Security and privacy enhancing mechanisms for the android operating system

Abstract

The Android platform is the dominant Operating System (OS) for mobile and IoT devices. Its wide distribution is mainly due to the freedom it grants to mobile manufacturers (OEMs) to use it as the primary operating system for their devices. In terms of security, Android’s enhanced security model safeguards the end-users from the threats of conventional Operating Systems (macOS, Windows, Linux, etc.). However, Android has vulnerabilities due to its architecture particularities. This thesis focuses on the threats, vulnerabilities and security mechanisms of the Android Operating System (OS). Initially, the permission-based access control model of the Android Operating System for controlling access to sensitive phone resources and its “relation’ to the Android framework’s methods for constructing the permission maps has been investigated. The aforementioned “relation” between a framework method and a permission can be found in the Android documentation. However, in addition to the fact that documentation may accidentally lack information, Android features undocumented and hidden API methods. To this direction, this thesis proposes Dypermin, a transparent framework for compiling the Android permission map without requiring any modification to the underlying operating system. To achieve that, Dypermin capitalizes on intrinsic properties of the Android framework, that is, security exceptions during run time and the availability of any protected API method through the Android framework, as well as on the advantages of the Java reflection mechanism. Furthermore, Dypermin, in contrast to other related methods, validates itself as it relies on run time information, meaning that it does not generate false-positive map entries. Dypermin has been evaluated on different Android versions. The results have been compared with those of other proposed methods demonstrating Dypermin’s efficacy for compiling the Android permission map for any given version. Furthermore, it has been demonstrated that the Android’s activity and task hijacking attacks may have a significant impact on end users’ data confidentiality since malicious applications can deceive end-users and silently gain access to sensitive data. Undoubtedly, such attacks are of vital importance and thus, for their thorough study, a tool named Anactijax has been proposed, used for identifying specific configurations that an application may be vulnerable to. Furthermore, an operating system level defense mechanism named TaskAuth has been proposed, controlling the access to the applications’ activities. TaskAuth is transparent to both end-users and developers by leveraging their built-in signatures. The effectiveness of TaskAuth has been evaluated against various vulnerable configurations provided by Anactijax. Results have proved that the proposed solution does not affect Android’s task management and that end-users suffer negligible execution overhead. Finally, the Android intent redirection and intent hijacking attacks were examined. Again, this type of attacks can be launched by malicious applications in order to gain access to users’ sensitive data. For addressing this type of attacks an operating system-level defense mechanism named IntentAuth has been proposed. IntentAuth allows end-users to explicitly define dynamic policies that specify a trust model for applications allowed to interact with each other. Additionally, upon the user-defined trust model for installed applications, the proposed implementation can verify and encrypt the data transmitted (application to application) during the Android’s Inter-Process communication mechanism via implicit Intents. The execution overhead imposed has been proved to be negligible.

