第２９卷第１０期 ２０１２年１０月 计算机应用与软件 Ｃｏｍｐｕｔｅｒ Ａｐｐｌｉｃａｔｉｏｎｓ ａｎｄ Ｓｏｆｔｗａｒｅ Ｖｏｌ＿２９ Ｎｏ．１０ Ｏｃｔ．２０１２ Ａｎｄｒｏｉｄ安全研究综述 蒋绍林 王金双 张 涛 陈 融 （理工大学指挥自动化学院江苏南京２１０００７） 摘要 ｒ１ Ａｎｄｒｏｉｄ的流行使其已成为众多恶意软件的攻击目标，针对Ａｎｄｒｏｉｄ的木马、Ｒｏｏｔｋｉｔ和应用层提升攻击等安全威胁 ｒ ］ 不断出现 －４］。同时，Ａｎｄｒｏｉｄ源代码开放的特性也吸引了研究人员的广泛关注，提出和实现了很多Ａｎｄｒｏｉｄ安全增强工作 。介绍 Ａｎｄｒｏｉｄ本身的安全机制及安全缺陷，按照硬件层、虚拟机监视器层、Ｌｉｎｕｘ内核层、Ａｎｄｒｏｉｄ应用框架层的层次化分类方式对已有Ａｎ— ｄｒｏｉｄ增强工作的原理进行描述和分析，并指出了将来可能的研究方向。 关键词 中图分类号Ａｎｄｒｏｉｄ手机安全 ＴＰ３０９．１ 文献标识码Ａ ＤＯＩ：１０．３９６９／ｊ．ｉｓｓｎ．１０００—３８６ｘ．２０１２．１０．０５４ Ａ ＳＵＭＭＡＲＹ ｏＮ ＡＮＤＲｏＩＤ ＳＥＣＵＲＩＴＹ Ｊｉａｎｇ Ｓｈａｏｌｉｎ Ｗａｎｇ Ｊｉｎｓｈｕａｎｇ Ｚｈａｎｇ Ｔａｏ Ｃｈｅｎ Ｒｏｎｇ （Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｃｏｍｍａｎｄ Ａｕｔｏｍａｔｉｏｎ， Ａｂｓｔｒａｃｔ Ｕｎｗｅｍｉ￣ｏｆ Ｓｃｉｅｎｃｅ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ，Ｎａ ｎｇ ２１０００７，Ｊｉａｎｇｓｕ，Ｃｈｉｎａ） Ｔｈｅ ｐｏｐｕｌａｔｉｏｎ ｏｆ Ａｎｄｒｏｉｄ ｈａｓ ｍａｄｅ ｉｌ ｂｅｉｎｇ ｔｈｅ ｔａｒｇｅｔ ｏｆ ｍａｎｙ ｍａｌｗａｒｅｓ．Ｔｈｅ ｓｅｃｕｒｉｔｙ ｔｈｒｅａｔｓ ａｉｍｉｎｇ ａｔ Ａｎｄｒｏｉｄ，ｓｕｃｈ ａｓ Ｔｒｏ— ｊａｎｓ，Ｒｏｏｔｋｉｔ，ａｎｄ ｔｈｅ ｐｒｉｖｉｌｅｇｅ—ｅｓｃａｌａｔｉｏｎ ａｔｔａｃｋｓ，ａｒｅ ｃｏｎｔｉｎｕｏｕｓｌｙ ｅｍｅｒｇｉｎｇ：Ａｔ ｔｈｅ ｓａｍｅ ｔｉｍｅ，ｔｈｅ ｏｐｅｎ ｓｏｕｒｃｅ ｆｅａｔｕｒｅ ｏｆ Ａｎｄｒｏｉｄ ｈａｓ ａｌｓｏ ａｔｔｒａｃｔｅｄ ａ ｌｏｔ ｏｆ ｓｅｃｕｒｉｔｙ ｒｅｓｅａｒｃｈｅｒｓ，ａｎｄ ｔｈｅｙ ｈａｖｅ ｐｒｏｐｏｓｅｄ ａｎｄ ｒｅａｌｉｓｅｄ ａ ｌｏｔ ｏｆ ｗｏｒｋ ｏｎ ｓｅｃｕｒｉｔｙ ｅｎｈａｎｃｅｍｅｎｔ ｆｏｒ ｉｔ．Ｉｎ ｔｈｉｓ ｐａｐｅｒ ｗｅ ｆｉｒｓｔ ｉｎｔｒｏｄｕｃｅ ｔｈｅ ｓｅｃｕｒｉｔｙ ｍｅｃｈａｎｉｓｍｓ ｏｆ Ａｎｄｒｏｉｄ ｉｔｓ ｏｗｎ ａｎｄ ｔｈｅ ｓｅｃｕｒｉｔｙ ｆｌａｗｓ．Ａｎｄ ｔｈｅｎ ｗｅ ｄｅｐｉｃｔ ａｎｄ ａｎａｌｙｓｅ ｔｈｅ ｐｒｉｎｃｉｐｌｅｓ ｏｆ ｅｘｉｓｔｉｎｇ Ａｎ— ｄｒｏｉｄ ｅｎｈａｎｃｅｍｅｎｔ ｗｏｒｋｓ ｉｎ ａｃｃｏｒｄａｎｃｅ ｗｉｔｈ ｔｈｅ ｈｉｅｒａｒｃｈｉｃａｌ ｃｌａｓｓｉｆｉｃａｔｉｏｎ ｗａｙｓ ｆｒｏｍ ｈａｒｄｗａｒｅ ｌａｙｅｒ，ｍｏｎｉｔｏｒ ｌａｙｅｒ ｏｆ ｖｉｒｔｕａｌ ｍａｃｈｉｎｅ，Ｌｉｎｕｘ ｋｅｒｎｅｌ ａｎｄ ａｐｐｌｉｃａｔｉｏｎｓ ｆｒａｍｅｗｏｒｋ ｌａｙｅｒ ｏｆ Ａｎｄｒｏｉｄ．Ａｔ ｌａｓｔ ｗｅ ｇｉｖｅ ｓｏｍｅ ｐｒｏｐｏｓａｌｓ ｏｎ ｆｕｔｕｒｅ ｒｅｓｅａｒｃｈ ｆｏｃｕｓ ａｎｄ ｄｉｒｅｃｔｉｏｎ． Ｋｅｙｗｏｒｄｓ Ａｎｄｒｏｉｄ Ｍｏｂｉｌｅ ｐｈｏｎｅ ｓｅｃｕｒｉｔｙ 鉴于Ａｎｄｒｏｉｄ巨大的发展潜力，为提高其可用性，自发布以 ０ 引 言 ２００７年１１月５日Ｇｏｏｇｌｅ公司正式发布基于Ｌｉｎｕｘ内核的 开源手机操作系统Ａｎｄｒｏｉｄ。自发布以来，该系统以其开放、自 来，学术界就对它的安全机制进行了诸多研究，核心是围绕如何 完善系统访问控制机制、防止私密数据泄露的问题展开，并已取 得许多有效的研究成果。本文首先介绍了Ａｎｄｒｏｉｄ原生的安全 机制及其安全缺陷，然后按照硬件层、虚拟机监视器层、Ｌｉｎｕｘ内 核层、应用框架层的层次化分类方式对已有的研究工作进行总 结，最后根据现有工作存在的不足提出了几点未来的研究方向。 由的特性赢得了各大厂商、开发人员、以及用户的青睐。经过四 年的发展，Ａｎｄｒｏｉｄ已经从最初的智能手机领域进入教育、医疗、 军事、汽车、家居等重要行业，并在２０１１年第一季度首次突破塞 班成为全球市场占有份额最高的智能手机平台。。Ｊ。 正是由于Ａｎｄｒｏｉｄ在日常生活中扮演着越来越重要的角 １ Ａｎｄｒｏｉｄ组件模型及安全机制 １．１组件模型 Ａｎｄｒｏｉｄ是一个移动设备软件栈，其系统架构包含多个层 次，主要有应用层、应用框架层、Ａｎｄｒｏｉｄ运行时和系统库以及 Ｌｉｎｕｘ内核 。Ａｎｄｒｏｉｄ中的应用都是用Ｊａｖａ语言编写，然后生 成Ｄａｌｖｉｋ虚拟机可执行的ａｐｋ文件。 通常情况下，Ａｎｄｒｏｉｄ应用由一个或多个不同的组件构成， 这些组件主要包括四种类型：Ａｃｔｉｖｉｔｙ、Ｓｅｒｖｉｃｅ、Ｂｒｏａｄｃａｓｔ Ｒｅｅｅｉｖ一 收稿日期：２０１２—０８—０７。２０１２中国计算机大会论文。理工大学预 色，导致其逐渐成为大量恶意攻击者的首选目标之一。网秦 《２０ｌ１年中国地区手机安全报告》 ７ Ｊ显示，自２０１１年１０月 以来，Ａｎｄｒｏｉｄ平台的恶意软件单月查杀次数已超过塞班，并以 １８８０％的涨幅快速增长，使其成为安全威胁最严重的智能手机 平台。