一种提供虚拟数据增强Android安全性的方法

系统与方案Systems & Solutions

45一种提供虚拟数据增强Android安全性的方法

引言随着安卓(Android)系统的市场占有率越来越高，

其功能也愈加强大，用户更多地使用Android手机存储和处理隐私信息。例如，我们可以在Android手机中找到用户的通讯录、通话记录以及当前所在的位置等信息。鉴于这些隐私信息对用户的重要性，这就需要我们研究并保护这些用户隐私信息的安全。

一些应用程序可能通过Android权限漏洞泄露用户隐私信息。TaintDroid研究显示在30个流行的第三方Android应用程序中，出现68次隐私信息可能被滥用的情况[1]。这些流行的应用程序表面上可能执行正常的功

能，但是却在后台收集用户的隐私信息并上传服务器，

导致用户隐私的泄露。鉴于以上这些软件侵犯隐私的威胁，我们需要找到一个可以遏制应用程序窃取用户隐私信息的方法。

Android权限机制要求应用程序向用户提供它所申请的所有权限，以便用户通过了解应用程序所需要的权限，同意或拒绝安装这个应用程序[2]。

然而，Android权限机制是一个粗粒度的机制。虽然应用程序需要将所有权限的列表提供给用户，但是如

果用户想要安装并使用这个应用程序，用户必须授权应用程序所申请的所有权限，而不能仅仅授权部分权限，

否则这个应用程序就无法安装。因此如果用户想要使用某一个应用程序，就必须无条件地信任这个应用程序而不能只信任这个应用程序的部分功能[3]。程序可以在完

成用户所需要基本功能的基础上，通过其他权限获得用户的隐私数据并上传至服务器；因此，Android需要一种可以保护隐私数据的方法，使用户可以正常使用应用程序并且阻止用户不信任权限。

一种解决方法是对应用程序使用强制访问控制。

强制访问控制方法使用户可以手动禁用应用程序申请的某个权限，阻止应用程序对这个权限的使用。这样做的优点是用户可以申请对可疑的权限进行人工控制，避免应用程序窃取用户的隐私信息，但这也可能使应用程序因为申请不到所需要的权限而崩溃。

一种比强制访问控制更好的解决方法是对用户进行提示。当应用程序申请一个权限时，系统提供“总是允许”、“仅此一次”和“拒绝”三个选项由用户选择。Apex在强制访问控制的基础上增加了受限权限，

限制受限权限一天内的使用次数和使用总次数，限制应用程序对资源的使用[4]。这种方法可以对用户进行更好

的提示，但是当用户选择拒绝这个权限后，同样可能引发应用程序的崩溃。

王 鹏1 杨 谈2 傅湘玲2 金跃辉1 1 北京邮电大学网络技术研究院 北京 1008762 北京邮电大学软件学院 北京 100876

摘　要 文章对Android权限机制进行研究，通过分析其中存在的问题，设计并实现了一个隐私保护模块控制应用程序对用户隐私信息的访问。此隐私保护模块通过提供虚拟数据，使不被用户信任的应用程序获得错误的用户隐私信息，以保护用户隐私信息的安全。关键词 安卓；虚拟数据；权限机制；移动互联网；隐私保护

基金项目：核高基项目“开源操作系统内核分析和安全性评估”(2012ZX01039004-008)系统与方案Systems & Solutions

46本文中我们认为需要在尽量少影响应用程序功能的前提下，对用户的隐私数据进行保护，因此我们在Android框架层加入一个隐私保护模块，从Android系统级别实现对用户隐私数据的保护。通过这个模块，用户可以设置虚拟数据控制应用程序对隐私数据的访问，而且极大地避免了应用程序崩溃的风险。文中的虚拟数据是指用户为防止应用程序获取用户隐私，人为设置或系统自动生成的为应用程序提供的虚假数据。通过隐私保护模块，用户可以对每一个应用程序所申请的隐私数据进行细粒度的控制。用户可以修改某一应用程序所需要的隐私数据的值，即用户可以给应用程序单独提供一个虚拟数据，这个应用程序就会读取用户设置的虚拟数据而不会读取真实的用户隐私数据。例如当用户想对一个应用程序隐藏它真实的手机号码，他可以通过隐私保护模块给这个应用程序设置一个虚假的手机号码，这样应用程序每次想要获得手机号码时都只会获得用户设置的假号码。通过这个隐私保护模块，用户可以在不泄露个人隐私的情况下正常使用应用程序。1 隐私保护模块的设计1.1 隐私信息模式设计Android操作系统中的应用程序一般是通过直接调用API获取用户数据，为保护用户隐私数据，本文通过修改相应API在框架层的流程，使应用程序不能读取用户数据。本文中，用户可以查看每个应用程序所申请的用户隐私信息，并且可以修改应用程序对这些用户隐私信息的读取模式。我们为受保护的用户隐私信息设计了四种模式，分别是允许、随机、自定义和空，其各自具体功能如下。1) 允许模式。每个应用程序读取用户信息的默认模式，在此模式中，应用程序将会得到正确的用户信息。例如，应用程序读取用户的电话号码时，系统将返回给应用程序正确的结果。2) 随机模式。当应用程序申请访问用户信息时，系统将返回给应用程序一个随机生成的值，阻止应用程序得到用户隐私信息。例如，应用程序读取用户电话号码时，系统将随机生成一个电话号码返回给应用程序。3) 自定义模式。用户可以设置虚假的用户信息，当应用程序申请访问用户信息时，系统将把这个虚假的用户信息返回给应用程序。例如，应用程序读取用户的电话号码时，系统将把用户设置的虚假电话号码返回给应用程序。

