面向Android应用程序的代码保护方法研究

近年来,Android操作系统快速发展,逐渐成为移动设备最常用的操作系统之一.与此同时,Android系统的安全问题也日益明显.由于Android系统自身的安全体系不够健全以及Android应用代码保护方法缺失,大量Android应用面临逆向工程、盗版、恶意代码植入等威胁.文章针对Android应用所面临的这些安全问题进行分析,并指出问题存在的原因.在此基础上,设计了一个完整的Android应用程序代码保护方法,该方法由PC端处理模块、Android端处理模块以及Android代码开发规范构成.为使该方法更具可操作性,文章还给出了一些关键技术的实现,包括基于AES算法的加密保护、伪加密、加壳、代码混淆以及特殊编码规则等.文章提出的面向Android应用程序的代码保护方法借鉴了传统的保护方法,结合Android系统的自身特性,采用文件加密、代码混淆、反动态调试、完整性校验以及加壳等技术,从对抗静态攻击和对抗动态调试两个方面提高了应用抗攻击的能力.因此,该方法不仅具有一定的理论意义,还具有一定的实际应用价值.     

Android安全性分析

从Android系统的系统框架入手,全面深入地分析了Android系统的安全机制与组成部分,进而得出Android面临的安全隐患与攻击行为。为增强Android的安全性,针对应用程序级攻击与内核级攻击行为．研究了XManDroid框架与基于logcat模式的内核行为分析框架,检测并阻止针对Android的恶意攻击行为,有效地保护了Android系统的安全。     

立体安全防御系统TDSD-Droid的实现

随着智能终端的日益普及,便捷易用的Android操作系统得到了广泛的使用。标准的Android安全架构ASF缺乏强有力的保护机制,而现有和正在研究的标准的Android安全加固技术都有一定片面性。TDSD-Droid通过吸收SELinux及其它Android安全加固技术优点,引入了基于内核的MAC机制;创新性地运用Flask访问架构实现了新的MMAC机制;创新性地实现了柔性安全策略FSP适配机制;创新性地实现了安全策略学习机制;同时基于TF智能卡实现了TDSD-Droid的完整性验证功能。TDSD-Droid为Android终端实现了一个上下一致、前后呼应的立体安全防御系统。     

SCBox——保护Android应用网络通信的安全工具

Android应用程序的社交、支付等功能给人们的生活带来了很大的便利,但是WIFI热点攻击、应用程序加密协议误用等问题的不断出现导致Android应用的网络通信非常容易遭受中间人攻击。针对这种威胁,实现了一个高效的、可配置安全优化策略的、保护Android应用网络通信的安全工具SCBox(Secure Communication Box)。SCBox是运行在Android系统上的一个应用程序,它基于应用程序插件化,可以让第三方应用导入其中并正常运行在一个安全沙箱中。通过代理第三方应用程序的网络通信,SCBox与中继服务器建立安全连接,然后数据经过中继服务器的转发安全到达应用服务器,实现加密的安全通信。相比较于保护Android应用网络通信的其他方案,SCBox不用修改操作系统和第三方应用程序代码,解决了这种修改源代码方案面临的部署困难的问题。而且,SCBox还可以配置安全优化策略,在静态导入阶段选择是否保护此应用程序、与哪个中继服务器建立安全连接,在动态运行阶段根据应用程序的上下文选择是否授予相应权限,限制了应用程序中第三方库的恶意上传隐私数据行为。实验证明,SCBox可以有效抵御WIFI热点攻击和加密协议误用等问题造成的中间人攻击,而且不会带来太大的性能消耗。     

一种Android应用加固方案

Android应用安全问题日益突出,大量Android应用遭受逆向、非法复制及恶意代码注入等攻击。对Android应用安全机制进行研究,在分析静态逆向和动态逆向攻击原理的基础上,提出一种移动应用加固保护方案。方案综合运用加壳、反调试、签名校验及反编译等应用加固技术,对目标应用进行加固;经测试,该加固方案能够很好地对抗常见的静态分析和动态分析等逆向攻击。     

Android安全加固技术

为了保护Android智能手机安全,在深入分析Android系统安全机制的基础上,提出了一个基于强制访问控制的安全加固技术.该技术首先通过修改Android内核,添加一个平台无关的强制访问框架,其次为进程、文件等系统对象添加安全属性,最后通过制定一套细粒度的强制访问规则,对应用程序实施强制访问控制.通过在模拟环境中的测...     

