面向个人信息保护的iOS设备风险评估方法.pdf

1 1 6 2 0 2 3年8期2 0 2 3年第4 5卷第8期面向个人信息保护的i O S设备风险评估方法甄 扬收稿时间:2 0 2 3-0 5-2 3基金项目:安徽省高等学校科学研究项目(自然科学类)重点项目(2 0 2 2 AH 0 5 2 6 6 4);2 0 2 1年中国高校产学研创新基金“新一代信息技术创新项目”(2 0 2 1 I T A 0 9 0 2 2)作者简介:甄扬(1 9 9 1-),硕士,助教,研究方向为大数据、人工智能、网络安全。(安徽工业经济职业技术学院计算机与艺术学院 合肥2 3 0 0 5 1)摘 要 当前,面向i O S系统个人信息保护的研究主要集中在恶意A P P分析与识别领域,缺少对i O S越狱和i O S系统漏洞的探讨。文中将三者融合,提出了一种针对i O S设备的风险评估方法。首先,定义了风险指标分值和风险要素权重值,然后根据预定义规则计算了风险指标和风险要素得分,最后确定了设备风险级别,并给出了风险控制建议。基于该方法,构建了i O S设备风险管理系统。该系统采用客户端-服务器架构,客户端负责抓取并上传设备信息,服务器根据设备信息进行风险分析与评估,并反馈结果。运行结果表明,该系统能有效帮助用户发现i O S设备存在的各种风险。关键词:i O S;恶意软件;个人信息保护;风险评估;i O S越狱;风险管理中图法分类号 T P 3 9 3R i s kA s s e s s m e n tM e t h o df o r i O SD e v i c e s f o rP e r s o n a l I n f o r m a t i o nP r o t e c t i o nZ HE NY a n g(S c h o o l o fC o m p u t e ra n dA r t,A n h u iT e c h n i c a lC o l l e g eo f I n d u s t r ya n dE c o n o m y,H e f e i 2 3 0 0 5 1,C h i n a)A b s t r a c t A tp r e s e n t,t h e r e s e a r c ho np e r s o n a l i n f o r m a t i o np r o t e c t i o n f o r i O Ss y s t e m sm a i n l y f o c u s e so n t h e f i e l do fm a-l i c i o u sA P Pa n a l y s i sa n d i d e n t i f i c a t i o n,a n dl a c k st h ed i s c u s s i o no f i O Sj a i l b r e a k i n ga n di O Ss y s t e mv u l n e r a b i l i t i e s.T h i sp a p e r i n t e g r a t e s t h e t h r e e,a n dp r o p o s e sat h r e a ta n dr i s ka s s e s s m e n tm e t h o df o r i O Se q u i p m e n t.F i r s t,t h er i s ki n d e xs c o r ea n dr i s ke l e m e n tw e i g h t v a l u e a r ed e f i n e d,a n d t h e n t h e r i s k i n d e xa n d r i s ke l e m e n t s c o r e a r e c a l c u l a t e da c c o r d i n g t op r e d e f i n e dr u l e s,a n df i n a l l yt h ee q u i p m e n t r i s kl e v e l i sd e t e r m i n e d,a n dr i s kc o n t r o l s u g g e s t i o n sa r eg i v e n.B a s e do nt h i sm e t h o d,a i O Se q u i p m e n t r i s km a n a g e m e n t s y s t e mi sb u i l t.T h es y s t e ma d o p t sc l i e n ts i d e-s e r v e ra r c h i t e c t u r e.T h ec l i e n ts