Android权限启发

Android权限启发(中文16000字,英文PDF)
摘要
Android为第三方应用程序提供了广泛的API，包括访问电话硬件、设置和用户数据。使用安装时应用程序许可系统控制对API的隐私和安全相关部分的访问。我们研究Android应用程序，以确定Android开发人员的权限请求是否遵循最少的特权。我们构建了Stowaway，这是一个在已编译的Android应用程序中检测过度特权的工具。Stowaway确定应用程序使用的API调用集，然后将这些API调用映射到权限。为了构建检测overpriv- ilege所需的权限映射，我们在Android API上使用了自动匹配的测试工具。我们将Stowaway应用到一组940个应用程序中，发现约有三分之一的应用程序具有过度特权。我们调查了过度特权的原因，并发现开发人员试图遵循最少特权的证据，但有时由于API文档不足而失败。
关键字：Android，权限，最少的特权