Android系统信息泄露检测研究综述

随着智能手机的广泛应用,Android系统的得到了大规模的普及,随之而来的就是Android系统信息泄露的问题。本文从检测泄露的机制出发,从静态检测,动态检测以及Android本身的安全保护机制出发,详细介绍了实现方式,最后对未来的Android系统检测做出了展望。     

Android手机的轻量级访问控制*

Android手机与计算机建立连接之后,计算机能以root身份登录Android手机,会给手机的应用程序和用户数据造成安全隐患。以Android手机为平台,提出了一种适用于Android手机的访问控制方法,该方法在Android手机的内核中增加访问控制模块,并根据手机用户定制的访问控制策略来控制计算机对Android手机的文件访问。仿真实验表明,该方法以较小的性能代价实现了Android手机的文件访问控制,能有效地保护手机用户的应用程序和数据安全。     

基于Android的隐私数据安全保护系统

随着移动互联网的快速发展,移动支付、移动办公融入人们生活,商业机密、个人隐私等敏感信息保护变得至关重要。然而主流的移动平台Android系统却频频发生各种信息泄露、恶意篡改、系统破坏等恶意行为。为了弥补Android系统在隐私数据保护上存在的不足,文章设计了一种基于Android安全策略的手机隐私数据安全保护方案,并实现了本地隐私数据及远程隐私数据的保护机制。该系统可以有效保护用户的隐私数据安全,给用户提供了一个安全的手机环境。     

基于Android系统的隐私保护技术综述

智能手机用户的隐私泄露问题日趋严重.为此研究了Android的系统框架及安全机制,包括沙盒、应用签名、权限机制.着重研究了Android系统中间件层的安全增强方法,列举了系统易受攻击的种类,总结了现有的隐私保护技术,包括应用程序安装时权限机制的扩展,运行时的动态权限监测以及隐私数据的保护.     

SplitPass: A Mutually Distrusting Two-Party Password Manager

Using a password manager is known to be more convenient and secure than not using one, on the assumption that the password manager itself is safe. However recent studies show that most popular password managers have security vulnerabilities that may be fooled to leak passwords without users’ awareness. In this paper, we propose a new password manager, SplitPass, which vertically separates both the storage and access of passwords into two mutually distrusting parties. During login, all the parties will collaborate to send their password shares to the web server, but none of these parties will ever have the complete password, which significantly raises the bar of a successful attack to compromise all of the parties. To retain transparency to existing applications and web servers, SplitPass seamlessly splits the secure sockets layer (SSL) and transport layer security (TCP) sessions to process on all parties, and makes the joining of two password shares transparent to the web servers. We have implemented SplitPass using an Android phone and a cloud assistant and evaluated it using 100 apps from top free apps in the Android official market. The evaluation shows that SplitPass securely protects users’ passwords, while incurring little performance overhead and power consumption.     

一种多笔画图形加数字的图形密码方案

安卓解锁模式(简称AUP)是目前在手机、pad等手持设备上应用最广泛的图形密码解锁方案。但是,在实际中能够使用到的密码只是图形密码空间中的一小部分,并且由于用户的使用习惯使得密码的分布不均匀,导致AUP的实际安全性远低于其理论上的安全性,更容易被攻击者破解。提出一种多笔画图形加数字的图形密码方案MSDGP,系统会根据用户的选择推荐相应难度级别的密码。该方案类似于AUP,根据数字及其位置的不同,很大程度上增加了图形密码空间,图形密码由系统推荐生成,避免了因用户的使用习惯而造成的分布不均问题,从而有效防止了暴力破解和字典攻击,因而具有更高的安全性。     

基于Toast重复绘制机制的口令攻击技术

移动终端在飞速发展的同时也带来了安全问题,其中,口令是用户信息的第一道安全防线,因此针对用户口令的窃取攻击是主要的安全威胁之一.利用Android系统中Toast机制设计的缺陷,实现了一种基于Toast重复绘制机制的新型口令攻击.通过分析Android Toast机制的实现原理和功能特点,发现恶意应用可利用Java反射技术定制可获取用户点击事件的Toast钓鱼键盘.虽然Toast会自动定时消亡,但是由于Toast淡入淡出动画效果的设计缺陷,恶意应用可优化Toast绘制策略,通过重复绘制Toast钓鱼键盘使其长时间驻留并覆盖于系统键盘之上,从而实现对用户屏幕输入的隐蔽劫持.最后,攻击者可以通过分析用户点击在Toast钓鱼键盘上的坐标信息,结合实际键盘布局推测出用户输入的口令.在移动终端上实现该攻击并进行了用户实验,验证了该攻击的有效性、准确性和隐蔽性,结果表明:当口令长度为8时,攻击成功率为89%.发现的口令漏洞已在Android最新版本中得到修复.     