i d e i s r e s p o n s i b l e f o rg r a b b i n ga n du p l o a d i n gd e v i c e i n f o r m a t i o n.T h e s e r v e r c o n d u c t s r i s ka n a l y s i s a n de v a l u a t i o na c c o r d-i n gt ot h ed e v i c e i n f o r m a t i o n,a n df e e d sb a c kt h er e s u l t s.T h eo p e r a t i o nr e s u l t ss h o wt h a t t h es y s t e mc a ne f f e c t i v e l yh e l pu s e r sd i s c o v e rv a r i o u s r i s k se x i s t i n g i n i O Se q u i p m e n t.K e y w o r d s i O S,M a l w a r e,P r o t e c t i o no fp e r s o n a l i n f o r m a t i o n,R i s ka s s e s s m e n t,i O S j a i l b r e a k,R i s km a n a g e m e n t0 引言苹果公司的i O S系统是智能手机市场中主流的操作系统之一,中国工业和信息化部披露的数据显示,截至2 0 2 2年1 2月末,我国国内市场上的i O S应用商店(中国区)中的A P P数量为1 3 5万款。A P P的广泛应用,在促进经济社会发展、服务民生等方面发挥着不可替代的作用。与此同时,A P P强制授权、过度索取、超范围收集个人信息等现象普遍存在。尽管苹果公司会对每款上架的A P P进行“应用程序审查”,但仍然无法完全避免A P P侵犯用户个人隐私的行为。例如,A P P可以通过在运行时构建私有A P I函数名,从而绕过“应用程序审查”机制1。除A P P之外,i O S系统的漏洞也可能会导致用户的个人信息泄露。例如,2 0 2 1年被曝光的P e g a s u s病毒可以利用i O S系统的“零点击”漏洞感染设备。该病毒可以获取通话信息、电子邮件、照片等信息,在此过程中受害者完全不知情2。此外,i O S越狱也会严重侵害用户的个人信息安全。i O S越狱指获取i O S系统最高权限(也称r o o t权限)的技术手段。越 狱 成 功 后,用 户 可 以 通 过A p pS t o r e的 替 代 者C y d i a安装各种软件,这些软件大多数为破解软件或盗版软件。尽管越狱可以在一定程度上为用户提供方便,但同时其带来的风险也是巨大的。例如,2 0 2 1年被曝光的M a i n-R e p o植入后门事件,只要用户安装了M a i n R e p o提供的软件,手机就会被开启后门,基于此,黑客就可以执行任何命令。2 0 2 3年8期1 1 7 随着人们对智能手机依赖程度的加深,手机上存储的个人信息也越来越多,人们面临的安全威胁也会越来越多。因此,研究个人信息保护问题,具有较强紧迫性和必要性。1 相关工作当前,面向i O S系统个人信息保护的研究主要集中在恶意A P P分析与识别领域。例如,A r p i t a等3提出了i A B C(i O SA p p l i c a t i o na n a l y z e ra n dB e h a v i o rC l a s s i f i e r)模型,其基于权限诱导,综合运用静态分析和动态分析技术,通过逆向工程提取A P P的权限设置信息,用于计算风险得分。该模型能有效发现A P P存在的恶意行为。C h e n等4针对i O S系统提出了一种隐私泄露检测方法,该方法基于动态分析和取证分析技术,能有效定位A P P泄露隐私的代码位置。A n a s t a s i a等5提出了一种检测P I I(P e r s o n a l l y I d e n t i f i-a b l e I n f o r m a t i o n)泄露的方法,该方法基于网络流量进行分析和机器学习,具有良好的效果,但仅限于A P P层面。前述各项工作在A P P行为分析领域做出了大量有价值的研究,但未考虑i O S越狱和i O S系统漏洞造成的风险。本文将A P P行为与i O S越狱、i O S系统漏洞相结合,提出了一种面向个人信息保护的i O S设备风险评估方法,开发了一套i O S设备风险管理系统,以期更加全面地保护用户的个人信息和隐私。