スライド 1

Transcription

1 Internet Week 2011 S10: スマートフォンセキュリティ Android: 設 計 上 の 技 術 的 な 問 題 点 Fourteenforty Research Institute, Inc. Fourteenforty Research Institute, Inc. 株 式 会 社 フォティーンフォティ 技 術 研 究 所 リサーチエンジニア 大 居 司 1

2 背 景 : Android と 脅 威 シェアとともに 増 大 するマルウェア 2010 年 には 前 年 の 4 倍 に 増 加 (1) 2010 年 8 月 : SMS マルウェアの 発 見 (FakePlayer.A) 2011 年 3 月 : 削 除 できない マルウェアの 発 見 (DroidDream) 脆 弱 性 と 脆 弱 性 攻 撃 2003~ : 脆 弱 性 攻 撃 を 防 止 する 実 装 の 登 場 (DEP, ASLR など) モバイルデバイスへの 攻 撃 2007~ : JailbreakMe (ios 用 の 攻 撃 コード) 2011 年 3 月 : DroidDream (2 個 の root 化 脆 弱 性 を 利 用 ) 対 抗 策 : アンチウイルスソフトウェアの 登 場 PC と 同 様 に 守 る 必 要 がある 端 末 に (1) 2

3 アジェンダ 低 レイヤーのセキュリティ カーネルレベルでの 保 護 機 構 Android アプリケーション レイヤーの 仕 組 み パッケージ / パーミッション インテント / アクティビティ / ブロードキャスト 脅 威 とそれへの 対 抗 策 マルウェアの 感 染 と 脅 威 root 化 の 問 題 ウイルス 対 策 ソフトとその 問 題 3

4 Linux カーネルのメモリ 保 護 機 構 と Android における 現 状 低 レイヤーのセキュリティ 4

5 低 レイヤーのセキュリティ 実 装 , ios DEP (スタック) (1) (1) DEP (その 他 ) (2) 対 応 : 2.0- ASLR (スタック) ASLR (ヒープ)? / (3) 対 応 : 4.3- ASLR (モジュール) / (3) 部 分 的 対 応 : 4.3- (4) 最 近 の 脆 弱 性 攻 撃 からの 防 御 には ASLR が 極 めて 重 要 (1) ネイティブアプリケーションの 場 合 ビルド 環 境 のコンパイラフラグに 依 存 する ここではデフォルト 設 定 の 場 合 を 示 す (2) 移 植 性 のある 方 法 でメモリ 確 保 をした 場 合 (3) 前 者 はリリースノートからの 推 測 / 後 者 は Android SDK 付 属 のエミュレータにおける 調 査 結 果 (4) アプリケーションが ASLR に 対 応 している 場 合 のみ 5

6 セキュリティ 機 能 : ASLR Target Target Target Target Target Target Target???? Memory 近 年 の 脆 弱 性 攻 撃 は 特 定 のアドレスを 狙 う メモリ 配 置 をランダムにして 攻 撃 の 成 功 確 率 を 下 げる カーネル 設 定 : ヒープ 以 外 すべてをランダム 化 (OK) 実 際 にはモジュール (ライブラリ) はランダム 化 されない 後 述 する Prelinking が 働 いているため 6

7 セキュリティ 上 の 懸 念 : Prelinking Module Module Module Memory Prelinking は ライブラリなどを (コンパイル 時 に 設 定 された) 固 定 のアドレスに 配 置 してしまう メモリ 削 減 起 動 高 速 化 のためだが ライブラリなどに 対 する ASLR の 事 実 上 の 無 効 化 return-into-libc や ROP などの 洗 練 された 特 定 アドレスを 狙 う 攻 撃 が 極 めて 容 易 になってしまう 本 来 Linux カーネルが 持 つセキュリティ 機 能 を 半 減 してしまう 7

8 ASLR in Android 4.0? 2011 年 10 月 末 現 在 Android 4.0 搭 載 の 端 末 は 未 出 荷 新 しい Android SDK に Android 4.0 Ice Cream Sandwich の エミュレータ 用 イメージが 追 加 Google は 4.0 において ASLR が 追 加 されることをアナウンスした (1) しかしながら 公 開 されているエミュレータイメージを 解 析 する 限 り 今 のところ ASLR は 有 効 化 されていない まともな ASLR が 実 装 されていることを 期 待 する! Internet Week 2011 までに 最 新 の 内 容 を 反 映 させる 予 定 (1) 8

