

表3

图3

表4

参考文献 14

[1]	Smartphone OS market share,2015 Q2[EB/OL]. .
[2]	EGELE M , KRUEGEL C , KIRDA E , et al . PiOS:detecting privacy leaks in iOS applications[C]// NDSS.c 2011:289-291.
[3]	GILBERT P , CHUN B G , LANDON P , et al . Automating privacy testing of smartphone applications:technical report:CS-2011-02[R]. Duke University, 2011.
[4]	KURTZ A , WEINLEIN A , SETTGAST C , et al . DiOS:dynamic privacy analysis of iOS applications:friedrich-alexander-universit?t erlangen-nürnberg,dept of computer science,CS-2014-03[R]. 2014.
[5]	PENG L , CUI B J . A comparative study on software vulnerability static analysis techniques and tools[C]// Information Theory and In-formation Security.c 2010:521-524.
[6]	EPIFANI M , PASQUALE S . Learning iOS Forensics[M]// Bir-mingham:Packt Publishing Ltd, 2015:153-170.
[7]	iOS developer library[EB/OL]. .
[8]	NYGARD S . Class-dump[EB/OL] Managerial Finance, .
[9]	AGARWAL Y , HALL M . Protect my privacy:detecting and miti-gating privacy leaks on iOS devices using crowdsourcing[C]// The Intemational Conference on Mobile Systems,Application,and Ser-vices.c 2013:97-110.
[10]	Dumpdecrypted[EB/OL]. .
[11]	FairPlay[EB/OL]. .
[12]	Hopper[EB/OL]. .
[13]	FREEMAN J . Mobile substrate[EB/OL]. .
[14]	Tshark[EB/OL]. .

隐私API分类	关键API函数举例	函数说明
定位服务API （Location API）	-(void)requestWhenInUseAuthorization	程序前台运行时请求使用定位服务
通讯录API（Contacts API）	-(void)requestAccessForEntityType:(CNEntityType)entityTypecompletionHandler:(void(^)(BOOL granted,NSError*error)) completionHandler	请求访问通讯录
日历和提醒事项API （Calendar API）	-(void)requestAccessToEntityType:(EKEntityType)entityType completion:(EKEventStoreRequest AccessCompletionHandler)completion	请求访问日历和提醒事项的用户权限
照片API（Photo API）	+(void)requestAuthorization:(void(^)(PHAuthorizationStatus status))handler	请求访问照片库的用户权限
麦克风API（Microphone API）	-(void)requestRecordPermission:(PermissionBlock)response	请求使用麦克风
相机API（Camera API）	+(instancetype)deviceInputWithDevice:(AVCaptureDevice )device error:(NSError *)outError	捕获设备输入
健康API（Health API）	-(void)requestAuthorizationToShareTypes:(NSSet＜HKSampleType ＞ )typesToSharereadTypes:(NSSet＜HKO bjectType ＞ )typesToRead completion:(void(^)(BOOL success,NSError*error)) completion	请求访问健康数据
社交账户API （Social API）	-(void)requestAccessToAccountsWithType:(ACAccountType )accountType options:(N Diction-ary )optionscompletion:(ACAccountStoreRequestAccessCompletionHandler)completion	请求访问社交账户数据
本机信息API（Nativeinfo API）	extern NSString* CTSettingCopyMyPhoneNumber()	获取本机号码

分析方法	类别	权重值	备注
	查看授权状态API	1	/
静态分析	申请授权API	3	/
	读写API	5	/
	查看授权状态API	6	/
动态分析	申请授权API	8	/
	读写API	10	/
	泄露行为1)	/	App[i]_Risk=100%
	泄露行为2)	15	/
网络数据分析
	泄露行为3)	/	App[i]_Risk=100%
	泄露行为4)	15	/