2 i O S设备风险评估方法i O S设备风险评估指对i O S设备及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。本方法定义了3项风险要素,分别是i O S越狱风险、A P P风险、i O S系统漏洞风险,它们是风险评估的客体。各风险要素均包含若干风险指标。i O S越狱带来的风险很多6,包括通过C y d i a安装A p pS t o r e、未经过苹果官方签名的应用;越过沙盒机制收集各类用户信息,如通话记录、短信、相册、K e y c h a i n等的应用;通过HOOK方式注入任意A P P并 执 行 恶 意 代 码 的 应 用。i O S越狱风险指标则包括设备是否已越狱、未越狱设备能否越狱等。A P P风险包括强制要求收集个人信息、超范围收集个人信息、违反知情同意原则、无隐私政策、无账号注销功能或有账号注销功能,但设置不合理条件和障碍会导致注销困难等。A P P风险指标包括设备已安装的非苹果官方正版A P P数量、设备已安装的被工信部通报的存在侵害用户权益行为的A P P数量。这两类A P P的数量越多,i O S设备的风险越高。i O S系统漏洞是由操作系统本身存在的缺陷或错误导致的,其可以被攻击者利用,通过网络植入、木马等方式来控制或盗取设备中的重要资料和信息。i O S系统漏洞以通用漏洞披露(C o mm o nV u l n e r a b i l i t i e sa n dE x p o s u r e s,C V E)的形式公开。C V E是一个与信息安全有关的数据库,包含各种信息安全弱点及漏洞,并给予编号以便公众查询。i O S系统漏洞评估风险指标包括已公布的C V E数量及危险程度。C V E的数量越多,危险程度越高,i O S设备的风险越高。本方法对i O S设备的3个风险要素进行扫描分析,依据风险指标的得分,计算每个风险要素的脆弱性,在此基础上计算i O S设备的风险得分。为计算风险得分,本方法采用概率模型,引入了“风险概率”的概念,其定义为由于风险要素存在的某个漏洞或某种不安全因子,导致该设备的安全性受到威胁的概率。如果某i O S设备存在多个漏洞或不安全因子,则该设备的风险得分为攻击者能通过一个或多个漏洞,对设备的安全性造成破坏的概率7。相比加权求和的方式,本方法的好处在于避免了设备整体风险得分随A P P数量的增加而增加,能将风险值限制在一个固定的量化区间,从而为风险等级划分带来方便。相比“短板理论”采用的取各风险要素得分中的最大值作为设备的整体风险得分的计算方法,本方法的好处在于不仅考虑了设备中最高风险因子对整体风险得分的影响,同时兼顾了其他中、低风险因子的累积作用。本方法包括的步骤如图1所示。图1 风险评估步骤2.1 定义风险指标分值各风险指标的分值S的取值范围为01 0,风险指标的严重程度越高、危害越大,对应的分值越高。根据S的大小,本方法将风险指标的严重程度分为以下3个等级。(1)低危风险:0S3。(2)中危风险:3S6。(3)高危风险:7S1 0。2.2 扫描设备通过扫描设备,获取系统版本、设备型号、越狱状态和已安装A P P列表等信息,将其作为后续步骤的输入。2.3 计算风险概率本方法定义了一套转换方法,用于将风险指标分值S转换为前文定义的风险概率,其转换公式如式(1)所示:Pi=2Si-1 0(1)其中,Si为风险指标的分值,取值范围为01 0。由此,本方法将一个漏洞或不安全因子对设备安全性的影响,转换为一个01之间的概率值。风险概率与风险指标分值之间呈指数关系,风险指标分值高的漏洞对设备整体的安全性威胁远大于风险指标分值低的漏洞,突出了高危漏洞对设备的威胁程度。例如,一个分值为9的漏洞的风险概率值为29-1 0=0.5,而一个分值为8的漏洞的风险概率值为28-1 0=0.2 5,相差两倍。移动信息1 1 8 2 0 2 3年8期2.4 计算风险要素的脆弱性对于包含n个漏洞或不安全因子的风险要素的脆弱性C,其整体脆弱性为攻击者利用至少一个漏洞对风险要素造成破坏的概率8。依据概率模型可知,风险要素脆弱性C的计算公式如式(2)所示:C=1-ni=1(1-Pi)(2)其中,Pi为漏洞或不安全因子的风险概率,取值范围为01。2.5 计算设备的整体风险得分设备整体风险得分的定义为因设备中存在有脆弱性的风险要素,使得攻击者可以利用这些风险要素的脆弱性,对整个设备的安全性造成破坏的概率。对于包含m个风险要素的设备,设备整体风险得分的计算公式如式(3)所示:V=1-ni=1(1-Ci)(3)其中,Ci是风险要素i的脆弱性,取值范围为01。可根据设备整体风险得分的大小,将其划分为3个不同的等级。(1)低风险:0V12 5 6。(2)中风险:12 5 6V16 4。(3)高风险:16 4V1。2.6 风险控制的建议根据设备整体风险得分和风险等级,可以有针对性地给出风险控制建议。