AppAudit

针对现有Android应用存在用户隐私数据泄露的问题,提出了一种基于静态分析和动态分析相结合的应用审计方法——AppAudit,静态分析采用一种粗略的判断方法,保证分析的速度,关于动态分析本文提出了一种基于Approximated Execution(近似执行)的动态分析方法,在只执行应用一部分代码的同时,有效猜测未知变量,保证分析路径尽可能完全。在三个公开数据集(共1400个)的实验结果表明,AppAudit方法的隐私泄露检测率高达99.3%,并实现了0误报。相比现有工作,AppAudit方法的检测速度提高了8.3倍,并且内存占用减少了90%。AppAudit在实际应用中发现了30个数据泄露漏洞,其中很大一部分是由于第三方广告模块通过非加密HTTP连接传输用户数据导致的,充分说明了该AppAudit对应用商店、应用开发者和终端用户的意义。该成果可用于手机应用商店中,以更好地改善手机生态的安全性。

联合研究:McGill & SJTU

论文:Effective Real-time Android Application Auditing, S&P ’15 (2015 IEEE Symposium on Security andPrivacy) , May 2015

See http://appaudit.io/