9 まとめ Linux カーネルが 持 つセキュリティ 機 能 は 最 新 の Android においても 十 分 に 機 能 しているとはいえない ネイティブコード 部 分 が 狙 われた 場 合 高 い 確 率 で 攻 撃 に 成 功 してしまう 危 険 性 がある Android 独 自 のメモリ 削 減 の 仕 組 みは メモリ 保 護 の 仕 組 みを 大 幅 に 弱 体 化 させる モバイル CPU の 性 能 向 上 によって 改 善 していく 余 地 がある 改 善 していく 余 地 はあった! (Android 4.0) 9

10 Android 独 自 の 機 構 はどのように 動 作 するか アプリケーションレイヤー 独 自 の 仕 組 み 10

11 Android アプリケーションの 仕 組 みとは? 一 般 の OS におけるアプリケーションの 位 置 づけとは 全 く 異 なる インテントを 利 用 したアプリケーション (アプリ) 同 士 の 連 携 が 可 能 Android セキュリティを 知 るには これら 独 自 の 仕 組 みをある 程 度 理 解 しておく 必 要 がある パッケージとマニフェスト パーミッション インテント 機 構 アクティビティ (Activity) ブロードキャスト (Broadcast)... 11

12 Android : アプリの 仕 組 み Android System Install Package.apk AndroidManifest.xml Invoke Application Activity Callback on Event Broadcast Receiver アプリは パッケージ に 格 納 される パッケージ 内 のクラスが どのように 呼 び 出 されるべきか を あらかじめ 登 録 しておき 一 定 のルールでシステムから 呼 び 出 される アクティビティ (Activity) ブロードキャスト (Broadcast)... 12

13 Android : パッケージ APK File (ZIP format) AndroidManifest.xml (Manifest) lib/armeabi/* (Native code) classes.dex (Program)... パッケージ 自 体 は 単 なる ZIP アーカイブ AndroidManifest.xml (マニフェスト) Android アプリの 情 報 や 権 限 クラスがどのように 呼 び 出 されるか (Activity, BroadcastReceiver...) インストール 後 には 変 更 できない ただしパッケージのアップデートで 変 更 可 能 13

14 Android : パッケージ/パーミッション The Internet Permission: INTERNET App1 App2 アプリの 動 作 に 必 要 な 権 限 をまとめたもの INTERNET (インターネット 接 続 ), READ_PHONE_STATE ( 電 話 番 号 な どの 読 み 取 り) など 100 個 以 上 が 存 在 する 必 要 なパーミッションがない 操 作 は 拒 否 される 逆 に 言 えばパーミッションさえあれば ほとんど 何 でもできる 14

15 Android : インテント (アプリの 選 択 ) メモ アプリ startactivity メール アプリ Twitter 投 稿 Twitter アプリ インテントと 複 数 のアクティビティによる アプリ 連 携 の 例 インテントと 呼 ばれる 機 構 を 用 いてアプリ 間 での 連 携 を 行 う 操 作 内 容 対 象 を 含 んだメッセージを 送 受 信 インテント 機 構 は 様 々な 用 途 に 用 いられ 極 めて 重 要 な 位 置 を 占 める アプリの 相 互 呼 び 出 し システムイベントの 通 知 受 信 15

16 Android : インテント (アクティビティ) (アプリの 選 択 ) メモ アプリ startactivity メール アプリ Twitter 投 稿 Twitter アプリ インテントと 複 数 のアクティビティによる アプリ 連 携 の 例 アクティビティ (Activity) は 何 かを 操 作 するための UI の 単 位 ここでは メモを 作 成 する Twitter に 投 稿 する ための インタフェースがアクティビティに 相 当 する 行 う 操 作 と 対 象 をマニフェストに 記 述 しておけば 自 動 的 にアプリ 同 士 の 連 携 を 取 ることができる ( 後 述 の インテント フィルタ による) 16

17 Android : インテント (ブロードキャスト) Receiver システム sendbroadcast Receiver... 警 告 を 表 示 インテントとブロードキャストによる アプリ (バッテリー 情 報 の 通 知 ) の 例 Receiver... ブロードキャスト (Broadcast) は システムやアプリが 発 生 させたイベントを 受 信 するための 仕 組 み 登 録 された ( 原 則 として) すべての ブロードキャスト レシーバ (BroadcastReceiver) が 起 動 され そこでイベントが 処 理 される 17