这主要是因为平台的开放性导致恶意应用的开发成本和 难易度大大降低，任何对Ａｎｄｒｏｉｄ开发感兴趣的人员都可通过 简单的注册而成为Ａｎｄｒｏｉｄ Ｍａｒｋｅｔ的一员，并自由的发布自己 的应用。同时，虽然Ａｎｄｒｏｉｄ本身已提供应用沙盒、权限、应用 签名等安全机制，但是这种以开发者为中心、依托用户完成的粗 粒度授权机制存在诸多问题和漏洞，导致平台安全性大大降低， 特别是容易造成应用层权限提升攻击 。 先研究基金项目（ＫＹＺＹＺＬＸＹ１２０８）。蒋绍林，硕士生，主研领域：嵌入式 系统应用技术和信息安全。王金双，讲师。张涛，教授。陈融，讲师。 第１０期 蒋绍林等：Ａｎｄｒｏｉｄ安全研究综述 ２０７ Ｋｌｅｉｄｅｒｍａｃｈｅｒｌ１２］就提出利用ＡＲＭＴｒｕｓｔＺｏｎｅ？来提升Ａｎｄｒｏｉｄ设 备的安全。ＴｒｕｓｔＺｏｎｅ允许基于硬件形式的系统虚拟化，它提供 普通和可信／安全两个区域，用户经常使用的多媒体操作系统运 行在普通区中，安全关键软件运行在安全区中。．安全区管理软 件可以访问普通区的内存，反之则不可能。与Ｉｎｔｅｌ ＶＴ等其它 硬件虚拟化技术不同的是，普通区的客户操作系统与没有 ＴｒｕｓｔＺｏｎｅ时相比并不产生额外的执行负载。ＴｒｕｓｔＺｏｎｅ技术已 访问控制很好的例子。ＴＯＭＯＹＯ Ｌｉｎｕｘ包括一个Ｌｉｎｕｘ内核补 丁（ｃｃｓｐａｔｃｈ）和一组访问控制策略管理工具（ｃｃｓｔｏｏｌｓ）。Ａｎｄｒｏｉｄ 基于Ｌｉｎｕｘ的ＤＡＣ机制来实现不同应用之间的数据隔离。ＴＯ． ＭＯＹＯ基于Ａｎｄｒｏｉｄ应用程序ＵＩＤ和数据文件／目录的ＵＩＤ来 进一步确保应用程序的数据文件不被其它应用访问。 （３）其他 在Ａｎｄｒｏｉｄ平台与ＰＣ进行数据同步、程序员进行应用开发 经基本成熟，大量的移动终端使用的ＡＲＭ平台都支持该技术， 可以在移动终端平台借助于该技术，实现安全支付、安全输入和 安全显示。近来ＡＲＭ宣布为Ｃｏｒｔｅｘ—Ａ１５提供虚拟化支持 ， 时，常会涉及ＡＤＢ（Ａｎｄｒｏｉｄ Ｄｅｂｕｇ Ｂｒｉｄｇｅ），这是一个数据同步 与程序调试工具，ＰＣ通过ＡＤＢ登陆Ａｎｄｒｏｉｄ手机，且可轻易获 取ｒｏｏｔ权限。ＡＤＢ一旦从计算机以ｒｏｏｔ身份登录Ａｎｄｒｏｉｄ手 它能够与ＡＲＭ的ＴｒｕｓｔＺｏｎｅ安全系统整合在一起。 机，会给手机的应用程序和用户数据造成安全隐患。刘昌平等 ２．２虚拟机层安全增强 就针对此类问题在Ａｎｄｒｏｉｄ手机的内核中增加访问控制模 硬件层安全增强需要对现有硬件进行更改，所以改进成本 块，并根据手机用户定制的访问控制策略来控制计算机通过 高、难度大、周期长。因此，研究人员提出了基于虚拟化技术的 ＡＤＢ ｄａｅｍｏｎ对文件及文件系统的访问。 安全增强方案。通过虚拟化技术，实现公私分离与平台整合，并 ２．４中间软件层的安全增强 且由于虚拟机监视器具有比操作系统更高的权限，所以可以利 Ａｎｄｒｏｉｄ应用框架层的活动管理器负责管理应用程序的生 用它完成平台行为的监测和管控，从而提高整个系统的安全性。 命周期，它所包含的引用监视器负责验证组件间通信的调用者 目前在移动终端领域的虚拟化产品主要有ｖｍｗａｒｅ、Ｌ４Ａｎｄｒｏｉｄ、 是否具备被调用者所要求的权限。软件包安装程序负责安装程 ＯＫＬ４、Ｘｅｎ等。其中，ＩＡＡｎｄｒｏｉｄＩ１４］是一个基于ＩＡＬｉｎｕｘ的开源 序，而包管理器则负责维护系统中所有应用程序的信息。Ａｎ— 项目，支持在虚拟机上同时运行多个Ａｎｄｒｏｉｄ实例。文献［１４］ ｄｒｏｉｄ框架层的安全增强主要是对包管理器以及引用监视器等 就提出了虚拟ＳＩＭ卡用于近距离通信（Ｎｅａｒ Ｆｉｅｌｄ Ｃｏｍｍｕｎｉｃａ— 的改进。根据授权时间和权限检查基点可将应用框架层的安全 ｔｉｏｎ，ＮＦＣ）、统一的公、私两用手机、移动Ｒｏｏｔｋｉｔ检测和硬件抽 增强又分为安装时权限机制扩展和运行时动态权限检测，以及 象层等应用。 隐私数据保护和完整性度量几个方面。 ２．３操作系统内核层 （１）安装时权限授权机制扩展 Ａｎｄｒｏｉｄ本身是一个基于Ｌｉｎｕｘ内核的移动终端软件栈，所 安装时权限授权机制扩展主要是针对２．３节中提到的授权 以Ｌｉｎｕｘ内核已有的安全增强方案同样适用于Ａｎｄｒｏｉｄ的底层 缺陷，对包管理器进行改进，使得用户可以在只授予应用部分权 操作系统内核。Ｌｉｎｕｘ内核安全增强工作普遍基于Ｌｉｎｕｘ安全 限情况下正常使用应用的部分功能，或者可以根据用户的时间、 模块ＬＳＭ（Ｌｉｎｕｘ Ｓｅｃｕｒｉｔｙ Ｍｏｄｕｌｅ）实现。ＬＳＭ在内核关键路径 地点、消费状况、短信发送情况等动态的授予和回收应用权限， 上插入了很多钩子（如文件类、进程间通信类和ｓｏｃｋｅｔ类操作） 从而增强用户对应用权限的可控性，进一步提高系统的安全性 作为策略实施点。各种安全模块可以通过内核提供的接口挂接 和可信性。这方面已有的工作主要包括Ｋｉｒｉｎ ｊ、Ｓａｉｎｔ＿ 】、Ａ— 感兴趣的钩子。按照实现原理主要分为：基于标签的安全增强 ＰＥＸ 等。 工作，如ＳＥＬｉｎｕｘ等；基于路径名的安全增强工作，如ＡｐｐＡｒｍｏｒ Ｋｉｒｉｎ主要是基于一组策略不变式来决定是否授予请求的 和ＴＯＭＯＹＯ Ｌｉｎｕｘ等。 权限，通过分析Ａｎｄｒｏｉｄ应用程序的Ｍａｎｉｆｅｓｔ文件来保证授予的 （１）ＳＥｌｉｎｕｘ 权限符合系统策略。可用于检测要求危险权限组合的程序，例 ＳＥＬｉｎｕｘ起源于ＮＳＡ的Ｆｌａｓｋ研究项目，支持ＴＥ、ＲＢＡＣ和 如要求电话状态、录音和互联网连接的权限组合被认为是危险 ＭＬＳ等安全模型。