Android智能手机通信安全,面向Android智能手机的数据安全问题研究

摘要：

近几年来,智能手机已经成为人们生活中不可或缺的一部分,其强大功能不仅仅为用户带来了前所未有的便捷,同时也为网络攻击者窃取用户的敏感数据提供了方便.网络攻击者利用智能手机的一些独有特点通过不同的方式从用户的智能手机中获取隐私数据.因此,面向智能手机的数据安全问题已经成为了网络安全研究领域的一个重要研究问题.Android系统作为最常见的一类智能手机操作系统,为移动应用提供了多种不同的数据存储方式,但是应用开发者在通过这些方式存储数据时是否充分考虑了所存储数据的安全问题并未可知.智能手机中所搭载的各类传感器在方便应用感知用户状态信息的同时,也往往会被网络攻击者所利用来窃取用户的敏感数据.除了数据的存储和采集之外,应用往往也需要与后台服务器进行数据通信.智能手机提供了多样的无线网络通信方式(Wi-Fi无线网络,4G无线网络等),但是在通信过程中却仍然潜在着一些数据安全问题.本文主要从数据存储,数据采集和数据传输三个方面研究Android智能手机中的数据安全问题.本文的主要贡献如下:1.在数据存储方面,针对Android共享存储空间在使用过程中存在的数据安全问题进行了深入研究.Android系统通过读写访问权限来控制应用对共享存储空间(Shared Storage/External Storage)的访问.获得了读写访问权限的应用可以随意访问共享存储空间中的任意文件,即使该应用并不是此文件的拥有者.因此,当应用将文件保存在共享存储空间时将会面临一系列的数据安全隐患.本文主要研究了一个容易被忽视的与共享存储空间相关的安全问题——应用在读取共享存储空间中的文件时缺少适当的文件内容校验过程(如:完整性校验).本文通过分析大量移动应用中的读取共享存储空间中文件的行为,发现很多的敏感数据都被应用以文件的形式保存在共享存储空间中,而大部分的应用在使用这些文件时缺乏必要的文件校验过程.攻击者利用这一特点可以设计实现一系列针对特定类型文件的攻击.2.在数据采集方面,提出了一类抵御基于运动传感器的按键内容推测攻击的安全键盘策略.当人们在使用智能手机时,往往需要通过虚拟键盘进行一定的输入操作.这些操作会导致智能手机姿态发生动态变化而被运动传感器所捕获到.攻击者通过获取运动传感器中的数据可以推测用户相应的输入内容.本文从键盘应用的角度出发,分别基于随机的振动噪音以及动态变化的键盘布局设计实现了一类方便实用的防御策略.具体评测结果显示本文所提出的防御策略既可以有效降低攻击者的按键推测准确度,同时又可以保持用户的正常输入速度.3.在数据传输方面,提出了一种基于Wi-Fi无线网络信号和视频信号的用户与移动设备关联的方法.Wi-Fi无线网络的开放性使得网络攻击者可以很轻易地捕获到无线网络中正在传输的网络数据包来获取用户的隐私数据.但是在现实环境中,网络数据包往往是基于设备的(如:设备的MAC地址),因此获得的用户信息也同样是基于设备的,而无法与场景中真实的用户进行关联.本文发现利用因为用户运动而变化的无线网络信号和视频信号可以将捕获到的网络数据包与真实的用户进行准确关联.攻击者通过这种方法可以获得更多关于用户的个人特征信息,如:性别,年龄,外貌和穿着等,以此发现更有价值的攻击对象.本文基于Wi-Fi无线网络信号和视频信号变化的一致性提出一种用户和设备关联的方法,EV-Linker,通过一系列的信号处理方法以及信号匹配算法来减少关联过程中其他不必要因素的影响.EV-Linker同样也可以被应用于用户静止的情况.评测结果显示:不论用户运动与否,EV-Linker都非常有效.

展开