Мобильная «безопасность»

1. Мобильная «безопасность»
Ярослав Александров, Ленар Сафин
к.ф.-м.н. Катерина Трошина, к.ф.-м.н. Александр Чернов
PHDays V, 26 мая 2015

2. Introduction

3. Android: market share

4. Анализ приложений
50 приложений: банки, почта, билеты

5. Методика анализа
• Декомпиляция (apk → java)
• Автоматический статический анализ
• Экспертный статический анализ
• Экспертный динамический анализ
– Соединения
– Файловая система, логи
– Система авторизации

6. Инструмент: inCode
Анализ вручную
Инструментальное
средство: inCode

7. Бинарный анализ

8. Статический анализ
• Поиск по шаблонам
• Анализ графа потока управления
• Анализ потока данных:
– Компиляторы (alias, DU&UD,
межпроцедурный, …)
– taint-анализ, интервальный,
строковый

9. Уязвимости
• M3, M4: Передача данных
(http, weak SSL)
• M2, M4: Хранение данных
(home dir, SD)

10. Уязвимости
• Небезопасное межпроцессное
взаимодействие
– Service
– Activity
– Intent
– ContentProvider
– BroadcastReceiver

11. Уязвимости
• M6: Небезопасная
криптография (MD4, MD5,
DES/3DES, ECB-mode, …)
• M7, M8: Недостаточная
проверка и обработка входных
данных

12. Демо
Приложение (Google Play)
Статический анализ
для поиска уязвимостей
Уязвимость: SSL
Эксплоит (Fiddler)

13. Заключение
• Исследование приложений
• inCode: бинарный анализ Android
Спасибо за внимание!
info@smartdec.ru
alexandrov@smartdec.ru
smartdec.ru