基于用户态装入的策略来进行授权决策。将 的。Ｓａｉｎｔ则可以控制应用程序安装时的权限分配，它允许声明 ＳＥＬｉｎｕｘ应用于嵌入式环境的主要难点在于： 权限Ｐ的应用根据应用签名、配置、以及运行上下文等条件，依 ・策略配置困难，ＳＥＬｉｎｕｘ的参考策略中包含５０多类客 据开发者自定义的安全策略，对本应用的对外接口实施保护，从 体，每种对应于２０多个权限。 而防止混淆代理人攻击。ＡＰＥＸ通过对包管理器进行修改，使 ・文件系统缺乏对扩展属性的支持：ＳＥＬｉｎｕｘ利用文件系 得用户可以根据特定的时间、地点、平台使用状况授予／撤销应 统的扩展属性ＥＡ（Ｅｘｔｅｎｄｅｄ Ａｔｔｉｒｂｕｔｅ）来持久化存储文件的安全 用申请的权限。 上下文，但嵌入式文件系统普遍缺少对扩展属性的支持。 （２）运行时动态权限检测 Ａｎｄｒｏｉｄ默认情况下并未启用ＳＥＬｉｎｕｘ安全机制，Ｓｈａｂｔａｉ｜】 Ａｎｄｒｏｉｄ应用程序使用组件间通信（ＩＣＣ）机制来检索资源 通过以下工作实现了基于ＳＥＬｉｎｕｘ的Ａｎｄｒｏｉｄ保护： 和数据，与ＩＣＣ相关的信息使用Ｉｎｔｅｎｔ来封装，它被传递给Ｃｏｎ． ・重新配置Ｌｉｎｕｘ内核编译选项来支持ＳＥＬｉｎｕｘ。 ｔｅｘｔ．ｓｔａｒｔＡｃｔｉｖｉｔｙ（）、Ｃｏｎｔｅｘｔ．ｓｔａｒｔＳｅｒｖｉｃｅ（）等方法。这些方法是 ・交叉编译ｌｏａｄｐｏｌｉｃｙ、ｃｈｃｏｎ以及ｃｏｎｔｅｘｔ工具，分别用于 由Ａｐｐｌｉｃａｔｉｏｎｃ０ｎｔｅｘｔ类实现的，它将控制信息又传递给Ａｃｔｉｖｉｔｙ— 装入策略到内核、改变文件安全标签、以及为ｉｎｉｔ启动的守护进 ＭａｎａｇｅｒＳｅｒｖｉｃｅ类，在这里确定需要处理Ｉｎｔｅｎｔ的组件。然后， 程设置标签。通过对Ａｎｄｒｏｉｄ ｉｎｉｔ程序以及初始化配置文件 ＵＩＤ和访问组件所要求的权限被作为调用ｃｈｅｃｋｃ０ｍｐｏｎｅｎｔＰｅｒ＿ ｉｎｉｔ．ｒｅ修改，完成策略的引导时装入和ｉｎｉｔ进程标签。 ｍｉｓｓｉｏｎ（）的参数，这样就实现了基于权限的强制访问控制机 ・使用上下文指针的方式显式标记进程。 制。然而，Ａｎｄｒｏｉｄ权限机制具有易受权限提升攻击的缺陷，并 （２）ＴＯＭＯＹＯ Ｌｉｎｕｘ ． 且对于上下文是不敏感的。在防止权限提升攻击方面，目前已 ＴｒｕｓｔＤｒｏｉｄ 是利用ＴＯＭＯＹＯ Ｌｉｎｕｘ来进行内核级的强制 有工作主要是ＸＭａｎＤｒｏｉｄ 、ＩＰＣ Ｉｎｓｐｅｃｔｉｏｎ 和Ｑｕｉｒｅ㈨；在感 ２０８ 知上下文方面则主要有ＣＲＥＰＥ 、ＣｏｎＵＣＯＮ＿ ２ 等。 计算机应用与软件 ２０１２血 的类加载器ＰａｔｈＣ｜ａｓｓＬｏａｄｅｒ来实现的。由于现在手机上还没有 任何ＴＰＭ或ＭＴＭ实现，因此Ｎａｕｍａｎ实现了一个最小的ＴＰＭ 仿真器。 ＸＭａｎＤｒｏｉｄ是一个基于系统策略检测和阻止应用程序运行 时提升攻击的安全框架，可以有效检测通过Ａｎｄｒｏｉｄ系统 服务或内容提供者建立的（隐蔽）信道。ＸＭａｎＤｒｏｉｄ使用图来表 示系统，图的节点表示应用程序，无向边表示被授权的组件间通 ２．５应用程序静态分析 硬件层、虚拟机层、操作系统内核层、应用框架层作的安全 改进都是基于移动终端的。实际上，还有相当一部分Ａｎｄｒｏｉｄ 安全研究工作是基于电子市场，对应用程序作静态分析，检测应 信。策略检查算法判定新的组件间通信的边是否能够完成系统 视图中的路径，路径就对应于策略规则。如果满足则拒绝建立 组件间的通信链接，从而达到防止权限提升攻击的目的。ＩＰＣ Ｉｎｓｐｅｃｔｉｏｎ则将被调用者的有效权限减少为调用者与被调用者 权限的交集。触发权限缩减的事件包括：启动服务，绑定服务， 用是否存在危险权限组合、是否违背最小原则、是否存在诸 如缓冲区溢出这样的漏洞。例如，Ｅｎｃｋ设计并实现了Ｄａｌｖｉｋ反 编译工具ｄｅｄ ，使用Ｆｏｒｔｉｆｙ ＳＣＡ静态分析套件对应用进行了 收到广播的Ｉｎｔｅｎｔ等。同时，通过为新的请求创建新的实例来 防止被调用程序的有效权限缩减为空集。但ＩＰＣ Ｉｎｓｐｅｃｔｉｏｎ的 机制与最小授权原则有冲突，例如条形码扫描程序拥有“照相 机”权限来照相然后返回编码的文本串。通常调用条形码扫描 程序的应用不需要“照相机”权限，也无需直接从相机读取数 据。但如果采用ＩＰＣ Ｉｎｓｐｅｃｔｉｏｎ机制，那么就要求调用程序必须 拥有“照相机”权限，因而违背了最小原则。 ＣＲＥＰＥ是一个能实施细粒度策略的系统，策略可以在运行 时依赖于智能手机的上下文变化。上下文可以根据某些变量的 状态来定义（例如位置、时间、温度、噪声和光），或者其它设备 的存在、用户与智能手机的特殊交互等。上下文敏感的使用控 制模型ＣｏｎＵＣＯＮ则利用上下文信息来实现细粒度的、灵活的智 能平台数据保护和资源使用控制，它关注的上下文包括电池、设 备位置和时间等。 （３）隐私数据保护 在平台安全增强方面，除了从权限着手来保护隐私数据外， 还有一部分研究是将重点放到数据本身，通过监控隐私数据的 动向来保护私密数据不被泄露。这方面的工作主要包含私密数 据伪造和动态信息流追踪两方面。 ①私密数据伪造ＴＩＳＳＡ 在Ａｎｄｒｏｉｄ上实现了隐私模 式，使用户能够细粒度地灵活控制应用程序可以访问的个人数 据。授予的访问权限可以在运行时根据不同时间或位置等场景 进行动态调整。根据对应用程序的隐私设置来提供匿名、信任 或虚假数据。ＭｏｃｋＤｒｏｉｄ 可以实现虚假位置信息、空的联系 人列表、虚假设备ＩＤ、无可用无线网络等功能。