移动系统的安全: 攻击和防御 杜文亮 教授 Dept. of Elec. Eng. & Comp. Sci. Syracuse University (雪城大学)
Overview 从系统角度研究移动安全(Android) 计算机安全教育的研究 Google Research Award 2012 2个NSF grants (100万美金）: 2010 -- 2016 计算机安全教育的研究 3个NSF grants (150万美金）: 2002 -- 2018
从系统角度研究移动安全 对Android系统的各个Component的设计进行深入的研究，寻找可能的攻击和Fundamental问题。 WebView 和 基于HTML5的app (例如PhoneGap apps) Intent （app之间的通信机制） 对Android系统Access Control的设计上进行改进和创新。
WebView 简介 Application Java code JavaScript code WebView
Trusted Computing Base (TCB) Two assumptions underlying Browser Security Trust on browser: Users must trust the browser they use Browser’s sandbox: protect the user’s computer from untrusted contents inside the browser WebView的设计打破了这两个假设，一定有后果。
基于 HTML5 的 app 系统资源 HTML5 Page PhoneGap Framework HTML5 CSS JavaScript Your code Library 系统资源 HTML5 Page HTML5 CSS JavaScript PhoneGap Framework Written in native language (e.g. Java, Object C, etc.) WebView
扫还是不扫？ 用 Native app? 用 HTML5-based app (例如PhoneGap apps)
攻击原理 WebView Display APIs (e.g html()) Render JavaScript Engine Engine Payload Display APIs (e.g html()) Render Engine JavaScript Engine
针对HTML5-based Apps的攻击
Access Control in Android 安装 运行 只能使用 A B C 申明需要 A B C 用户 研究方向 研究方向
改变权限 应用程序 权限 App 开发的代码 第三方 Library 代码 (例如 Facebook APIs) 广告代码 INTERNET, CAMERA, GPS, SMS App 开发的代码 第三方 Library 代码 (例如 Facebook APIs) INTERNET, GPS 广告代码 INTERNET
改变结果 GPS 都需要GPS权限 Generalization 准确：39.980594, 116.335784 应用程序 准确：39.980594, 116.335784 GPS 扩大范围：39.90, 116.30 都需要GPS权限 应用程序 随机：10.90, 129.20 Generalization 应用程序
Location
改变程序 应用程序 安装 程序改写 (code rewriting) 运行
I hear and I forget. I see and I remember. I do and I understand. 计算机安全教育 I hear and I forget. I see and I remember. I do and I understand.
SEED Labs: 30 个动手试验 $0: 试验环境（open-source），教材（free） 12 年：2002 开始 150 万美金：美国自然科学基金会 30个国家 250 所高校 （中国只有7所） 200 页的试验教材，350 页的教师手册
SEED Labs 的使用
举办Workshops 目的：对高校教计算机安全的老师进行免费集中陪训，以提高学生的Learning。 美国 ($820,000, NSF) 印度 (正在准备） 中国 (寻找合作伙伴）
Questions ? Contact: wedu@syr.edu http://www.cis.syr.edu/~wedu