2022年信息安全范疇四大頂會(huì)之一USENIX Security拉開帷幕。

今年又有好消息傳來——復(fù)旦大學(xué)教授楊珉等研討員宣布的論文被評(píng)為“杰出論文獎(jiǎng)”。

USENIX Security，始于上世紀(jì)90年代初，被中國(guó)計(jì)算機(jī)學(xué)會(huì)（CCF）認(rèn)定為網(wǎng)絡(luò)安全A類國(guó)際學(xué)術(shù)會(huì)議，據(jù)廣州大學(xué)統(tǒng)計(jì)，曩昔30年國(guó)內(nèi)僅有20篇左右成果在該國(guó)際會(huì)議宣布，宣布難度極高。

作者之一楊珉教授長(zhǎng)期從事信息安全范疇研討，得知獲獎(jiǎng)消息后表明：

讓我們先來重視一下這篇獲獎(jiǎng)?wù)撐难杏懥耸裁矗?/p>

研討內(nèi)容

互聯(lián)網(wǎng)年代下，每個(gè)人的手機(jī)里簡(jiǎn)直都裝置了大量的APP，而本篇論文聚集的便是這些APP背面的安全縫隙問題。

許多APP在開發(fā)的時(shí)分，就會(huì)把一些不那么核心的功用委托給其他平臺(tái)完成，自己專心于服務(wù)現(xiàn)有用戶和吸引新用戶。

而這些被委托出去的功用也被稱為“子APP”，常見的莫過于微信小程序。

微信便是一個(gè)很典型的比方，從剛出現(xiàn)時(shí)簡(jiǎn)直只要聊天功用，到現(xiàn)在成了一個(gè)超級(jí)巨無霸。

功用越來越完全的背面是380萬個(gè)被保管出去的子APP，這一數(shù)量乃至超過了谷歌Play中所有安卓使用的總數(shù)。

這些子APP不僅能像一般APP相同加載第三方資源，還能夠拜訪APP供給的特權(quán)API（Application Program Interface）。

但就引出了一個(gè)重要的研討問題——究竟哪些子APP能夠拜訪這些特權(quán)API？

研討人員發(fā)現(xiàn)，現(xiàn)行的APP往往采用3種身份來確定API拜訪權(quán)限——即網(wǎng)絡(luò)域、子APP的ID和功用。

然而在實(shí)踐使用中，由于這3種身份核實(shí)的方法都存在必定問題，所以經(jīng)常會(huì)放過一些“漏網(wǎng)”的子APP，這一概念在論文中被初次定義為“身份混雜（identity confusion）”。

為了搞清這一問題，他們研討了47個(gè)盛行APP根據(jù)webview的進(jìn)犯和防御機(jī)制，如抖音、微信、支付寶、今天頭條等。

成果顯現(xiàn)，上述的三種身份混雜在所有47個(gè)被研討的APP中普遍存在。

更重要的是，這種混雜會(huì)導(dǎo)致嚴(yán)重的結(jié)果，比方某些子APP會(huì)暗中操作用戶的財(cái)政賬戶，在手機(jī)上裝置惡意軟件等等。

別的，研討團(tuán)隊(duì)還負(fù)責(zé)任地向以上APP的開發(fā)者們報(bào)告了這一成果，并協(xié)助他們進(jìn)行縫隙修正。

研討團(tuán)隊(duì)

本篇論文來自復(fù)旦大學(xué)和約翰斯·霍普金斯大學(xué)的研討團(tuán)隊(duì)。

一起一作是復(fù)旦大學(xué)的博士生張智搏和助理研討員張磊。

張磊，復(fù)旦大學(xué)系統(tǒng)軟件與安全實(shí)驗(yàn)室助理研討員，曾獲得ACMSIGSAC中國(guó)優(yōu)博獎(jiǎng)和ACM中國(guó)優(yōu)博提名獎(jiǎng)。

主要在移動(dòng)安全、系統(tǒng)安全和區(qū)塊鏈安全范疇進(jìn)行安全縫隙相關(guān)研討，包括程序代碼分析技能、軟件自動(dòng)化測(cè)驗(yàn)技能以及縫隙挖掘技能等。

別的，值得一提的是楊珉教授，現(xiàn)任復(fù)旦大學(xué)計(jì)算機(jī)科學(xué)技能學(xué)院科研副院長(zhǎng)、教授、博士生導(dǎo)師。

在國(guó)內(nèi)率先開展移動(dòng)生態(tài)系統(tǒng)安全問題研討，研討方向主要包括惡意代碼檢測(cè)、縫隙分析挖掘、安全、區(qū)塊鏈安全、Web 安全和系統(tǒng)安全機(jī)制等。