ＡｐｐＦｅｎｃｅ 将 位置和电话ＩＤ替换为虚假数据。 ②动态信息流追踪ＴａｉｎｔＤｒｏｉｄ 假设下载的第三方应用 程序是不可信的，实时监控这些程序访问和操作的私人数据。 主要目标是检测敏感数据通过不可信应用程序离开系统，以及 辅助对程序行为的分析。ＴａｉｎｔＤｒｏｉｄ自动为来自隐私敏感数据 源的数据打标记（污点），并在数据通过程序变量、文件和进程 问通信传播时维护标记的传播。当带有污点的数据通过网络传 输或其它途径离开系统时，ＴａｉｎｔＤｒｏｉｄ日志记录数据标记，传输 数据的应用程序以及数据的目的地，实现了对多敏感数据源的 同时追踪，对系统性能影响小于１４％。 ⑧完整性度量 隐私数据保护中采用的信息流追踪和数据伪造只能确保数 据的私密性，对于数据完整性无法保证，平台完整性很可能遭到 破坏，所以必须对平台完整性进行度量和验证。但是由于Ａｎ— ｄｒｏｉｄ软件栈使用了Ｄａｌｖｉｋ虚拟机，可信计算中的远程证明技术 并不能直接部署在Ａｎｄｒｏｉｄ上。Ｍｏｈａｍｍａｄ Ｎａｕｍａｎ 等就针对 该问题提出了一种专门为Ａｎｄｒｏｉｄ定制的远程证明机制，可以 在虚拟机层度量Ａｎｄｒｏｉｄ应用程序。主要是通过修改Ａｎｄｒｏｉｄ 控制流分析、数据流分析、结构化分析和语义分析。控制流分析 对输入程序Ｐ的动作序列进行，将其中的一些归类为错误。 数据流分析允许对输入程序的有问题数据流进行描述。结构化 分析允许对输入源代码的抽象语法进行模式匹配。语义分析允 许对输入程序所使用的数值进行一些描述。分析表明系统 存在敏感信息泄漏、未保护的广播接收者、Ｉｎｔｅｎｔ注入攻击等安 全问题和隐患。ＣｏｍＤｒｏｉｄ 对Ｄｅｄｅｘｅｒ工具生成的反汇编ＤＥＸ 字节码进行分析，检查Ｉｎｔｅｎｔ的创建和传输来识别应用程序问 通信的广播窃取、服务劫持、恶意广播注入、恶意服务启动等脆 弱性。ＳＣＡＮＤＲＯＩＤ ”是一个能自动推理Ａｎｄｒｏｉｄ应用程序安 全的工具。它从Ａｎｄｒｏｉｄ应用程序的Ｍａｎｉｆｅｓｔ文件中提取安全 规范，并检查应用程序间数据流与规范的一致性。ＳＣａｎＤｒｏｉｄ是 基于ＷＡＬＡ Ｊａｖａ字节码分析框架实现的，由于它是在反汇编工 具ｄｅｄ之前提出的，因此只能评估开源的应用程序。Ｃｈａｕｄｈｕｒｉ 等 研究用形式化语言来描述Ａｎｄｒｏｉｄ应用程序，提出了一个 类型系统用于推理数据流安全性质。但Ｃｈａｕｄｈｕｒｉ的工作要求 为组件增加复杂的类型注释，在实现中会给开发人员带来严重 的负担。Ｗｏｏｄｐｅｃｋｅｒ 基于开源反汇编程序ｂａｋｓｍａｌｉ实现静 态分析，采用过程间数据流分析技术来系统地检查不可信程序 非授权访问敏感数据或执行操作的权能泄漏问题。检测显 式权能泄漏（利用公开接口，即混淆代理人攻击）和隐式权能泄 漏（利用相同签名密钥所签名的其它程序的权限，即共谋攻 击）。结果表明１３个权限中有１１个存在泄漏问题，可在不 申请任何权限的情况下被恶意用于擦除用户数据、发送短信、记 录用户通话和获取用户位置数据等。 研究表明，静态分析技术有助于识别Ａｎｄｒｏｉｄ应用程序申 请了多余权限或提供未保护的开放接口等安全缺陷，但容 易受到各种迷惑技术的影响。此外，Ｊａｖａ反射机制是开发正确、 完备的程序分析必须要解决的一个问题，因为反射机制允许在 运行状态中对于任意一个类都能够知道这个类的所有属性和方 法；对于任意一个对象，都能够调用它的任意一个方法。因此， 解决反射调用仍是一个开放研究领域。 ３趋势与展望 随着智能手机的性能逐渐向计算机逼近，基于智能手机的 业务处理也将向计算机逼近，智能手机将会成为真正的计算机； 同时，、、企业的网络信息管理部门将会切断内网与社 交网络的连接，员工以往的社交网络服务将会由他们的个人智 能手机提供；此外，以往的安全站点将会因为智能手机的广泛接 入新增许多安全隐患 。因此，针对智能手机（尤其是已成为 主流平台的Ａｎｄｒｏｉｄ）的安全研究将会是一项长期而艰巨的任 务。 第１０期 蒋绍林等：Ａｎｄｒｏｉｄ安全研究综述 ２０９ 虽然经过几年的研究，研究人员已取得诸多理论、实践成 行进一步的细分，而对“安装／卸载”等很少被使用的权限可以 果，但还是存在诸多不足之处，主要体现在一下一个方面： 进行合并。 （１）安全策略多种多样，策略之间兼容性差：由于许多安全 （３）构建一种智能的策略决策引擎，将决策权交由系统完 策略的侧重点不一样，导致需要对原生系统的更改点也不一样， 成：在ＸＭａｎＤｒｏｉｄ中就提到，用户只需选择平台所处的安全级 从而使得各安全系统的版本多种多样，系统间的兼容性有待检 别，其余的工作全部交由系统完成，这样就可以在改善用户使用 验。 体验的同时提高策略的安全性。 （２）粗粒度的授权控制机制，导致系统误报率高，可用性较 （４）安全开发工具研究：由于Ａｎｄｒｏｉｄ的开放性使得应用 差：鉴于移动平台资源受限的实际情况，为了降低系统性能的损 开放人员层次差异较大，导致开发出的产品大多存在安全漏洞， 耗，许多安全策略使用了粗粒度的控制方法。但是随着移动平 尤其是权限保护方面。所以，为开发人员研究一种可自动检测 台性能的提升，细化安全策略的控制粒度应该被提上议事日程。 权限申明是否符合最小原则等安全规则的开发工具是十分 （３）以用户为中心，依托用户完成授权工作，极大地降低了 必要的 系统的安全性：虽然已有的安全工作理论上都有很高的安全性， 但是它们大多是将授权与否的最终决定权交予没有专业知识的 ４结语 广大用户，这样无疑会将策略的安全性大打折扣。 