18 Android : インテント フィルタ Activity A MIME タイプ : text/plain アクション : 送 る Activity B プロトコル : http ホスト : mypict.com アクション : 閲 覧 する Broadcast Receiver アクション : バッテリー 不 足 例 : テキストをアップロードするアプリ 例 : 特 定 サイト 閲 覧 専 用 アプリ 例 : バッテリー 関 連 サービス Windows に 例 えると 関 連 付 けの 仕 組 みに 近 い アクション ( 何 をする/ 受 け 取 るか), カテゴリ (どう 実 行 するか) ファイルの 種 類 (MIME タイプ), 場 所, プロトコル マニフェスト (AndroidManifest.xml) に 記 述 しておく システムがすべてのインテント フィルタを 管 理 する 18

19 まとめ : 解 説 した 項 目 Android アプリ パッケージ / マニフェスト パーミッション インテントを 使 う Android 独 自 の 方 式 アクティビティ (Activity) ブロードキャスト (Broadcast) 順 序 付 きのもの 順 序 付 きでないもの インテントを 補 助 するインテント フィルタ その 自 由 度 と 優 先 度 の 仕 組 み 19

20 Android マルウェアや 保 護 の 現 状 と 問 題 脅 威 の 現 状 対 抗 策 の 限 界 20

21 Android セキュリティと 脅 威 の 現 状 既 に 多 数 のマルウェアと 幾 つかのウイルス 対 策 ソフトが 存 在 マルウェアの 現 状 や 脅 威 はどのようなものか ウイルス 対 策 ソフトで 守 れるのか マルウェア 現 在 のトレンドと 動 作 の 特 徴 ウイルス 対 策 ソフトとその 動 作 権 限 不 足 という 致 命 的 な 問 題 root 化 の 問 題 Android セキュリティとの 関 連 性 対 抗 策 と それでも 解 決 しない 問 題 21

22 Android マルウェアの 歴 史 : 2009 年 1 月 13 日 に 発 見 (McAfee) CallAccepter, Radiocutter, SilentMutter root 化 された Android 1.0 が 対 象 端 末 に 対 して DoS 攻 撃 を 引 き 起 こすのみ 10 月 26 日 にリリース ( 公 式 情 報 による) : Mobile Spy 有 償 のスパイウェア (SMS, GPS, 通 話 記 録 を 監 視 する) 日 本 で 問 題 になった カレログ と 様 々な 点 で 類 似 している これらは 主 流 のサイバー 犯 罪 との 関 連 性 は 薄 く 以 降 のマルウェアとは 性 質 が 明 らかに 異 なる 22

23 Android マルウェアの 歴 史 : 2010 年 8 月 10 日 発 見 (Symantec) : FakePlayer.A 最 初 の 本 格 的 な Android マルウェア ロシアのウェブサイトにおいて 動 画 プレイヤーと 偽 って 頒 布 されていたもの プレミアム SMS を 送 信 し 直 接 的 に 利 益 を 生 もうとする 現 代 のサイバー 犯 罪 と Android の 合 流 これ 以 降 急 速 にマルウェアの 手 口 が 明 らかに 悪 質 化 23

24 Android マルウェアの 歴 史 : 2011 年 1 月 : 再 パッケージされた Android アプリ 既 存 のアプリケーションにマルウェアの 機 能 を 追 加 し 再 び Android パッケージの 形 態 に 戻 して 頒 布 する 3 月 : root 化 を 悪 用 する Android マルウェア システム 領 域 に 入 り 込 み 削 除 を 不 可 能 にする 6 月 : 外 部 からコードをダウンロードする Android マルウェア DexClassLoader を 利 用 したコードの 動 的 実 行 7 月,10 月 : アプリのアップデート 機 構 を 悪 用 するマルウェア 最 初 にダウンロードするアプリケーションには 悪 性 コードが 含 まれていないものの アップデート 後 にそれらの 機 能 が 追 加 される 24

25 マルウェア : 特 徴 主 なマルウェアは 次 のいずれかに 分 類 できる スパイウェア バックドア プレミアムサービスを 悪 用 するマルウェア ( 後 述 ) 中 国 やロシアを 示 すマルウェアが 多 い 特 定 の 国 を 示 す APN や 電 話 番 号 アプリケーション 中 に 含 まれる 文 字 列 ただし これらの 国 でしか 動 作 しないマルウェアも 外 部 への / 外 部 からの 情 報 のやりとり HTTP SMS 25

