基于动态权限集的Android强制访问控制模型

发布时间：2020-06-24 20:10

【摘要】：针对Android存在的特权提升攻击问题,提出了基于动态权限集的Android强制访问控制模型DP_ManDroid。该模型首先分析强连通分支的权限分布特性,构建动态的权限集划分;然后在信息流与权限集耦合的基础上,抽象权限提升路径;最后提出线性时间的访问控制算法,并通过动态追踪权限集,实现了细粒度的决策控制。与现有安全模型的对比,以及在原型系统上的仿真结果表明,所提出的安全模型很好地抵御了特权提升攻击,同时降低了时间复杂度。
【图文】：

通信状态,安全模型,权限

２．２模型的架构实现ＤＰ＿ＭａｎＤｒｏｉｄ模型的整体架构如图２所示。图２ＤＰ＿ＭａｎＤｒｏｉｄ整体架构ＤｅｃｉｓｉｏｎＣｈｅｃｋｅｒ按照通信状态图Ｇ对当前的通信请求进行判断；ＳＥＬｉｎｕｘ主要负责截获隐蔽信道操作；ＧｒａｐｈＧｅｎｅ－ｒａｔｏｒ进行通信图更新；ＤｅｃｉｓｉｏｎＣｈｅｃｋｅｒ与ＳＥＬｉｎｕｘ之间的ＪＮＩ接口用来交互二者之间的控制信息。３模型对比分析３．１算法理论对比本文提出的ＤＰ＿ＭａｎＤｒｏｉｄ安全模型与ＸＭａｎＤｒｏｉｄ模型、ＮｅｗＸＭａｎＤｒｏｉｄ模型以及加入历史权限传递属性的安全模型（ＨＴ＿ＭａｎＤｒｏｉｄ）相比，具有显著优势。ＸＭａｎＤｒｏｉｄ安全模型将系统通信连接图抽象为无向图，通过回溯算法枚举当前进行通信的两个应用节点及其邻接点，判断每对节点的权限并集是否与危险权限集相符。分析发现ＸＭａｎＤｒｏｉｄ安全模型存在３个问题：１）系统无向通信图忽略了通信中信息流，导致访问控制粒度过粗，存在误判；２）其忽略了内核层的隐蔽通信信道；３）枚举算法导致模型效率过低。ＮｅｗＸＭａｎＤｒｏｉｄ在ＸＭａｎＤｒｏｉｄ的基础上增加了信息流，并创建内核层通信请求反馈机制，细化访问控制粒度。同时将以节点为单位的安全策略改进为策略路径。但是ＮｅｗＸＭａｎＤｒｏｉｄ在进行决策时依然通过回溯枚举的方法遍历节点对，存在效率低下的弊端。ＨＴ＿ＭａｎＤｒｏｉｄ模型通过Ｈｉｓｔｏｒｙ变量记录应用程序在通信过程中所获取过的全部权限，并判断发起通信连接的两个应用的Ｈｉｓｔｏｒｙ的并集是否与危险权限集匹配。该算法

状态图,安全模型,时间复杂度,效率

目、通信方向没有限制，线性时间界内。无法抵御多应用合谋攻击。能够抵御多应用合谋攻击，但时间复杂度过高。无法抵御单向通信权限链的权限升级的情况。３．２效率对比为说明所提出的安全模型具有更优的时间复杂度，在Ｕｂｕｎｔｕ１２．０４上使用Ａｎｄｒｏｉｄ４．１模拟手机应用环境，并记录算法在系统已经建立不同数目的通信连接的情况下，即系统通信状态图Ｇ的不同复杂度下，进行新的连接请求的判断时间。通信连接包含了双向（ＩＣＣ与套接字）以及单向（文件操作）请求。如图３所示，随着发起通信的应用程序数目的增多，本文提出的安全模型所耗费的时间远少于已有模型。实际上，由于本文的决策算法基于ＧＳＣＣ，因此在平均意义下算法耗费时间甚至低于Ｏ（Ｖ）。图３安全模型效率对比由于算法最差的时间复杂度发生在断开通信并重构系统通信状态图时，为说明算法效率，图４描绘了当系统内已存在不同数目的模拟通信连接时，运行本文算法断开通信连接所耗费的时间。为合理描述算法性能，这里取模型在断开双向通信、单向通信时运行时间的平均值。可以看出，算法耗费时间依然低于Ｏ（Ｖ），在可接受范围内。图４模型处理通信断开时效率４攻击实例分析与仿真测试４．１攻击实例分析为说明本文提出的模型较已有模型具有普适性优势，本·１９５·

【参考文献】