Android和iOS应用软件密码误用漏洞分析.pdfVIP

Android和ioS应用软件密码误用漏洞分析 邵 帅1 王眉林1 时志伟1 杨天长2 韩继登2 (1．中国信息安全测评中心，北京100085‘ 2．北京邮电大学，北京100876) 摘要：大量Android和i()S应用程序存在密码误用漏洞，但是目前针对密码误用 漏洞的研究较少，本文在已有研究的基础上，完善了密码误用漏洞模型，提出了 动静结合的密码误用漏洞分析方法，并且设计并实现了用于Andmid和iOS平台 的密码误用漏洞分析的原型工具，该工具首先通过静态分析得出应用软件调用 的密码相关函数集合和执行路径分支，然后通过动态分析记录密码相关函数的 运行时参数，最后分析动态分析生成的记录以判定该应用软件是否存在密码误 用漏洞。实验表明，工具对Android应用软件的密码误用分析效果较好，i()S应 用软件由于存在大量自定义函数，对分析工具提出了更高的要求。 关键词：Android；i0S；密码误用；漏洞分析 314 中图分类号：TP 文献标识号：A Misuse in CryptographicAnalysis AndroidandiOS Applications SHAoS^“nilWANGMFⅢ”1SHJZ^j训Pil 2 2 yA．NG丁施w^ⅡHgHA＼，．，id跏g Information Evaluation (1．China TechnologySecurity Center，Beijing100085，China； of and 100876，China) 2．BeijingUniversityp。sts telecommunications，Be巧ing sjzeab】e ofAndroidandj0S areaffected Al硌tI’act：A p。rtion appljcations bycryptographic on focusonSSI。or on In misuse．Butthestudies misuse based cryptographic empiricalstudy． this the misusemodeland a misusedetec— paper，weimprovecryptographic proposecryptographic tionmethodbasedonthecombinationofstaticand Wealso a dynamicanalysis． implementproto— beusedon Androidandi0S tool Misuse can both type Crypto Analyser(CMA)that platform． TheCMAcan static sothatthe functionsandthebranchesthat performanalysis