对于越狱风险,建议用户还原系统或运行反越狱工具,将系统恢复到正常状态。对于A P P风险,建议用户卸载或升级存在风险的A P P。对于i O S系统存在的漏洞风险,建议用户升级到风险最小的系统版本。3 系统设计3.1 系统总体框架系统由设备、客户端、服务端和存储部分构成,系统架构如图2所示。(1)设备。包括各类运行i O S系统的机器,如i P h o n e和i P a d,可以通过数据线连接到P C客户端。(2)客户端。负责获取i O S设备的越狱状态、已安装A P P列表、i O S系统版本、机型等信息;封装、加密信息后,将其发送到服务端;接收服务端计算结果,并呈现给用户。客户端并不执行风险分析,而是通过向服务器请求数据,然后以一定的格式显示结果。(3)服务端。由两个模块构成,即数据模块和业务模块。其中,数据模块负责对数据信息进行抓取、存储和访问。业务模块负责业务逻辑的实现,对客户端发来的信息进行处理、风险计算,并给出风险控制建议。客户端与服务器通过预定义的A P I进行通信。(4)存储。由数据库构成,负责存储服务端抓取到的数据。图2 系统架构3.2 系统功能模块系统功能模块包括客户端模块、数据模块和业务模块。3.2.1 客户端模块客户端模块由设备信息收集、应用管理、系统备份、固件升级、网络通信5个单元构成。其中,设备信息收集单元负责收集前文提到的各类信息。应用管理单元负责管理设备已安装A P P,如卸载A P P、升级A P P。系统备份单元负责在P C端备份i O S系统。固件升级单元负责下载、升级、激活高版本的i O S系统。网络通信单元则负责将设备信息提交到服务端、接收服务端,并返回数据。3.2.2 数据模块数据模块由风险信息抓取、数据处理两个功能单元构成。(1)风 险 信 息 抓 取 单 元。从G o o g l e抓 取C o m p l e t eJ a i l b r e a kC h a r t,包括越狱工具名称、越狱类型、支持的i O S版本、支持的机型等。从工信部官网抓取“关于侵害用户权益行为的A P P通报”数据,包括应用名称、应用开发者、应用来源、应用版本和所涉问题的描述。从C V ED e t a i l s网站抓取各i O S版本的C V E列表,包括C V EI D、C V E描述、漏洞类型、危险程度分值等。(2)数据处理单元。对抓取的信息进行数据清洗,处理数据残缺、数据错误、数据重复等问题,得到干净的数据,并将其存储到数据库。3.2.3 业务模块业务模块由设备信息处理、设备风险计算和风险控制移动信息2 0 2 3年8期1 1 9 建议3个功能单元构成。(1)设备信息处理。接收客户端发送的设备信息,包括机型、i O S版本、已安装的A P P列表(列表中每一项均包括A P P包名和版本号)、越狱状态等。(2)设备风险计算。根据采集的设备信息,结合数据库中存放的各类风险信息,利用前文介绍的方法进行设备风险计算。(3)风险控制建议。根据设备风险级别,给出详细的针对性建议。4 系统实现客户 端 基 于L i b i m o b i l e d e v i c e实 现。L i b i m o b i l e d e v i c e是一个开源包,可以让W i n d o w s,L i n u x,M a cO SX支持连接i P h o n e/i P a d等i O S设备,并与其通信。客户端将获取到的信息发送给服务端,并等待返回结果。目前,已实现M a cO SX版本客户端,开发环境为X c o d e,编程语言为O b j e c-t i v e-C。客户端A P I代码实现如下:c l a s sZ Y R i s k A n a l y z e r;p r o t o c o lZ Y R i s k A n a l y z e r D e l e g a t e r e q u i r e d/*风险评估回调d e l e g a t e*p a r a ms u g g e s t i o n s风险控制建议,e r r o r=n i l此字段才存在值*p a r a me r r o r错误信息*/-(v o i d)o n R i s k A n a l y z e r D i d C o m p l e t e:(Z Y R i s k A n a l y z e r*)a n a l y z e r s u g g e s t i o n s:(n u l l a b l eN S D i c t i o n a r y*)s u g g e s t i o n se r r o r:(n u l l a b l eN S E r r o r*)e r r o r;e n d i n t e r f a c eZ Y R i s k A n a l y z e rp r o p e r t y(n o n a t o m i c,w e a k)i d d e l e g a t e;/*通过设备信息进行风险评估的入口*p a r a md e v i c e I n f o设备信息*r e t u r nY E S本地参数校验通过,成功发起请求NO:参数校验不通过,未发起请求*/-(B OO L)a n a l y z e W i t h D e v i c e I n f o:(N S D i c t i o n a r y*)d e v i-c e I n f o;e n d服务端运行于L i n u x环境。