综合考虑已有工作存在的缺陷以及智能平台未来的发展， Ａｎｄｒｏｉｄ开源平台的流行吸引了众多攻击者和安全研究人 针对Ａｎｄｒｏｉｄ的安全研究工作将来可能围绕以下几个方面展 员的广泛关注，本文首先介绍了Ａｎｄｒｏｉｄ原生系统的安全机制 开： 及缺陷，然后采用层次化的分类方法对已有工作进行了分析总 （１）构建一种统一的通用的安全增强框架，如图３所示：借 结，最后从现有工作中存在的不足提出了一些未来的研究方向 鉴Ｌｉｎｕｘ内核层的ＬＳＭ框架模型，在Ｆｒａｍｅｗｏｒｋ层同样构建一 和重点，对Ａｎｄｒｏｉｄ的安全研究工作具有一定的指导意义。 个通用的服务接口库，现有的安全策略可通过挂接服务接口直 接启用，从而降低策略实现的难度和成本，并且可以增加策略间 参考文。献 的兼容性。例如，在目前的大多数安全模型中，主要是更改 ［１］Ｌａｂ Ｋ．Ｆｉｒｓｔ ＳＭＳ Ｔｒｏｊａｎ Ｄｅｔｅｃｔｅｄ ｆｏｒ Ｓｍａｒｔｐｈｏｎｅｓ ｒｕｎｎｉｎｇ Ａｎｄｒｏｉｄ ＰａｃｋａｇｅＭａｎａｇｅｒｓｅｎ『ｉｃｅ、ＡｃｔｉｖｉｔｙＭａｎａｇｅｒｓｅｒｖｉｅｅ等，前者可感知平 ［ＥＢ／ＯＬ］．（２０１０—０３—０５） 【２０１０—１１—１５］．ｈｔｔｐ：／／ｗｗｗ． 台所有已安装应用的详细情况，后者负责应用间通信建立。在 ｋａｓｐｅｒｓｋｙ．ｃｏｒｎ／ｎｅｗｓ？ｉｄ＝２０７５７６１５６． ＰａｃｋａｇｅＭａｎａｇｅｒＳｅｒｖｉｃｅ中，可在ｉｎｓｔａｌｌＰａｃｋａｇｅ（）中添加一个应用 ［２］Ｗａｎｇ Ｚ，Ａ Ｓｔａｖｒｏｕ．Ｅｘｐｌｏｉｔｉｎｇ Ｓｍａｒｔ－Ｐｈｏｎｅ ＵＳＢ Ｃｏｎｎｅｃｔｉｖｉｔｙ Ｆｏｒ Ｆｕｎ 安装接１：３ ｉｎｓｔａｌｌＰａｃｋａｇｅｓｅｃｕｒｅＨｏｏｋ（），该接口更具安全策略模 Ａｎｄ Ｐｒｏｆｉｔ［Ｃ］／／Ａｎｎｕａｌ Ｃｏｍｐｕｔｅｒ Ｓｅｃｕｒｉｔｙ Ａｐｐｌｉｃａｔｉｏｎｓ Ｃｏｎｆｅｒｅｎｃｅ， 块的不同建立不同的应用信息数据库；同时，由于应用建立通信 Ａｕｓｔｉｎ，Ｔｅｘａｓ ＵＳＡ，２０１０：３５７—３６６． 或访问数据资源时，会通过ＰａｃｋａｇｅＭａｎａｇｅｒＳｅｒｖｉｃｅ对应用的权 ［３］Ｄａｖｉ Ｌ，ｅｔ ａ１．Ｐｒｉｖｉｌｅｇｅ ｅｓｃａｌａｔｉｏｎ ａｔｔａｃｋｓ ｏｎ Ａｎｄｒｏｉｄ［Ｃ］／／Ｉｎｆｏｒｍａ－ ｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｃｏｎｆｅｒｅｎｃｅ—ＩＳＣ，２０１０：３４６～３６０． 限进行检查，所以可在其中添加ｃｈｅｃｋＰｅｒｍｉｓｓｉｏｎＳｅｃｕｒｅＨｏｏｋ（）接 ［４］Ｒｏｍａｎ Ｓｃｈｌｅｇｅｌ，Ｋ Ｚ，Ｘｉａｏｙｏｎｇ Ｚｈｏｕ，ｅｔ ａ１．Ｓｏｕｕｄｃｏｍｂｅｒ：Ａ 口，更具具体策略，返回权限授予状态。此外，为了解决Ｆｒａｍｅ— Ｓｔｅａｌｔｈｙ ａｎｄ Ｃｏｎｔｅｘｔ—Ａｗａｒｅ Ｓｏｕｎｄ Ｔｒ￣ａｎ ｆｏｒ Ｓｍａｒｔｐｈｏｎｅｓ［Ｃ／ＯＬ］／／ ｗｏｒｋ层和Ｌｉｎｕｘ内核层的策略鸿沟问题，可在两者间建立一个 Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｎｅｔｗｏｒｋ ａｎｄ Ｄｉｓｔｉｒｂｕｔｅｄ Ｓｙｓｔｅｍ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉ— 桥接引擎，这个引擎既可以是一个策略决策引擎（如ＸＭａｎＤｒｏｉｄ ｕｍ，ＮＤＳＳ ２０１１，Ｓａｎ Ｄｉｅｇｏ，Ｃａｌｉｆｏｒｎｉａ，ＵＳＡ，６ｔｈ Ｆｅｂｒｕａｒｙ一９ｔｈ 中的策略决策引擎），也可以是一个简单的数据共享文件或共 Ｆｅｂｒｕａｒｙ ２０１１［２０１１一Ｏ５—１５］．ｈｔｔｐ：／／ｗｗｗ．ｉｓｏｃ．ｏｒｇ／ｉｓｏｃ／ｅｏｎｆｅｒ－ 享存储区。 ｅｎｃｅｓ／ｎｄｓｓ／ｌ １／ｐｄｆ／ｌ一１．ｐｄｆ． ［５］Ｅｎｃｋ Ｗ，Ｋｅｖｉｎ Ｂ，ｅｔ ａ１．Ｄｅｆｅｎｄｉｎｇ Ｕｓｅｒｓ Ａｇａｉｎｓｔ Ｓｍａｒｔｐｈｏｎｅ Ａｐｐｓ： Ｔｅｃｈｎｉｑｕｅｓ ａｎｄ Ｆｕｔｕｒｅ Ｄｉｒｅｃｔｉｏｎｓ［Ｃ］／／Ｉｎｆｏｒｍａｔｉｏｎ Ｓｙｓｔｅｍｓ Ｓｅｃｕｒｉｔｙ ７ｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ，ＩＣＩＳＳ ２０１ １，Ｋｏｌｋａｔａ，Ｄｅｃｅｍｂｅｒ １５ —１９，２０１１：４９—７０． ［６］Ｇａｒｔｎｅｒ：Ｇａｒｔｎｅｒ Ｓａｙｓ Ｓａｌｅｓ ｏｆ Ｍｏｂｉｌｅ Ｄｅｖｉｃｅｓ ｉｎ Ｆｉｒｓｔ Ｑｕａｒｔｅｒ ｏｆ ２０１ １ Ｇｒｅｗ １６．５ Ｐｅｒｃｅｎｔ Ｙｅａｒ—ｏｎ－Ｙｅａ／＂；Ｓｍａ￣ｐｈｏｎｅ Ｓａｌｅｓ Ｇｒｅｗ ７４ Ｐｅｒｃｅｎｔ ［ＥＢ／ＯＬ］．（２０１１一Ｏ８—１０）［２０１１—０９—２５］．ｈｔｔｐ：／／ｗｗｗ．ｇａｒｔ— ｎｅｒ．ｃｏｒｎ／ｉｔ／ｐａｇｅ．ｊｓｐ？ｉｄ＝１７６４７１４． ［７］网秦．２０１１年中国地区手机安全报告［ＥＢ／ＯＬ］．（２０１２一Ｏ１ —１２）［２０１２—０２—２５］．ｈｔｔｐ：／／ｗｗｗ．ｎｅｔｑｉｎ．ｃｏｒｎ／ｕｐＬｏａｄ／Ｆｉｌｅ／ ｂａｏｇａｏ／２０１２０１ １２．ｐｄｆ． ［８］Ｂｕｇｉｅｌ Ｓ，ｅｔ ａ１．Ｔｏｗａｒｄｓ Ｔａｍｉｎｇ Ｐｒｉｖｉｌｅｇｅ・Ｅｓｃａｌａｔｉｏｎ Ａｔｔａｃｋｓ ｏｎ Ａｎ— ｄｒｏｉｄ［Ｃ］／／Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｃｏｎｆｅｒｅｎｃｅ—ＩＳＣ。