首页/论文/1601.03027

arXiv 1601.030272016-01-12cs.CRcs.OS

开放Mobile API：在Android设备上安装UICC

Open Mobile API: Accessing the UICC on Android Devices

Michael Roland, Michael Hölzl

备注：: University of Applied Sciences Upper Austria, JR-Center u'smile, Technical report, 76 pages, 12 figures

阅读 PDF ↗

arXiv 页面 ↗HTML 原文 ↗

摘要英文摘要相关论文

摘要：

本报告概述了Android设备中的安全元素集成。它侧重于开放移动API作为一个开放的接口，从Android应用程序访问安全元素。开放移动API的整体架构进行了描述和当前的Android设备进行了分析，关于此API的可用性。此外，本报告总结了我们的努力逆向工程的股票ROM的三星Galaxy S3，以分析集成的开放移动API和接口，用于执行基于APDU的通信与UICC（通用集成电路卡）。它进一步详细解释了如何将此功能集成到CyanogenMod（Android设备的售后固件）中。

英文摘要：

This report gives an overview of secure element integration into Android devices. It focuses on the Open Mobile API as an open interface to access secure elements from Android applications. The overall architecture of the Open Mobile API is described and current Android devices are analyzed with regard to the availability of this API. Moreover, this report summarizes our efforts of reverse engineering the stock ROM of a Samsung Galaxy S3 in order to analyze the integration of the Open Mobile API and the interface that is used to perform APDU-based communication with the UICC (Universal Integrated Circuit Card). It further provides a detailed explanation on how to integrate this functionality into CyanogenMod (an after-market firmware for Android devices).

机构、总结、中文摘要均由AI分析而来，可能存在错误，请以论文正文为准。

阅读原文

阅读 PDF ↗

arXiv 页面 ↗HTML 原文 ↗

本文内容

摘要英文摘要相关论文

机构、总结、中文摘要均由AI分析而来，可能存在错误，请以论文正文为准。

继续探索

相关论文

移动应用与网页浏览器：针对安卓应用与谷歌浏览器的用户感知研究

Mobile Apps vs. Web Browsers: A User Perception Study with Android Apps and Google Chrome

Ariel University（阿里埃勒大学）

该研究针对安卓智能手机用户，结合实验与调查，探究用户在安全、隐私、可用性方面对移动应用与网页浏览器的感知，为开发者优化两类平台提供参考。

2026-08-17cs.CR

在基于Android的混合应用中利用ML算法有效检测和预防JavaScript-XSS攻击

Exploiting ML algorithms for Efficient Detection and Prevention of JavaScript-XSS Attacks in Android Based Hybrid Applications

多年来，移动应用程序的安全性开发和分析已成为一个活跃的研究领域，因为许多应用程序容易受到不同的攻击。特别是在过去三年中出现了混合应用程序的概念，其中应用程序以本地语言和Web语言开发，因为Web语言的使用在混合移动应用程序中增加了某些安全风险，因为它创建了可能的渠道，恶意代码可以被注入应用程序中。WebView是混合移动应用程序中的重要组件，用于实现沙箱机制，以保护智能手机设备的本地资源免受未经授权的JavaScript访问。然而，WebView应用程序编程接口（API）也存在安全问题。例如，攻击者可以通过访问应用程序的公共方法绕过沙箱安全性来经由JavaScript代码攻击混合应用程序。跨站脚本（XSS）是一种最流行的恶意代码注入技术，用于通过JavaScript访问应用程序的公共方法。这项研究提出了一个框架，在混合应用程序中使用最先进的机器学习（ML）算法检测和预防XSS攻击。攻击的检测已经通过利用注册的Java对象功能来执行。数据集和示例混合应用程序是使用android studio开发的。然后使用了目前广泛使用的工具RapidMiner进行实证分析。实验结果表明，基于集成的随机森林算法的性能优于其他算法，准确率和F-测度均高达99%。