其中,风险信息抓取单元基于S c r a p y,负责在网络中抓取漏洞信息,该单元会定期抓取信息,以保证信息的实时性。数据处理单元基于P a n d a s,负责对抓取到的信息进行数据清理,并将其存储到M o n-g o D B数据库。逻辑模块基于P y t h o n,负责接收客户端的请求数据,计算风险得分,给出风险控制建议。5 结语本文提出了一种面向个人信息保护的i O S设备风险评估方法,并采用多种技术开发了系统。与其他工作相比,本文对A P P风险、i O S越狱风险、i O S系统漏洞风险进行了综合考量,拓宽了风险识别的维度。实验证明,该系统不仅能发现i O S设备中存在恶意行为的A P P,还能发现潜在的i O S越狱风险和i O S系统漏洞,因此可以更加全面地保障用户的个人信息。后续工作计划包括两方面,其一是完成W i n d o w s和L i n u x客户端的开发,以服务更多用户。其二是增加对恶意S D K的识别,进一步提升本方法能识别的风险范围。参考文献1谢仪伦.i O S平台恶意软件检测与分析D.北京:北京邮电大学,2 0 1 8.2王玉良,陈晓东,吴吞.基于i O S系统的恶意行为检测研究J.电信科学,2 0 1 7,3 3(2):4 8-5 4.3A R P I TAJB,CHE T NA G,S AN G E E TA ML.i A B C:T o-w a r d sah y b r i df r a m e w o r kf o ra n a l y z i n ga n dc l a s s i f y i n gb e-h a v i o u ro f i O Sa p p l i c a t i o n su s i n gs t a t i c a n dd y n a m i c a n a l y s i sJ.J o u r n a lo fI n f o r m a t i o nS e c u r i t ya n dA p p l i c a t i o n s,2 0 1 8(4 1):1 4 4-1 5 8.4CHE NL,S H ICC,MAYY,e t a l.R e s e a r c ho n i O SA p p l i c a-t i o no f I n t e r n a lP r i v a c yL e a k a g eD e t e c t i o nT e c h n o l o g yCI E E E.C h a n g s h a,2 0 1 8:1 7 2-1 7 7.5ANA S T A S I AS,E V I T AB,A TH I NA M.P r i v a c yL e a kC l a s-s i f i c a t i o no nM o b i l eD e v i c e sCI E E E.K a l a m a t a,2 0 1 8:1-5.6Z HOU G M,D UAN M,X IQ,e ta l.C h a n D e t:D e t e c t i o nM o d e l f o rP o t e n t i a lC h a n n e lo f i O SA p p l i c a t i o n sJ.J o u r n a lo fP h y s i c s:C o n f e r e n c eS e r i e s,2 0 1 9,1 1 8 7:4 2-4 5.7 陈 光 宣,吴 家 健,操 丹 妮,等.一 种 基 于C h e c k m 8漏 洞 的i P h o n e取证方法研究J.信息网络安全,2 0 2 1,2 1(1 2):4 4-5 0.8AN TON I O R,F R AN C I S C O O,R AM I R O C.A m e t h o df o rt h e e v a l u a t i o no f r i s k i n I Tp r o j e c t sJ.E x p e r tS y s t e m sW i t hA p p l i c a t i o n s,2 0 1 6(4 5):2 7 3-2 8 5.移动信息