２０１０：３４６—３６０． 图３一种统一通用的Ａｎｄｒｏｉｄ安全增强框架 ［９］Ｇｏｏｇｌｅ．Ａｎｄｒｏｉｄ Ｈｏｍｅ Ｐａｇｅ［ＯＬ］．２００９．ｈｔｔｐ：／／ｗｗｗ．ａｎｄｒｏｉｄ．ｃｏｒｎ． （２）进一步细化策略控制粒度，提高系统可用性：将策略控 ［１０］Ｅｎｃｋ Ｗ，Ｍ Ｏｎｇｔａｎｇ，Ｐ ＭｃＤａｎｉｅ１．Ｍｉｔｉｇａｔｉｎｇ Ａｎｄｒｏｉｄ ｓｏｆｔｗａｒｅ ｍｉｓｕｓｅ 制的粒度由应用沙盒细化到应用本身、由消息层细化到变量层、 ｂｅｆｏｒｅ ｉｔ ｈａｐｐｅｎｓ［Ｒ］．Ｔｈｅ Ｐｅｎｎｓｙｌｖａｎｉａ Ｓｔａｔｅ Ｕｎｉｖｅｒｓｉｔｙ ３４４ ＩＳＴ Ｂｕｉｌｄｉｎｇ Ｕｎｉｖｅｒｓｉｔｙ Ｐａｒｋ，ＰＡ １６８０２，ＵＳＡ，２２ｔｈ Ｓｅｐｔｅｍｂｅｒ ２００８． 由数据读写细化到数据的读和写等；例如，Ｂａｒｒｅｒａ使用神经网 ［１ １］Ｆｅｌｔ，Ａｄｒｉｅｎｎｅ Ｐ，ｅｔ ａ１．Ｐｅｒｍｉｓｓｉｏｎ ｒｅ—ｄｅｌｅｇａｔｉｏｎ：Ａｔｔａｃｋｓ ａｎｄ ｄｅｆｅｎ． 络算法ＳＯＭ（Ｓｅｌｆ Ｏｒｇａｎｉｚｉｎｇ Ｍａｐｓ）分析了权限的使用情况 ， ｓｅｓ［Ｊ／ＯＬ］．ＵＳＥＮＩＸ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ．ｈｔｔｐ：／／ｓｔａｔｉｃ．ｕｓｅｎｉｘ．ｏｒｓ／ 分析表明很少的一些权限被频繁使用，『ｎ 大多数权限只被很少 ｅｖｅｎｔｓ／ｓｅｃｌ １／ｔｅｅｈ／ｆｕｌｌｐａｐｅｒｓ／Ｆｅｌｔ．ｐｄｆ． 的程序使用。因此，对ＩＮＴＥＲＮＥＴ等被频繁使用的权限可以进 ［１ ２］Ｋｌｅｉｄｅｒｍａｃｈｅｒ Ｄ．Ｂｒｉｎｇｉｎｇ Ｓｅｃｕｒｉｔｙ ｔｏ Ａｎｄｒｏｉｄ—ｂａｓｅｄ Ｄｅｖｉｃｅｓ［ＥＢ／ ２１０ 计算机应用与软件 ２０１２ 雏 ＯＬ］．（２０１０—０２—１３）［２０１０—１０—２２］．ｈｔｔｐ：／／ｗｗｗ．ｉｇｍａｇａｚｉｎｅ－ ｏｎｌｉｎｅ．ｃｏｍ／ｃｕｒｒｅｎｔ／ｐｄｆ／Ｐｇ５６—５８ＩＱ一３２一Ｂｒｉｎｇｉｎｇ—Ｓｅｃｕｒｉｔｙ—ｔｏ— Ａｎｄｒｏｉｄ－ｂａｓｅｄ—Ｄｅｖｉｃｅｓ．ｐｄｆ． ［１ ３］Ａｎｄｙ Ｎｉｇｈｔｉｎｇａｌｅ，Ｒｏｂｅｒｔｏ Ｍｉｊａｔ．Ｖｉｒｔｕａｌｉｚａｔｉｏｎ ｉｓ Ｃｏｍｉｎｇ ｔｏ ａ Ｐｌａｔ— ｆｏｒｍ Ｎｅａｒ Ｙｏｕ［ＥＢ／ＯＬ］．（２０１１—０４—１２）［２０１１～１Ｏ一１１］．ｈｔ－ ｔｐ：／／ｗｗｗ．ａｒｍ．ｃｏｒｎ／ｆｉｌｅｓ／ｐｄｆ／Ｓｙｓｔｅｍ－ＭＭＵ－Ｗｈｉｔｅｐａｐｅｒ—ｖ８．０．ｐｄｆ． ［１４］Ｍａｔｔｈｉａｓ Ｌａｎｇｅ，Ｓｔｅｆｆｅｎ Ｌ，ｅｔ ａ１．Ｌ４Ａｎｄｒｏｉｄ：Ａ Ｇｅｎｅｒｉｃ Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ Ｆｍｍｅｗｏ￣ｆｏｒ Ｓｅｃｕｒｅ Ｓｍａｒｔｐｈｏｎｅｓ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １ ｓｔ ＡＣＭ ｗｏｒｋｓｈｏｐ ｏｎ Ｓｅｃｕｒｉｔｙ ａｎｄ ｐｒｉｖａｃｙ ｉｎ ｓｍａｒｔｐｈｏｎｅｓ ａｎｄ ｍｏｂｉｌｅ ｄｅ— ｖｉｃｅｓ，Ｃｈｉｃａｇｏ Ｉｌｌｉｏｎｉｓ，ＵＳＡ，２０１１：３９—５０． ［１ ５］Ｓｈａｂｔａｉ Ａ，Ｙ Ｆｌｅｄｅｌ，Ｙ Ｅｌｏｖｉｃｉ．Ｓｅｃｕｒｉｎｇ Ａｎｄｒｏｉｄ—ｐｏｗｅｒｅｄ ｍｏｂｉｌｅ ｄｅ— ｖｉｃｅｓ ｕｓｉｎｇ ＳＥＬｉｎｕｘ［Ｊ Ｊ．Ｓｅｃｕｒｉｔｙ＆Ｐｒｉｖａｃｙ，ＩＥＥＥ，２０１０，８（３）：３６— ４４． ［１６］刘昌平，范明钰，王光卫，等．Ａｎｄｒｏｉｄ手机的轻量级访问控制［Ｊ］． 计算机应用研究，２０１０，２７（７）：２６１１—２６１３，２６２８． ［１７］Ｅｎｃｋ Ｗ，Ｍ Ｏｎｇｔａｎｇ，Ｐ ＭｃＤａｎｉｅ１．Ｏｎ ｌｉｇｈｔｗｅｉｇｈｔ ｍｏｂｉｌｅ ｐｈｏｎｅ ａｐｐｌｉ－ ｃａｔｉｏｎ ｃｅｒｔｉｆｉｃａｔｉｏｎ『Ｃ］／／ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉ． ｃａｔｉｏｎｓ Ｓｅｃｕｒｉｔｙ，２００９：２３５—２４５． ［１ ８］Ｏｎｇｔａｎｇ Ｍ，ｅｔ ａ１．Ｓｅｍａｎｔｉｃａｌｌｙ ｒｉｃｈ ａｐｐｌｉｃａｔｉｏｎ—ｃｅｎｔｒｉｃ ｓｅｃｕｒｉｔｙ ｉｎ ａｎ ｄｒｕｉｄ［Ｃ］／／Ａｎｎｕａｌ Ｃｏｍｐｕｔｅｒ Ｓｅｃｕｒｉｔｙ Ａｐｐｌｉｃａｔｉｏｎｓ Ｃｏｎｆｅｒｅｎｃｅ， ２００９：３４０—３４９． ［１９］Ｎａｕｍａｎ Ｍ，Ｓ Ｋｈａｎ，Ｘ Ｚｈａｎｇ．Ａｐｅｘ：Ｅｘｔｅｎｄｉｎｇ Ａｎｄｒｏｉｄ ｐｅｍｒｉｓｓｉｏｎ ｍｏｄｅｌ ａｎｄ ｅｎｆｏｒｃｅｍｅｎｔ ｗｉｔｈ ｕｓｅｒ—ｄｅｉｆｎｅｄ ｒｕｎｔｉｍｅ ｃｏｎｓｔｒａｉｎｔｓ［ｃ］／／ ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ，２０１０：３２８ ３３２． ［２０］Ｂｕｇｉｅｌ Ｓ，Ｌｕｃａｓ Ｄ，ｅｔ ａ１．ＸＭａｎＤｒｏｉｄ：Ａ ｎｅｗ Ａｎｄｒｏｉｄ ｅｖｏｌｕｔｉｏｎ ｔｏ ｍｉｔｉｇａｔｅ ｐｒｉｖｉｌｅｇｅ ｅｓｃａｌａｔｉｏｎ ａｔｔａｃｋｓ［Ｒ］．Ｔｅｃｈｎｉｓｃｈｅ Ｕｎｉｖｅｒｓｉｔｙ Ｄａｒｍ－ ｓｔａｄｔ，Ｓｙｓｔｅｍ Ｓｅｃｕｒｉｔｙ Ｌａｂ，Ａｐｒｉｌ ２０１１． ［２１］Ｄｉｅｔｚ Ｍ，Ｓｈａｓｈｉ Ｓ，ｅｔ ａ１．