2020-07-30cs.CRcs.SE

NatiDroid：跨语言Android权限规范

NatiDroid: Cross-Language Android Permission Specification

Android系统通过权限实施来管理对敏感API的访问。应用程序（app）必须在调用特定Android API之前声明适当的权限。但是，到目前为止，还没有官方文档提供受权限保护的API的完整列表和相应的权限。研究人员花费了大量精力从Android API框架中提取此类API保护映射，该框架利用静态代码分析来确定在访问API之前是否需要特定权限。然而，他们中没有一个试图分析本机库中的保护映射（即，用C和C++编写的代码），这是Android框架的一个重要组件，负责处理与较低级别硬件（如摄像头和传感器）的通信。虽然保护映射可用于检测Android应用程序中的各种安全漏洞，例如权限过度特权和组件劫持，但不精确的映射将导致检测此类安全漏洞的错误结果。为了填补这一空白，我们开发了一个原型系统，名为NatiDroid，以促进跨语言的静态分析基准对两个国家的最先进的工具，称为Axplorer和Arcade。我们在超过11，000个Android应用程序上评估NatiDroid，包括来自自定义Android ROM的系统应用程序和来自Google Play的第三方应用程序。我们的NatiDroid可以识别多达464个新的API权限映射，与Axplorer和Arcade的最坏情况结果形成鲜明对比，其中大约71%的应用程序在权限过度特权方面至少有一个误报，高达3.6%的应用程序在组件劫持方面至少有一个…

2021-11-16cs.CR

Android恶意应用检测分类器的研究

An investigation of the classifiers to detect android malicious apps

Birla Institute of Technology and Science（贝拉理工学院）

Android设备呈指数级增长，并通过互联网连接到数十亿个在线网站。这些设备的流行鼓励恶意软件开发人员利用恶意应用程序渗透市场，以骚扰和破坏受害者。虽然，对于恶意应用程序的检测，讨论了不同的方法。然而，所提出的方法不足以检测高级恶意软件以限制/防止损害。在这方面，很少有方法是基于操作码发生来分类恶意应用程序。因此，本文研究了五个分类器使用操作码的出现作为检测恶意应用程序的突出特征。对于分析，我们使用WEKA工具，发现FT检测准确率（79.27%）是最好的调查分类器。然而，真阳性率，即恶意软件检测率是最高的（99.91%）RF和波动最小的突出特征的不同数量相比，其他研究的分类。分析表明，总体准确率主要受分类器的误报影响。

2018-02-23cs.AIcs.CR

一种提高Android恶意应用检测准确性的分组分类方法

Group-wise classification approach to improve Android malicious apps detection accuracy

Birla Institute of Technology and Science, Pilani（博拉理工学院皮拉尼校区）

在快速增长的智能设备中，Android是最受欢迎的操作系统，由于其吸引人的功能，移动性，易用性，这些设备保存了敏感信息，如个人数据，浏览历史，购物历史，财务细节等，因此，这些设备中的任何安全漏洞都意味着存储或访问智能设备的信息都有被恶意软件破坏的高风险。这些恶意软件不断增长，也用于军事间谍活动，破坏工业，电网等，以检测这些恶意软件，传统的签名匹配技术被广泛使用。然而，这种策略无法检测到先进的Android恶意应用程序，因为恶意软件开发人员使用了几种混淆技术。因此，研究人员正在不断解决基于Android的智能设备中的安全问题。因此，在本文中，我们使用Drebin基准恶意软件数据集，实验演示了如何通过分析应用程序后，根据权限对收集的数据进行分组，提高检测准确率，并实现了97.15%的整体平均准确率。我们的结果优于未分组数据（79.27%，2017）、Arp等人（94%，2014）、Annamalai等人（84.29%，2016）、Bahman Rashidi等人（82%，2017）和Ali Feizollah等人（95.5%，2017）获得的准确性。分析还表明，在这些组中，麦克风组检测准确率最低，而日历组应用检测准确率最高，准确率最高，为了获得最佳性能，应该采用80-100个特征。

2019-04-03cs.CRcs.LG

针对移动设备上隐蔽信道与应用画像的传感器复用侧信道分析

A Side-channel Analysis of Sensor Multiplexing for Covert Channels and Application Profiling on Mobile Devices

本研究发现Android传感器复用设计存在侧信道漏洞，无特权恶意应用可通过频率键移构建隐蔽信道绕过安全机制，还能粗粒度画像其他活跃的传感器启用应用，揭示了其传感器协议栈的设计安全隐患。

2023-10-09cs.CR

更多相关论文收起更多论文

OmniShare：从多个授权设备安全加密云存储

OmniShare: Securely Accessing Encrypted Cloud Storage from Multiple Authorized Devices