基于互不信任企业联盟的统一身份认证模型

现有的统一身份认证模型采用单个密码对用户身份进行验证,这种方式无法对企业的商业秘密进行有效地保护,并且认证效率低,因而不被大多数企业所接受.为了解决这个问题,在对现有模型存在的问题进行分析的基础上提出一种新的认证模型.该模型把用户的信息分成两部分--共享信息和私有信息,并采用一对密码--本地密码和共享密码分别对这两部分信息进行保护.用户可以利用共享密码在不同网站中漫游,实现统一身份认证;而网站通过本地密码来保护属于商业秘密的那部分信息.该模型能够保护商业秘密,又能够在一定程度上提高认证效率.     

具有远程开启功能的指纹应用系统设计

设计了一个能用于门锁和保险箱的指纹识别与控制系统。系统以MSP430F149为主控芯片,FSC7002为指纹处理芯片,兼具密码和指纹两种开启方式。还设计了一个可选的远程开启和报警模块。模块采用MG323作为通信芯片,通过GSM网络实现了远程信息的传输。开发了基于Android系统的远程开启软件,软件采用DES对传输信息进行加密,提高了信息传输的安全性。     

Schnorr 协议的一次一密双重身份认证研究

针对当前B/S 模式下公共网络中进行身份认证的安全问题,设计了使用静态口令和动态口令结合进行一次一密身份认证的方案,它将认证服务器与应用程序服务器分离,使静态口令认证在安全通道内进行,有效保障口令的安全。动态口令认证采用著名的Schnorr 身份认证协议,其私钥采用复杂的混沌序列生成以确保密钥敏感安全性,结合Java Applet 技术对公共网络上传输的信息采用对称DES 算法加密,提升了整个系统的可靠性。研究方案最后通过实例验证了系统的可行性和安全保障性。     

基于物联网的水资源环境监测技术研究

水资源环境监测系统采用物联网体系结构,结合传感器技术、Zig Bee技术、Android技术实现水资源环境的实时监测.本文首先分析了传感器原理,并采用Delaunay三角剖分算法优化传感网络,删除冗余节点,实现能耗平衡;其次重点阐述无线传感网络数据管理及其在物理和数据上的安全隐患,采用在物理上进行身份验证,信息数据上进行动态口令加密的算法;探讨了ZigBee工作原理以及与其他网络传输方式的不同点;最后讲述客户终端访问监测系统并查询水质监测结果的方法.     

Android手机安全登录系统

针对Android手机应用软件登录中存在的设计缺陷和漏洞,梳理并分析了目前手机登录系统技术和不足之处,采用多因子（账号、密码、验证码、登录位置、登录次数、人脸数据）方案,构建手机安全登录系统. 该登录系统由登录、注册、日志审计、微信提醒、找回密码等功能构成. 详细介绍了设计思想、技术路线、安全验证逻辑和日志审计功能,实现了用户身份识别和登录行为审计,为用户提供了一个安全性高、易用性强、成本低的解决方案.     

网络环境下一次性口令身份认证的研究与实现

1 引言在开放式的网络环境中,身份认证往往是许多应用系统安全保护的第一道防线,也是保证应用系统安全的关键。进行身份认证的方式很多,通常分为三类:(1)只有该主体知道的秘密,如口令、密钥;(2)主体拥有的物品,如智能卡和令牌卡;(3)只有该主体具有的独一无二的特征或能力,如指纹、声音等。更强大的认证可以是几种方法的组合。     

Vulnerability Analysis of the Grid Data Security Authentication System

ABSTRACT

A password-based authentication is still the most prevalent authentication method because of its convenience and easy implementations. Since a password is transmitted via network, it has an inherent vulnerability of password exposure to an attacker. A one-time password system reduces the risk of a security breach even when a password is exposed to an attacker, because the password is only meaningful at a given time. A grid data security system uses a technology, GridOne?, which allows the use of a one-time password without requiring preinstalled hardware or software infrastructures, and it provides strong security over conventional password-based authentication systems. We analyzed the weakness of the grid data security authentication system and provide a suggestion to compensate for its vulnerability.