Ｑｕｉｒｅ：ｌｉｇｈｔｗｅｉｇｈｔ ｐｒｏｖｅｎａｎｃｅ ｆｏｒ ｓｍａｒｔ ｐｈｏｎｅ ｏｐｅｒａｔｉｎｇ ｓｙｓｔｅｍｓ［Ｊ］．Ｃｏｍｐｕｔｉｎｇ Ｒｅｓｅａｒｃｈ Ｒｅｐｏｓｉｔｏｒｙ，２０１ １， ａｂｓ／１１０２（２）：２３—３４． ［２２］Ｍａｕｒｏ Ｃ，Ｖｕ Ｔｈｉｅｎ Ｎｇａ Ｎ，Ｂｒｕｎｏ Ｃ．ＣＲＥＰＥ：Ｃｏｎｔｅｘｔ—Ｒｅｌａｔｅｄ Ｐｏｌｉｃｙ Ｅｎｆｏｒｃｅｍｅｎｔ ｆｏｒ Ａｎｄｒｏｉｄ［ｃ］／／Ｉｎｆｏｍｒａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｃｏｎｆｅｒｅｎｃｅ—ＩＳＣ， ２０１０：３３１—３４５． ［２３］Ｇｕａｎｇｄｏｎｇ Ｂａｉ，Ｌｉａｎｇ Ｇｕ，ｅｔ １ａ．Ｃｏｎｔｅｘｔ－Ａｗａｒｅ Ｕｓａｇｅ Ｃｏｎｔｒｏｌ ｏｆｒ Ａｎ— ｄｒｕｉｄ［Ｊ］．。ＳＥＣＵＲＥＣＯＭＭ，２０１０，１０：３２６～３４３． ［２４］Ｚｈｏｕ Ｙａｊｉｎ，Ｘｉｎｗｅｎ Ｚｈａｎｇ，ｅｔ ａ１．Ｔａｍｉｎｇ ｉｎｆｏｒｍａｔｉｏｎ－ｓｔｅａｌｉｎｇ ｓｍａｒｔ－ ｐｈｏｎｅ ａｐｐｌｉｃａｔｉｏｎｓ（ｏｎ Ａｎｄｒｏｉｄ）［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇ ｏｆ ｔｈｅ ４ｔｈ ｉｎｔｅｒｎａ－ ｔｉｏｎａｌ ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｔｒｕｓｔ ａｎｄ Ｔｒｕｓｔｗｏｒｔｈｙ Ｃｏｍｐｕｔｉｎｇ，２０１ １：９３— １Ｏ７． ［２５］Ｂｅｒｅｓｆｏｒｄ Ａ Ｒ，Ｒｉｃｅ Ａ，Ｓｋｅｈｉｎ Ｎ，ｅｔ ａ１．ＭｏｃｋＤｒｏｉｄ：Ｔｒａｄｉｎｇ Ｐｒｉｖａｃｙ ｆｏｒ Ａｐｐｌｉｃａｔｉｏｎ Ｆｕｎｃｔｉｏｎａｌｉｔｙ ｏｎ Ｓｍａｒｔｐｈｏｎｅｓ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １２ｔｈ Ｗｏｒｋｓｈｏｐ ｏｎ Ｍｏｂｉｌｅ Ｃｏｍｐｕｔｉｎｇ Ｓｙｓｔｅｍｓ ａｎｄ Ａｐｐｌｉｃａｔｉｏｎｓ（Ｈｏｔ－ Ｍｏｂｉｌｅ １１），２０１１：４９—５４． ［２６］Ｈｏｒｎｙａｃｋ Ｐ，Ｈａｎ Ｓ，Ｊｕｎｇ Ｊ，ｅｔ ａ１．Ｔｈｅｓｅ Ａｒｅｎｔ ｔｈｅ Ｄｒｕｉｄｓ Ｙｏｕｔｅ Ｌｏｏ－ ｋｉｎｇ Ｆｏｒ：Ｒｅｔｒｏｆｉｔｔｉｎｇ Ａｎｄｒｏｉｄ ｔｏ Ｐｒｏｔｅｃｔ Ｄａｔａ ｆｒｏｍ Ｉｍｐｅｒｉｏｕｓ Ａｐｐｌｉｃａ－ ｔｉｏｎｓ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １８ｔｈ ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｅｃｕｒｉｔｙ（ＣＣｓ２０ｌ１），２０１ １：６３９—６５２． ［２７］Ｅｎｃｋ Ｗ，Ｇｉｌｂｅｒｔ Ｐ，ｅｔ ａ１．ＴａｉｎｔＤｒｏｉｄ：Ａｎ ｉｎｆｏｒｍａｔｉｏｎ—ｌｆｏｗ ｔｒａｃｋｉｎｇ ｓｙｓｔｅｍ ｆｏｒ ｒｅａｈｉｍｅ ｐｒｉｖａｃｙ ｍｏｎｉｔｏｒｉｎｇ ｏｎ ｓｍａｒｔｐｈｏｎｅｓ［ｃ］／／Ｐｒｏｃｅｅｄ－ ｉｎｇｓ ｏｆ ｔｈｅ ９ｔｈ ＵＳＥＮＩＸ ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｏｐｅｒａｔｉｎｇ ｓｙｓｔｅｍｓ ｄｅｓｉｇｎ ａｎｄ ｉｍｐｌｅｍｅｎｔａｔｉｏｎ Ａｒｔｉｃｌｅ Ｎｏ．１—６．２０１０：３９３—４０７． ［２８］Ｍｏｈａｍｍａｄ Ｎａｕｍａｎ，Ｓｏｈａｉｌ Ｋｈａｎ，Ｘｉｎｗｅｎ Ｚｈａｎｇ，ｅｔ ａ１．Ｂｅｙｏｎｄ Ｋｅｒ— ｎｅｌ—ｌｅｖｅｌ Ｉｎｔｅｇｒｉｔｙ Ｍｅａｓｕｒｅｍｅｎｔ：Ｅｎａｂｌｉｎｇ Ｒｅｍｏｔｅ Ａｔｔｅｓｔａｔｉｏｎ ｆｏｒ ｔｈｅ Ａｎｄｒｏｉｄ Ｐｌａｔｆｏｒｍ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ３ｒｄ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｔｒｕｓｔ ａｎｄ Ｔｒｕｓｔｗｏｒｔｈｙ Ｃｏｍｐｕｔｉｎｇ，２０１０：１—１５． ［２９］Ｅｎｃｋ Ｗ，Ｄａｍｉｅｎ Ｏ，ｅｔ ａ１．Ａ ｓｔｕｄｙ ｏｆ ａｎｄｒｏｉｄ ａｐｐｌｉｃａｔｉｏｎ ｓｅｃｕｒｉｔｙ ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２０ｔｈ ＵＳＥＮＩＸ ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｓｅｃｕｒｉｔｙ，２０１ １： ２１—４４． ［３０］Ｃｈｉｎ Ｅ，Ａｄｒｉｅｎｎｅ Ｐ Ｆ，ｅｔ ａ１．Ａｎａｌｙｚｉｎｇ ｉｎｔｅｒ—ａｐｐｌｉｃａｔｉｏｎ ｃｏｍｍｕｎｉｃａ． ｔｉｏｎ ｉｎ Ａｎｄｒｏｉｄ．［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ９ｔｈ ｉｎｔｅｒｎａｔｉｏｎａｌ ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｍｏｂｉｌｅ ｓｙｓｔｅｍｓ，ａｐｐｌｉｃａｔｉｏｎｓ，ａｎｄ ｓｅｒｖｉｃｅ，２０１ １：２３９—２５２． ［３１］Ｆｕｃｈｓ Ａ Ｐ，Ａ Ｃｈａｕｄｈｕｒｉ，Ｊ Ｓ Ｆｏｓｔｅｒ．