Dropbox和Google Drive等云存储服务被个人和企业广泛使用。这些服务的两个吸引人的特征是1）多个客户端设备之间的文件的自动同步和2）与其他用户共享文件的可能性。然而，云数据的隐私是个人和企业日益关注的问题。在上传数据之前在客户端加密数据是一种有效的隐私保护措施，但它要求所有客户端设备都具有解密密钥。目前的解决方案仅从用户选择的密码中获得这些密钥，这些密码具有低熵并且容易被猜测。我们提出了OmniShare，第一个允许客户端加密高熵密钥的方案，同时提供了一个直观的密钥分发机制，使从多个客户端设备访问。我们使用低带宽单向带外（OOB）通道（如QR码）来验证新设备，而不是使用密码。为了补充这些OOB通道，云存储本身被用作我们协议中设备之间的通信通道。我们依靠基于目录的密钥层次结构和单独的文件密钥来限制密钥泄露的后果，并允许在不需要重新加密的情况下有效地共享文件。OmniShare是一款开源软件，目前可用于Android和Windows以及其他正在开发的平台。我们描述了OmniShare的设计和实现，并解释了我们如何使用正式的方法来评估其安全性，通过真实世界的基准测试其性能，以及通过认知演练其可用性。

2016-12-29cs.CR

非授权移动设备上的客户端Web代理检测

Client-Side Web Proxy Detection from Unprivileged Mobile Devices

通过蜂窝网络连接到互联网的移动设备正在迅速成为访问Web内容的主要媒介。蜂窝服务提供商（CSP）通常出于安全、性能优化和流量工程的原因部署Web代理和其他中间设备。然而，这些Web代理的流行程度和策略通常对用户不透明，并且在没有对设备和服务器的特权访问的情况下难以测量。在本文中，我们提出了一种方法来检测Web代理的存在，而不需要访问设备上的低级别数据包跟踪，也不访问正在联系的服务器。我们证明了这种技术的可行性，使用控制实验，并提出了我们的方法在几个生产网络和流行的网站上运行的结果。接下来，我们描述这些Web代理的行为，包括缓存、重定向和内容重写。我们的分析可以确定Web代理如何影响网络性能，并为未来的部署提供信息。最后，我们在Google Play商店上发布了一个名为Proxy Detector的Android应用程序，允许使用非特权（非root）设备的普通用户了解Web代理部署并为我们的IRB批准的研究做出贡献。我们报告了来自美国，加拿大，奥地利和中国的11家流行运营商使用此应用程序的结果。

2015-11-14cs.CRcs.NI

基于块的移动PDE系统不安全--实验攻击

The Block-based Mobile PDE Systems Are Not Secure -- Experimental Attacks

如今，移动设备已被广泛用于存储和处理敏感数据。为了确保敏感数据的机密性，主流移动操作系统（如Android和iOS）中通常集成了全磁盘加密（FDE）。然而，FDE不能防御强制攻击，其中对手可以迫使设备所有者公开解密密钥。为了对抗强制性攻击，合理可否认加密（PDE）被用来合理地否认敏感数据的存在。然而，大多数现有的用于移动设备的PDE系统被部署在块层并且遭受可否认性妥协。已经观察到，在文献中没有现有的作品已经实验证明了上述妥协，我们的工作通过实验确认块层移动PDE系统的可否认性妥协，从而弥合了这一差距。我们已经建立了一个移动终端测试床，它由一个主机计算设备和闪存设备。此外，我们还在测试平台的块层部署了隐藏卷PDE和隐写文件系统，并执行了磁盘取证，以评估原始NAND闪存上的潜在危害。我们的实验结果证实，在实践中，对手确实有可能通过访问原始NAND闪存来破坏块层PDE系统。我们还讨论了在现实世界中执行此类攻击时可能出现的问题。

2022-03-31cs.CR

Eye-Shield：实时保护移动设备屏幕信息免受肩窥攻击

Eye-Shield: Real-Time Protection of Mobile Device Screen Information from Shoulder Surfing

本文提出Eye-Shield系统，通过生成近距离可读、远距离模糊的屏幕图像，实时防御肩窥攻击，在Android和iOS上以24/43 FPS运行并将图像与文本识别率降至24.24%和15.91%，且对用户干扰小。

2023-08-07cs.CRcs.HC