Η πλατφόρμα Android αποτελεί το κυρίαρχο λειτουργικό σύστημα για κινητές και IoT συσκευές. Η ευρεία διάδοση του οφείλεται στην ελευθερία χρήσης που δίνετε στους κατασκευαστές κινητών συσκευών (Original Equipment Manufacturers - OEMs) να το χρησιμοποιούν ως το κύριο λειτουργικό σύστημα για τις συσκευές τους. Αφενός μεν, το μοντέλο ασφαλείας του Android προστατεύει τους χρήστες από τις απειλές των συμβατικών λειτουργικών συστημάτων όπως macOS, Windows, Linux, κλπ. Αφετέρου δε, στο Android εμφανίζονται αδυναμίες εξαιτίας των ιδιαιτεροτήτων της αρχιτεκτονικής του. Η παρούσα διδακτορική διατριβή επικεντρώνεται στο λειτουργικό σύστημα Android, τους μηχανισμούς ασφάλειας του, τις απειλές του, τα τρωτά σημεία του, και την αποτροπή σειράς επιθέσεων σε αυτό. Αρχικά διερευνάται το μοντέλο ελέγχου αδειών (permission model) του λειτουργικού συστήματος για τον περιορισμό της πρόσβασης σε ευαίσθητους πόρους από εφαρμογές και τη "σχέση" του με τις μεθόδους API (Application Programming Interface) του Android framework για την κατασκευή των συσχετίσεων αδειών (permissions) και των μεθόδων του framework. Η συσχέτιση μεταξύ μιας μεθόδου API του Android framework και ενός permission μπορεί να βρεθεί μέσω του documentation των μεθόδων του συστήματος Android. Ωστόσο, όχι μόνο το documentation μπορεί τυχαία να στερείται πληροφοριών αλλά και το Android διαθέτει undocumented και private μεθόδους API. Το αποτέλεσμα της ανάλυσης ήταν το Dypermin, ένα εργαλείο ικανό να συσχετίσει μεθόδους API και permissions χωρίς να απαιτείται τροποποίηση του υποκείμενου λειτουργικού συστήματος. Για να επιτευχθεί αυτό, το Dypermin αξιοποιεί τις εξαιρέσεις ασφαλείας (runtime Java security exceprtions) κατά τη διάρκεια εκτέλεσης μεθόδων του Android Framework και τη τεχνική reflection της γλώσσας προγραμματισμού Java για την προσπέλαση οποιασδήποτε προστατευμένης (private) μεθόδου API του Android Framework. Επιπλέον, το Dypermin, σε αντίθεση με άλλες σχετικές μεθόδους, βασίζεται σε πληροφορίες κατά τους χρόνους εκτέλεσης των μεθόδων API του Android framework, πράγμα που σημαίνει ότι δεν δημιουργεί ψευδώς θετικές (false positives) συσχετίσεις. Το Dypermin αξιολογήθηκε σε διαφορετικές εκδόσεις Android και τα αποτελέσματα του συγκρίθηκαν με αντίστοιχα αποτελέσματα άλλων προτεινόμενων μεθόδων για την ανάδειξη της αποτελεσματικότητα του για οποιαδήποτε έκδοση του συστήματος. Παράλληλα εξετάζονται οι επιθέσεις activity, και task hijacking στο λειτουργικό σύστημα Android που μπορούν να έχουν μεγάλο αντίκτυπο για τους χρήστες, καθώς κακόβουλες εφαρμογές που εκμεταλλεύονται τέτοιες αδυναμίες μπορούν να τους εξαπατήσουν και να αποκτήσουν πρόσβαση σε ευαίσθητα δεδομένα τους και λογαριασμούς τους. Αναμφίβολα, αυτές οι απειλές έχουν μεγάλη σημασία και για τη διεξοδική μελέτη τους, δημιουργήθηκε το εργαλείο Anactijax, ικανό να εντοπίσει συγκεκριμένες διαμορφώσεις στις οποίες μπορεί να είναι ευάλωτη μια εφαρμογή. Επιπλέον, προτάθηκε ένας μηχανισμός αποτροπής σε επίπεδο λειτουργικού συστήματος με όνομα TaskAuth που ελέγχει και περιορίζει την πρόσβαση των εφαρμογών σε activities. Το TaskAuth λειτουργεί με διαφάνεια τόσο για τους χρήστες όσο και για τους προγραμματιστές καθώς αξιοποιεί τις ενσωματωμένες υπογραφές που φέρουν οι εφαρμογές Android. Η αποτελεσματικότητα του TaskAuth αξιολογήθηκε σε σχέση με διάφορες ευάλωτες διαμορφώσεις που ανέδειξε το Anactijax και τα αποτελέσματα έδειξαν ότι η εφαρμογή της προτεινόμενης λύσης δεν επηρεάζει τη διαχείριση των tasks του Android ούτε επιβαρύνει τους χρόνους εκτέλεσης των εφαρμογών. Τέλος, εξετάζονται οι απειλές intent redirection and intent hijacking στο σύστημα Android. Αυτές οι απειλές μπορούν να επηρεάσουν την εμπιστευτικότητα και την ακεραιότητα των δεδομένων των χρηστών, καθώς κακόβουλες εφαρμογές που εκμεταλλεύονται τέτοιες ευπάθειες σε άλλες εφαρμογές μπορούν να εξαπατήσουν τους χρήστες και να αποκτήσουν πρόσβαση ή να παραποιήσουν τα δεδομένα τους. Έτσι, μελετήθηκαν διεξοδικά οι απειλές intent redirection and intent hijacking και για την αποτροπή τους προτάθηκε ένας μηχανισμός προστασίας των χρηστών σε επίπεδο λειτουργικού συστήματος με όνομα IntentAuth που δίνει τη δυνατότητα στους χρήστες να καθορίζουν δυναμικές πολιτικές στα σύνολα των εφαρμογών που επιτρέπουν να αλληλοεπιδρούν μεταξύ τους. Επιπλέον, βάσει του μοντέλου εμπιστοσύνης που ο κάθε χρήστης καθορίζει για τις εγκατεστημένες εφαρμογές του, ο μηχανισμός IntentAuth μπορεί να κρυπτογραφήσει τα μεταδιδόμενα δεδομένα της διαδιεργασιακής επικοινωνίας του συστήματος μεταξύ εφαρμογών με implicit intents χωρίς επιβάρυνση του χρόνου εκτέλεσης.