4) 空模式。当应用程序申请访问用户信息时，系统将直接返回应用程序一个空值。例如，应用程序读取用户的电话号码时，系统将直接返回应用程序一个空值。

1.2 系统设计本文在Android权限机制之上添加了一个隐私保护模块，通过此模块，系统可以对用户隐私数据进行保护。

图1为隐私保护模块的整体架构，此架构主要包括三个部分：第一部分是隐私数据存储模块，它有一个隐私设置数据库，管理不受用户信任的应用程序的隐私设置信息，并为隐私设置管理模块提供管理当前应用程序隐私设置的API；第二部分是隐私设置管理模块，它是一个独立于Android框架层的系统级应用程序，用户可以通过隐私设置管理模块管理应用程序的隐私设置信息；第三部分是强制隐私控制模块，它位于应用程序读取用户隐私信息的代码流程中，当应用程序读取用户隐私数据时，强制隐私控制模块截获应用程序的请求，它将通过隐私数据存储模块查询用户的隐私设置，最终返回用户真实的隐私数据或者用户设置的虚拟数据。

󱆌󱆩󰗲󱂾󰴽󱋆󱆆󰺳󰩦󱋆󰰇󰩷󱆆󰺳󰺕󰨍󰙪󰘦󰰇󰩷󱆆󰺳󰸢󱋃󰠶󰫙󰰇󰩷

󱆩󰢽󱆆󰺳󰺕󰨍󱆆󰺳󰸢󱋃󰺕󰨍󰩰

253467

图1 隐私保护模块整体架构系统与方案Systems & Solutions

47以应用程序请求获得用户电话号码为例，结合图1，隐私保护模块的主要流程如下。

1) 当应用程序试图读取用户电话号码时，应用程序会向系统发送一个请求。

2) 强制隐私控制模块截获此请求，并向隐私数据存储模块发送获取电话号码的请求。

3) 隐私数据存储模块得到这个请求，但它不直接响应这个请求，而是先到隐私设置数据库中查询用户对此应用程序的电话号码信息的隐私设置。

4) 如果隐私设置数据库返回的状态结果为允许，

则隐私数据存储模块返回真实的电话号码，否则隐私数据存储模块将根据用户设置返回一个虚假电话号码。

5) 隐私数据存储模块将得到的电话号码返回给强制隐私控制模块。

6) 最后，强制隐私控制模块将最终的电话号码信息返回给应用程序。

2 隐私保护模块的实现本文所实现的原型系统基于Android2.3.3操作系统，它主要保护以下几种用户隐私信息，用户账户、用户位置、用户电话、联系人、日历、短信/彩信、电话记录、浏览器、系统日志信息等。此原型系统具有良好

的可扩展性，可以扩展添加对其他用户隐私信息的保护。此原型系统增加的隐私保护模块主要由隐私数据存储模块、隐私设置管理模块和强制隐私控制模块三个子模块组成。

2.1 隐私设置管理模块隐私设置管理模块是一个Android系统级应用程序，用户通过隐私设置管理模块查询和修改应用程序的隐私设置信息。

隐私设置管理模块主要由两部分组成，如图2所示。第一部分是应用程序列表界面如图2左半部分，它负责向用户展示Android手机上的所有应用程序，用户可以通过应用程序列表界面查看用户对每个应用程序的隐私设置状态。当用户点击应用程序列表中的一个应用

程序时，隐私设置管理模块跳转到第二部分应用程序隐私设置界面，如图2右半部分所示。用户通过隐私设置界面可以查看应用程序所有隐私信息的设置情况，并可以修改应用程序的隐私设置。隐私设置信息有四种模式，分别是允许、随机、自定义和空。

图2 隐私设置管理模块界面隐私设置管理模块还提供了一些辅助功能使Android用户可以更方便地对应用程序进行隐私设置。隐私设置管理模块提供一个过滤器，用户可以通过过滤器过滤出需要查找的应用程序。隐私设置管理模块默认将没有网络连接权限的应用程序设定为隐私安全的应用程序，因此用户可以通过过滤器将这些应用程序过滤掉，使用户更方便地查找可能存在隐私威胁的应用程序。

2.2 隐私数据存储模块隐私数据存储模块包含一个本地的SQLite数据库，数据库中存储了目前不受用户信任的应用程序的隐私设置。隐私数据存储模块实现了数据库中隐私信息的增删查改等功能，并向上提供了一组接口。通过这些接口，强制隐私控制模块可以查询应用程序的隐私设置，

并通过查询结果给应用程序返回相应的信息。隐私设置管理模块同样是通过这些接口查询以及修改应用程序的隐私设置信息。

2.3 强制隐私控制模块强制隐私控制模块是本文隐私保护模块的核心，它可以阻止应用程序获得真实的用户隐私信息。此控制模