26 マルウェア : 特 徴 (プレミアムサービス) 有 料 の SMS や 電 話 サービス 日 本 の 場 合 : ダイヤル Q2 有 料 サービスに 国 境 はない (ただし 日 本 においてはプレミアム SMS は 使 用 できない) プレミアムサービスの 悪 用 : ダイアラー (dialer) プレミアムサービスに 意 図 的 に 接 続 することで 攻 撃 者 が ( 直 接 ) 利 益 を 得 る 日 本 では 下 火 となっていた Android スマートフォンは 電 話 回 線 とつながっている! 26

27 マルウェア : Android 独 自 の 仕 組 みの 悪 用 高 優 先 度 低 P=999 P=0 P=-100 Receiver Receiver Receiver 順 序 なし ( 通 常 ) SMS を 隠 すために 処 理 を 中 断 する P=999 P=0 P=-100 Malware SMS App... 順 序 あり (SMS の 場 合 ) abortbroadcast 標 準 の SMS アプリからは 受 信 した SMS が 見 えない インテントフィルタに 優 先 度 と 呼 ばれる 値 を 設 定 できる 高 い 優 先 度 のクラスは 優 先 して 呼 び 出 される 一 部 のブロードキャスト (SMS 受 信 など) は 優 先 度 順 に 処 理 される さらに abortbroadcast という 操 作 で 処 理 を 中 断 できる 受 信 した SMS を 隠 すマルウェア (14/44 検 体 ) 27

28 マルウェア : 進 化 の 現 状 本 格 的 な 難 読 化 が 施 されている Android マルウェアは 現 在 のところ 確 認 されていない 現 状 のマルウェアはそれほど 洗 練 されていない ( 比 較 的 解 析 が 容 易 ) ただし 技 術 的 には 急 激 に 進 歩 しつつある DroidDream root 化 を 行 った 上 で 定 期 的 にパッケージ (APK ファイル) を ダウンロード 自 動 でインストールする Plankton 外 部 から DEX ファイル (Dalvik バイトコード) をダウンロードし クラスローダーという Java の 仕 組 みを 悪 用 して 動 的 に 実 行 する root 化 を 利 用 するマルウェアをはじめ 洗 練 されたマルウェアが 問 題 になっていくと 思 われる 28

29 ウイルス 対 策 ソフト : 現 状 SD カードの 挿 入 一 部 のファイルを 開 く Anti-Virus SMS の 受 信 パッケージの インストール 端 末 の 起 動... 大 量 のインテントフィルタやブロードキャストの 利 用 部 分 的 なリアルタイム 保 護 ダウンロードしたファイルやアプリのスキャン SMS や E-メールのスキャン 29

30 ウイルス 対 策 ソフト : 現 状 と 問 題 App1 App2 Anti-Virus System Anti-Virus Driver Android 用 のウイルス 対 策 ソフトは ユーザー 権 限 で 動 いている PC 向 けであればシステム 権 限 でドライバを 動 作 させ システムすべてを 監 視 することができる 30

31 ウイルス 対 策 ソフト : 現 状 と 問 題 App1 App2 Anti-Virus System Anti-Virus Driver Android というサンドボックス プロセス 間 の 不 正 な 干 渉 を 阻 止 する しかし アンチウイルスソフトウェアによる 正 当 な 干 渉 までサンドボックスに 阻 止 されてしまう もちろん ドライバはインストールできない 31

32 ウイルス 対 策 ソフト : 現 時 点 の 限 界 動 的 なヒューリスティック 検 出 は 難 しく 部 分 的 シグニチャに 頼 る 必 要 がある 保 護 できるのは 限 定 的 である ただしここまでなら 既 存 のマルウェアを 検 出 し 削 除 を 促 すことまでは 可 能 である 現 在 それ 以 上 の 脅 威 が 存 在 する 管 理 者 権 限 の 奪 取 = root 化 32

33 root 化 本 来 許 可 されていない 端 末 の 管 理 者 権 限 を 得 る 行 為 特 にここでは 端 末 のローカル 脆 弱 性 を 突 くもの root 化 に 使 用 される (Android 全 般 の) 脆 弱 性 CVE (exploid) [CVE 番 号 なし] (rage against the cage) CVE (psneuter) CVE (Gingerbreak) [CVE 番 号 なし] (zergrush) ベンダーやチップ 固 有 の 脆 弱 性 も 複 数 存 在 する 33

