Androidアプリの自動リンクにおける悪意のあるリンク生成リスクの検討

情報処理学会

書誌事項

タイトル別名
  • Security Risk of Malicious Link Generation in Auto-Link Feature of Android Applications

説明

スマートフォンなど様々なデバイスに対応したサービスが普及した現代であっても，デバイス固有の仕組みは攻撃者の標的となりやすい．本研究では特に Android 向けのアプリケーションにおいて，URL 自動リンク機能での特殊文字の扱いにより URL が分割され，意図されたものと異なるリンクが埋め込まれる挙動に注目し，これによって悪意のあるサイトなどへユーザが誘導されるリスクについて検討する．また，Android 向けのアプリケーションと Web ブラウザ向けのアプリケーションの URL 自動リンク機能の差異により，信用された良性 URL が分割され自動リンクされることにより悪意のあるリンクが生成される仕組みを調査し，実際のアプリケーションにおいての発生状況を確認した．結果として，5 億インストールを超える複数の Android アプリケーションが本研究で示すリスクを有することが分かった．最後にそれら Android アプリケーションでのリスクを軽減する URL 自動リンクの実装について示す．

Services that support various devices such as smartphones are popular in recent days. However, device specific mechanisms are still easy targets for attackers. In this paper, we focus on behaviors of URL splitting in Android applications, especially when special characters are handled in Auto-Link feature. The URL splitting generates and embeds links that are different from intended ones. Thus, we discuss risks of users being directed to malicious sites. We surveyed differences in the Auto-Link feature among Android/Web applications to confirm whether malicious links are generated by splitting trusted benign URL or not. We confirmed that the malicious URL are generated by the splitting and Auto-Link feature generates links to them in real applications. We also confirmed that several Android applications with more than 500 million installs have above risks shown in this study. Finally, we present an implementation of the Auto-Link feature that mitigates above risks in Android applications.

収録刊行物

キーワード

詳細情報 詳細情報について

問題の指摘

ページトップへ