ＳＣａｎＤｒｏｉｄ：Ａｕｔｏｍａｔｅｄ ｓｅｃｕｒｉｔｙ ｃｅｒｔｉｉｆｃａｔｉｏｎ ｏｆ Ａｎｄｒｏｉｄ ａｐｐｌｉｃａｔｉｏｎｓ［Ｒ／ＯＬ］／／Ｍａｎｕｓｃｒｉｐｔ，Ｕｎｉｖ．ｏｆ Ｍａｒｙｌａｎｄ，２００９．ｈｔｔｐ：／／ｗｗｗ．ａｓ．ｕｍｄ．ｅｄｕ／～ａｖｉｋ／ｐｒｏｊｅｃｔｓ／ｓｃａｎｄｒｏｉ— ｄａｓｃａａ． ［３２］Ｃｈａｕｄｈｕｒｉ Ａ．Ｌａｎｇｕａｇｅ—ｂａｓｅｄ ｓｅｃｕｒｉｔｙ ｏｉｌ Ａｎｄｒｏｉｄ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ＡＣＭ ＳＩＧＰＬＡＮ Ｆｏｕｒｔｈ Ｗｏｒｋｓｈｏｐ ｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｌａｎｇｕａｇｅｓ ａｎｄ Ａｎａｌｙｓｉｓ ｏｆｒ Ｓｅｃｕｒｉｔｙ，２００９：１—７． ［３３］Ｍｉｃｈａｅｌ Ｇｒａｃｅ，Ｙａｊｉｎ Ｚｈｏｕ，Ｚｈｉ Ｗａｎｇ，ｅｔ ａ１．Ｓｙｓｔｅｍａｔｉｃ Ｄｅｔｅｃｔｉｏｎ ｏｆ Ｃａｐａｂｉｌｉｔｙ Ｌｅａｋｓ ｉｎ Ｓｔｏｃｋ Ａｎｄｒｏｉｄ Ｓｍａ￣ｐｈｏｎｅｓ［Ｃ／０Ｌ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １９ｔｈ Ｎｅｔｗｏｒｋ ａｎｄ Ｄｉｓｔｉｒｂｕｔｅｄ Ｓｙｓｔｅｍ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ （ＮＤＳＳ２０１２）．ｈｔｔｐ：／／ｗｗｗ．ＣＳＣ．ｎｃｓｕ．ｅｄｕ／ｆａｃｕｈｙ／ｊｉａｎＳ／ｐｕｂｓ／ ＮＤＳＳ１２—．ＷＯＯＤＰＥＣＫＥＲ．ｐｄｆ． ［３４］Ｗａｌｌａｃｈ Ｄ．Ｓｍａ￣ｐｈｏｎｅ Ｓｅｃｕｒｉｔｙ：Ｔｒｅｎｄｓ ａｎｄ Ｐｒｅｄｉｃｔｉｏｎｓ［ＥＢ／ＯＬ］． （２０１１—０２—１７）［２０１１—１０一ｌ２］．ｈｔｔｐ：／／ｓｅｃａｐｐｄｅｖ．ｏｒ￣ｈａｎｄ— ｏｕｔｓ￣２０１ １／Ｄａｎ Ｗａｌｌａｃｈ／ｓｍａｒｔｐｈｏｎｅ—ｓｅｃｕｒｉｔｙ．ｐｄｆ． ［３５］Ｂａｒｒｅｒａ Ｄ，Ｈ Ｇｕｎｅｓ Ｋａｙａｃｉｋ，ｅｔ ａ１．Ａ ｍｅｔｈｏｄｏｌｏｇｙ ｆｏｒ ｅｍｐｉｉｒｃａｌ ａｎａｌ－ ｙｓｉｓ ｏｆ ｐｅｒｍｉｓｓｉｏｎ・ｂａｓｅｄ ｓｅｃｕｒｉｔｙ ｍｏｄｅｌｓ ａｎｄ ｉｔｓ ａｐｐｌｉｃａｔｉｏｎ ｔｏ ａｎｄｒｏｉｄ ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １７ｔｈ ＡＣＭ ｃｏｎｆｅｒｅｎｃｅ ｏｎ ｃｏｍｐｕｔｅｒ ａｎｄ ｃｏｍ－ ｍｕｎｉｃａｔｉｏｎｓ ｓｅｃｕｒｉｔｙ，２０１０：７３—８４． （上接第１５８页） 服务组合可靠性和自适应性，以解决复杂、多变的区域医疗信息 集成环境下服务可能存在的不可用、不可控的风险；解决好Ｗｅｂ 服务组合安全和可信问题，以防止医疗信息非法获取和泄露。 参考文献 Ｍｃｌｌｒａｉｔｈ Ｓ，Ｎａｒａｙａｎａｎ Ｓ，Ｐａｏｌｕｃｃｉ Ｉ，ｅｔ ａ１．ＯＷＬ・Ｓ：Ｓｅｍａｎｔｉｃ Ｍａｒｋｕｐ ｏｆｒ Ｗｅｂ Ｓｅｒｖｉｃｅｓ［ＯＬ］．ｈｔｔｐ：／／ｗｗｗ．ｄａｍ１．ｏｒｓ／ｓｅｒｖｉｃｅｓ／ｏｗｌｓ／１．１／ｏ— ｖｅｒｖｉｅｗ／． ［２］ ＨＩＭＳＳ ａｎｄ ＲＳＮＡ．Ｉｎｔｅｇｒａｔｉｎｇ ｔｈｅ Ｈｅａｈｈｅａｒｅ Ｅｎｔｅｒｐｒｉｓｅ（ＩＨＥ）一ＩＴ Ｉｎ— ｆｒａｓｔｕｒｃｔｕｒｅ Ｔｅｃｈｎｉｃａｌ Ｆｒａｍｅｗｏｒｋ—Ｖｏｌｕｍｅ １：Ｉｎｔｅｇｒａｔｉｏｎ Ｐｒｏｆｉｌｅｓ［ｓ］． Ｒｅｖ．２．０．Ａｕｇｕｓｔ ５．２００５． ［３］ ＨＩＭＳＳ ａｎｄ ＲＳＮＡ．ｈｌｔｅｇｒａｔｉｎｇ ｔｈｅ Ｈｅａｈｈｃａｒｅ Ｅｎｔｅｒｐｒｉｓｅ（ＩＨＥ）一ＩＴ Ｉｎ－ ｆｒａｓｔｕｒｃｔｕｒｅ Ｔｅｃｈｎｉｃａｌ Ｆｒａｍｅｗｏｒｋ Ｖｏｌｕｍｅ ２：Ｔｒａｎｓａｃｔｉｏｎｓ［ｓ］ Ｒｅｖ． ２．０．Ａｕｇｕｓｔ ５．２００５． ［４］ Ｓｐｅｃｉｉｆｃａｔｉｏｎ：Ｂｕｓｉｎｅｓｓ Ｐｒｃｏｅｓｓ Ｅｘｅｃｕｔｉｏｎ Ｌａｎｇｕａｇｅ ｆｏｒ Ｗｅｂ Ｓｅｒｖｉｃｅｓ Ｖｅｒｓｉｏｎ １．１［ＯＬ］．ｈｔｔｐ：／／ｗｗｗ一１０６．ｉｂｍ．ｃｏｍ／ｄｅｖｅｌｏｐｅｒｗｏｒｋｓ／ｗｅｂ－ ｓｅｒｖｉｃｅｓ／ｌｉｂｒａｒｙ／ｗｓ—ｂｐｅ１． ［５］ Ｊｏｈｎ Ｔ Ｅ Ｔｉｍｍ，ｅＧｒａｌｄ Ｃ Ｇａｎｎｏｄ．Ｇｒｏｕｎｄｉｎｇ ａｎｄ Ｅｘｅｃｕｔｉｏｎ ｏｆ ＯＷＬ—Ｓ Ｂａｓｅｄ Ｓｅｍａｎｔｉｃ Ｗｅｂ Ｓｅｒｖｉｃｅｓ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ＩＥＥＥ Ｉｎｔｅｒｎａ— ｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｓｅｒｖｉｃｅｓ Ｃｏｍｐｕｔｉｎｇ－ｖｏｌｕｍｎ ２，Ｗａｓｈｉｎｇｔｏｎ：ＩＥＥＥ Ｃｏｍｐｕｔｅｒ Ｓｏｃｉｅｔｙ，２００８． ［６］ Ｐａｏｌｕｃｃｉ Ｍ，ｋａｗｍｕｒａ Ｔ，Ｐａｙｎｅ Ｔ，ｅｔ ａ１．Ｓｅｍａｎｔｉｃ ｍａｔｃｈｉｎｇ ｏｆ ｗｅｂ ｓｅｒｖ— ｉｃｅｓ ｃａｐａｂｉｌｉｔｉｅｓ［Ｃ］／／ｔｈｅ Ｆｉｒｓｔ Ｉｎｔ．Ｓｅｍａｎｔｉｃ Ｗｅｂ Ｃｏｎｆ，２００２． ［７］ 焦方俊，陈维斌．基于ＯＷＬ Ｓ扩展ＵＤＤＩ的研究［Ｊ］．计算机应用， ２００７（２Ｓ）．