34 root 化 : 問 題 マルウェアもほぼ 同 じ 脆 弱 性 を 突 くことができてしまう マルウェアがウイルス 対 策 ソフトより はるかに 高 い 権 限 を 獲 得 することが 可 能 になる ウイルス 対 策 ソフトから 逃 れることができる また root 化 によって Android が 持 つ 保 護 の 仕 組 みが 破 れてしまう アクティビティに 対 応 するインテント フィルタの 優 先 度 パーミッションの 仕 組 みの 保 護 これらがマルウェアによって 実 行 されると ウイルス 対 策 ソフトが 対 抗 できなくなってしまう 可 能 性 がある 34

35 破 れる 保 護 : パーミッション (1) INSTALL_PACKAGES permission User App INSTALL_PACKAGES System App INSTALL_PACKAGES システムの 重 要 なパーミッションの 一 部 は パーミッションが 定 義 されていたとしても 使 用 できない 危 険 なパーミッションには 保 護 が 成 されているのだが 35

36 破 れる 保 護 : パーミッション (2) INSTALL_PACKAGES permission UID=0 (root) INSTALL_PACKAGES User App System App root は すべてのパーミッションを 与 えられている パッケージのセキュリティチェックは 省 略 この 例 では サイレントインストールが 可 能 になってしまう GingerMaster が 間 接 的 に 使 用 する 36

37 root 化 の 悪 用 : 対 策 とその 限 界 (1) 脆 弱 性 を 積 極 的 に 発 見 除 去 する 当 たり 前 に 見 えるが しかし 脆 弱 性 が 発 見 されて 10 ヶ 月 以 上 経 過 してもそれが 修 正 されていない 機 種 が 存 在 する ( root を 制 限 する : Linux Security Modules (LSM) SHARP 製 Android 端 末 : Deckard / Miyabi LSM しかし これも 回 避 可 能 (Black Hat Abu Dhabi 2011 発 表 予 定 ) 正 当 なウイルス 対 策 ソフトの 権 限 を 引 き 上 げることが 必 要 Android の 真 の 設 計 上 の 問 題 は セキュリティ 設 計 が 破 れたときに 対 処 しようがないこと 37

38 まとめ Android 向 けのマルウェアもウイルス 対 策 ソフトも 初 期 と 比 べると 飛 躍 的 に 進 化 している しかし 現 状 ウイルス 対 策 ソフトは 低 い 権 限 で 動 作 しており 限 定 的 な 保 護 しかできていない root 化 は Android のセキュリティ 機 構 を 破 り ウイルス 対 策 ソフトが 手 出 しできないマルウェアを 可 能 にしてしまう 仮 にウイルス 対 策 ソフトがマルウェアを 発 見 できても それを 除 去 無 害 化 することができない 可 能 性 がある 対 処 には 権 限 面 での 見 直 しや Android 特 有 の 事 情 を 考 慮 した 新 しい 保 護 の 仕 組 みが 必 要 とされる 38

39 Android は 守 れる か? 総 括 39

40 Android は 守 られているか? (1) 脆 弱 性 攻 撃 Android は WebKit など 多 数 のネイティブライブラリに 依 存 しており ネイティブコード 部 分 は 従 来 と 同 様 に 攻 撃 可 能 である 本 来 Android が 基 盤 とする Linux カーネルの 保 護 機 能 は 様 々な 理 由 によって 効 果 が 半 減 している フレームワークビルド 時 のミス (DEP) メモリ 削 減 のための 機 能 (Prelinking) よって 脆 弱 性 が 存 在 した 場 合 それを 攻 撃 するのは 現 状 それほど 難 しくない ただし Android 4.0 で 状 況 が 変 わるかもしれない 40

41 Android は 守 られているか? (2) マルウェア / ウイルス 対 策 ソフト マルウェア (トロイの 木 馬 ) はインストールされると Android 仕 組 みを 用 いてスパイウェア バックドア あるいはダイアラーなどとして 動 作 する root 化 は ウイルス 対 策 ソフトを 役 立 たずにすることができる 現 状 Android 端 末 を 十 分 に 守 りきることはかなり 難 しい 41

42 結 論 現 状 Android の 保 護 は 十 分 でなく また 脅 威 も 氾 濫 しているが 解 決 が 不 可 能 な 問 題 ではない ただし 利 用 者 は 当 面 注 意 を 必 要 とする ある 意 味 では 割 り 切 ること も 必 要 かもしれない Android プロジェクト 端 末 メーカー セキュリティベンダーなどが 協 力 して Android のセキュリティを 高 めることに 注 力 すべき 42

43 ありがとうございました Fourteenforty Research Institute, Inc. 株 式 会 社 フォティーンフォティ 技 術 研 究 所 リサーチエンジニア 大 居 司 43