论文部分内容阅读
近年来,智能手机在全球范围快速的普及,由于Android平台开源的特征,使得Android平台更容易受到攻击者的关注,导致敏感信息的泄露;与此同时,应用开发人员不规范的编码习惯导致应用程序中敏感数据缺乏必要的保护措施。在Android平台上,社交类应用由于涉及的隐私数据范围较广,并且拥有大量的用户生成内容(User Generated Content,UGC),隐私泄露的风险尤为突出。虽然Android平台本身提供了一些安全手段,例如权限机制、沙箱隔离机制、访问控制机制等,并且目前不少研究人员针对隐私分析与敏感数据保护也进行了多种研究、实现,但是已有的研究方案并不适用于保护Android应用上的UGC数据,因此目前仍然缺乏具有针对性的保护机制。针对Android平台隐私泄露问题严重的现状,本文将对Android平台上用户生成数据作为研究对象,设计并实现了一个无须重打包应用的UGC数据保护方案,该方案对UGC数据生命周期中的脆弱环节进行加固保护,实现UGC数据的安全性,从而防止用户敏感信息的泄露。本文的主要研究成果如下:1.本文首先对目前国内外文献中隐私数据的定义与分类进行综述,明确本文研究对象,并对现有隐私泄露分析与敏感数据保护的研究进行分类与概括。通过对文献中与隐私有关概念的研究,包括对隐私数据的界定,按照隐私数据的来源和泄露方式提出合理的分类方案,总结归纳文献中提出的隐私保护方案,并提出现有的方案对UGC数据的保护存在缺失。2.对Android平台上的UGC数据进行定义,包括对Android平台上UGC数据的生命周期进行详细描述,对从数据的产生到数据的销毁全过程面临的威胁进行分析、评级,最后着重对生命周期中面临严重威胁的文件存储阶段与面临不确定威胁的网络传输阶段进行脆弱点分析。3.通过分析应用中UGC数据的生命周期及其面临的安全威胁,设计了一种UGC数据的安全加固方案UGC-Guard,该方案适用于通过调用Android系统提供API实现UGC数据生成的应用,如常用的社交APP微信。该安全方案通过Android Framework层级的Hook技术实现安全模型系统,可在不修改原应用的前提下,在UGC数据生命周期中风险等级由低转高的高危脆弱点,实行动态的安全加固,保证用户数据的安全。