设备	配置描述
计算机CPU	Intel Core i5 2.4 GHz
计算机内存	8 GB 1 600 MHz DDR3
计算机操作系统	OS X Yosemite 10.10.1
iOS手机版本	iOS 8.3
iOS手机内存	1 024 MB

分析方法	隐私API分类	API函数			隐私泄露行为	权重值
分析方法	隐私API分类	类别		个数	隐私泄露行为	权重值
	定位服务API	A,B,C		1,2,1	/	12
	通讯录API	A,B		1,1	/	8
	日历和提醒事务API	/		/	/	/
	图片API	A,B,C		1,1,1,	/	9
静态分析	麦克风API	B		1	/	3
	相机API	A,B,C		1,1,1	/	9
	健康API	/		/	/	/
	社交API	A		1	/	5
	本机API	/		/	/	/
	定位服务API	A,B,C		1,2,1	/	32
	通讯录API	A,B,C		1,1,1	/	24
	日历和提醒事务API	/		/	/	/
	图片API	A,B,C		1,1,1	/	24
动态分析	麦克风API	B		1	/	8
	相机API	A,B,C		1,1,1	/	24
	健康API	/		/	/	/
	社交API	A,B		1,1	/	18
	本机API	A		2	/	20
	/		/		行为1)不存在	/
网络数据分析	//		//		行为2) 不存在行为3) 不存在	//
	/		/		行为4) 存在	15

多维度iOS隐私泄露评估模型研究

Research on multi-dimensional iOS privacy disclosure evaluation model

在线阅读

pdf下载

可视化

被引次数

摘要/Abstract

引用本文

使用本文

图/表 7

参考文献 14

相关文章 12

Metrics

推荐阅读 0

[1]	超凡, 杨智, 杜学绘, 韩冰. 基于多因素聚类选择的Android应用程序分类风险评估方法[J]. 网络与信息安全学报, 2021, 7(2): 161-173.
[2]	任奎, 孟泉润, 闫守琨, 秦湛. 人工智能模型数据泄露的攻击与防御研究综述[J]. 网络与信息安全学报, 2021, 7(1): 1-10.
[3]	周天昱,申文博,杨男子,李金库,秦承刚,喻望. Docker组件间标准输入输出复制的DoS攻击分析[J]. 网络与信息安全学报, 2020, 6(6): 45-56.
[4]	超凡,杨智,杜学绘,孙彦. 基于深度神经网络的Android恶意软件检测方法[J]. 网络与信息安全学报, 2020, 6(5): 67-79.
[5]	尹小康,刘鎏,刘龙,刘胜利. PPC和MIPS指令集下二进制代码中函数参数个数的识别方法[J]. 网络与信息安全学报, 2020, 6(4): 95-103.
[6]	张兴兰,崔遥. 基于群签名的属性加密方案[J]. 网络与信息安全学报, 2019, 5(1): 15-21.
[7]	肖达,刘博寒,崔宝江,王晓晨,张索星. 基于程序基因的恶意程序预测技术[J]. 网络与信息安全学报, 2018, 4(8): 21-30.
[8]	李晴,叶阿勇,姚志强,陈爱民. 基于AP指纹的RAP检测方法[J]. 网络与信息安全学报, 2018, 4(5): 55-61.
[9]	张东,张尧,刘刚,宋桂香. 基于机器学习算法的主机恶意代码检测技术研究[J]. 网络与信息安全学报, 2017, 3(7): 25-32.
[10]	叶益林,周振吉,洪征,颜慧颖,吴礼发. 基于静态分析的Android应用事件输入生成方法[J]. 网络与信息安全学报, 2017, 3(6): 21-32.
[11]	孙博文,黄炎裔,温俏琨,田斌,吴鹏,李祺. 基于静态多特征融合的恶意软件分类方法[J]. 网络与信息安全学报, 2017, 3(11): 68-76.
[12]	陈佳,郭山清. 面向服务端私有Web API的自动发现技术研究[J]. 网络与信息安全学报, 2016, 2(12): 27-38.