ПРИНЦИПИ ЗАБЕЗПЕЧЕННЯ БЕЗПЕКИ АРХІТЕКТУРИ ІНФОРМАЦІЙНОЇ СИСТЕМИ НА БАЗІ КЛІЄНТСЬКИХ ДОДАТКІВ ДЛЯ ОС ANDROID

In this article common attack vectors on the information systems, which are based on the Android client applications, are observed, analyzed and compared. The purpose of this analysis consists in creating the theoretical base for development the practical principles of securing the architecture level of such systems. To accomplish the aims set, there was conducted the categorization of attacks and vulnerabilities specific to the Android information infrastructure and environment. There were also conducted analysis of Android application functional components and typical underlying infrastructure which have possible impact on a system security. Available data about the widespread vulnerabilities of the described elements was analyzed in context of possible exploitation. Based on the Android application usage model there were figured out several adversary models and attack vectors related to the researched information system type. Developed adversary models were formed with a focus on technical possibilities and threat abstraction. Mentioned vectors can be used by an attacker to violate the confidentiality and integrity of critical information in the system. The carried out research was used to form the characteristic comparison of the mentioned vectors and adversary models to evaluate the attack surface on the different parts of information system represented as attack vectors. As a result, we have developed the theoretical principles for securing the architecture of Android applications-driven information systems. Achieved results can be used to form the threat and adversary model, create practical recommendations for the information risk reducing practices in Android-applications driven information systems and to develop the technical requirements for security testing and development.У статті розглядаються, порівнюються та аналізуються основні вектори атак на інформаційні системи, що використовують додатки ОС Android в якості клієнтських інтерфейсів. Даний аналіз проводиться з метою отримання базового матеріалу для розробки практичних принципів забезпечення безпеки на рівні архітектури таких систем. Виконано категоріювання можливих атак та вразливостей, що полягають в їхній основі в контексті безпеки Android додатків та з урахуванням моделі безпеки самої операційної системи і середовища. Для виконання поставлених дослідницьких завдань було проведено аналіз компонентів Android-додатку та типової інформаційної інфраструктури досліджуваних систем. що так чи інакше впливають на їхню захищеність. Проведено аналіз наявної інформації щодо розповсюджених вразливостей цих компонентів та атак, що передбачають експлуатацію даних проблем. Досліджено декілька можливих моделей порушника, що можуть виконувати атаки на інформаційну систему. В результаті проведеного дослідження отримано аналітичні дані щодо векторів порушення цілісності та конфіденційності інформації з обмеженим доступом в інформаційних системах, що надають доступ до неї через мобільні додатки. В рамках порівняльної характеристики надається аналіз можливого впливу порушника на інформаційну систему зважаючи на його технічні можливості та поверхні атаки на кожному з визначених напрямків. Отримані теоретичні висновки щодо модифікації архітектури інформаційних систем, побудованих на базі мобільних додатків з метою підвищення їх захищеності від розповсюджених загроз інформації. Результати можуть бути використані для формування моделі загроз та порушника для додатку, що надає доступ до інформації з обмеженим доступом, розробки рекомендацій щодо реалізації тих чи інших етапів життєвого циклу інформаційної системи з метою зменшення ризиків компрометації даних, розробки технічних вимог до етапів тестування та розробки тощо

Advanced Security Analysis for Emergent Software Platforms

Emergent software ecosystems, boomed by the advent of smartphones and the Internet of Things (IoT) platforms, are perpetually sophisticated, deployed into highly dynamic environments, and facilitating interactions across heterogeneous domains. Accordingly, assessing the security thereof is a pressing need, yet requires high levels of scalability and reliability to handle the dynamism involved in such volatile ecosystems. This dissertation seeks to enhance conventional security detection methods to cope with the emergent features of contemporary software ecosystems. In particular, it analyzes the security of Android and IoT ecosystems by developing rigorous vulnerability detection methods. A critical aspect of this work is the focus on detecting vulnerable and unsafe interactions between applications that share common components and devices. Contributions of this work include novel insights and methods for: (1) detecting vulnerable interactions between Android applications that leverage dynamic loading features for concealing the interactions; (2) identifying unsafe interactions between smart home applications by considering physical and cyber channels; (3) detecting malicious IoT applications that are developed to target numerous IoT devices; (4) detecting insecure patterns of emergent security APIs that are reused from open-source software. In all of the four research thrusts, we present thorough security analysis and extensive evaluations based on real-world applications. Our results demonstrate that the proposed detection mechanisms can efficiently and effectively detect vulnerabilities in contemporary software platforms. Advisers: Hamid Bagheri and Qiben Ya