Study on Security Vulnerabilities of Implicit Intents in Android
Min Jae Jo, Ji Sun Shin · 정보보호학회논문지 · 2014
안드로이드는 어플리케이션간의 메시지 전달을 위해 인텐트 메커니즘을 지원한다. 인텐트는 어플리케이션간의 통신을 용이하게 하지만 사용에 따라서 보안상 취약점을 가질 수 있다. 특히, 암시적 인텐트는, 메시지를 전달 받을 컴포넌트를 명시하는 명시적 인텐트와 달리, 메시지를 전달 받는 컴포넌트를 지정하지 않기 때문에, 인텐트를 가로채는 인터셉트 공격이나 인텐트를 변조하는 공격에 취약할 수 있다. 본 논문에서는 암시적 인텐트의 취약점에 대하여 기존에 연구된 공격 방법들과 대응방안을 다시 살펴본다. 개발자 정의 액션을 사용한 인텐트를 이용하는 공격 방식이 많이 연구가 되어 있지만, 안드로이드 표준 액션을 사용한 인텐트을 이용한 공격은 아직 구체적으로 발견한 연구가 없다. 본 논문에서 안드로이드 표준 액션을 사용한 인텐트에 대한 새로운 공격을 소개하고, 이러한 공격으로부터 스마트폰을 보호하는 방법을 논의하고 제안한다. Android provides a message-passing mechanism called intent. While it helps easy developments of communications between intra and inter applications, it can be vulnerable to attacks. In particular, implicit intent, differing from explicit intent specifying a receiving component, does not specify a component that receives a message and insecure ways of using implicit intents may allow malicious applications to intercept or forge intents. In this paper, we focus on security vulnerabilities of implicit intent and review researched attacks and solutions. For the case of implicit intent using 'developer-created action', specific attacks and solutions have been published. However, for the case of implicit intent using 'Android standard action', no specific attack has been found and less studied. In this paper, we present a new attack on implicit intent using Android standard action and propose solutions to protect smart phones from this attack.