[发明专利]Android平台OAuth协议误用安全检测方法

说明书

技术领域

本发明涉及的是一种移动通信领域的技术，具体是一种对Android应用使用静态代码分析和动态流量分析的方案，对Android应用中的开放认证(OAuth，Open the Authentication)协议实现进行安全检测。

背景技术

OAuth协议是当前移动平台应用最广泛的第三方认证和授权协议，Android应用中的OAuth实现普遍存在安全问题，给用户的隐私数据带来大量安全威胁。

已有的OAuth协议安全分析技术，使用的方案主要包括对Web平台OAuth协议实现的分析和对移动平台特定OAuth协议误用类型的分析两类。

移动应用中的OAuth协议实现存在很高的安全风险，OAuth协议中涉及能够访问大量用户隐私数据(身份信息、通讯方式、照片)或登录用户应用账号的授权凭据，各移动智能平台上均存在窃取此类安全敏感信息的恶意软件。同时，由于移动平台与Web平台的差异性，原本针对Web平台设计的OAuth协议在移动平台实现十分复杂，移动应用开发者容易对协议的安全要求产生误解，给OAuth协议的实现带来安全威胁。

已有的OAuth协议安全分析技术，使用的方案主要包括对Web平台OAuth协议实现的分析和对移动平台特定OAuth协议误用类型的分析两类。其中，对Web平台的OAuth误用检测比较成熟的技术是美国弗吉尼亚大学Yuchen Zhou等人提出的SSOScan技术，能够自动化检测Facebook SSO API的应用中存在的漏洞。这种技术是针对Web平台的，忽视了移动平台的OAuth实现，同时，这种技术主要检测授权阶段的OAuth误用情况，而没有覆盖整个OAuth协议流程。现有的移动平台OAuth协议误用检测主要是对特定误用类型进行检测，比如Facebook支持不正确的用户代理实现导致恶意应用可以窃取用户的登录凭据(用户名、密码)，新浪微博在本地存储授权凭据导致攻击者可以未经授权获取用户受保护资源(身份信息、通讯方式)等。对这类特定误用类型的安全分析主要依赖于对Android应用中特定组件的识别或者对网络流量中特定参数的识别，以判断潜在的安全威胁。这些已有的安全检测方案不能覆盖OAuth协议完整的生命周期，缺乏系统化的分析框架，难以全面的评估OAuth协议实现潜在的安全威胁。

发明内容

本发明针对现有技术存在的上述不足，提出一种Android平台OAuth协议误用安全检测方法，实现评估Android应用中潜在的OAuth协议错误实现及可能带来的安全威胁。。

本发明是通过以下技术方案实现的：

本发明涉及一种Android平台OAuth协议误用安全检测方法，包括以下步骤：

步骤1、根据Android平台特性建立覆盖OAuth协议生命周期的安全模型；

所述的安全模型包括：攻击假设、攻击者类型、威胁模型，其中：

所述的攻击者类型包括：

1)网络攻击者：能够完全控制Android手机客户端和消费者服务器、Android手机客户端和服务厂商服务器之间的网络，它能够窃听并修改通信方之间传输的流量。但是消费者服务器与服务厂商服务器之间的通信它不能窃听。

2)恶意第三方app：能够让用户误认为它是真实消费者app(比如重打包的消费者app)，能注册与消费者app相似的intent filter来获取服务厂商发送过来的access token等敏感信息。同时能够在它的权限之内读取本地的文件系统。

3)恶意消费者app：由于任意在服务厂商注册的应用都可以使用服务厂商的OAuth服务，我们默认所有的消费者app都是不可信的，OAuth设计的初衷也是不向消费者提供用户登录凭据。消费者app能够完全控制它的WebView，利用WebView来窃取敏感信息或修改授权页面欺骗用户授权等。

4)逆向攻击者：能够逆向app获取存储在app中的字符串如app secret等敏感信息。

5)恶意服务厂商app：服务厂商app充当用户代理时，负责接收和转发OAuth流程中的各种信息，包括用户名，密码，认证码，资源访问令牌等。恶意服务厂商app通常是来自不受信应用市场上的重打包app。

所述的威胁模型包括：

a、登录阶段：恶意消费者app获取用户登录凭据、恶意服务厂商app获取用户登录凭据、网络攻击者窃听用户登录凭据或其组合。