Android provides third-party applic

Android provides third-party applications with an extensive API that includes access to phone hardware, settings, and user data. Access to privacy- and security-relevant parts of the API is controlled with an install-time application permission system. We study Android applications to determine whether Android developers follow least privilege with their permission requests. We built Stowaway, a tool that detects over privilege in compiled Android applications. Stowaway determines the set of API calls that an application uses and then maps those API calls to permissions. We used automated testing tools on the Android API in order to build the permission map that is necessary for detecting over privilege. We apply Stowaway to a set of 940 applications and find that about one-third are overprivileged. We investigate the causes of overprivilege and find evidence that developers are trying to follow least privilege but sometimes fail due to insufficient API documentation.

Kết quả (Việt) 1:

Android cung cấp bên thứ ba ứng dụng với một API mở rộng bao gồm quyền truy cập vào dữ liệu phần cứng, cài đặt, và người sử dụng điện thoại. Truy cập vào các bộ phận bảo mật và an ninh-có liên quan của API được điều khiển bằng một hệ thống cho phép thời gian cài đặt ứng dụng. Chúng tôi nghiên cứu các ứng dụng Android để xác định liệu nhà phát triển Android theo ít nhất là đặc quyền với các yêu cầu sự cho phép của họ. Chúng tôi xây dựng Stowaway, một công cụ phát hiện qua các đặc quyền trong các ứng dụng Android biên dịch. Stowaway xác định tập hợp các API cuộc gọi là một ứng dụng sử dụng và sau đó bản đồ những cuộc gọi API để cho phép. Chúng tôi sử dụng công cụ kiểm tra tự động trên Android API để xây dựng bản đồ cho phép là cần thiết để phát hiện qua đặc quyền. Chúng tôi áp dụng Stowaway cho một bộ các ứng dụng 940 và thấy rằng khoảng một phần ba là overprivileged. Chúng tôi điều tra nguyên nhân của overprivilege và tìm thấy bằng chứng cho thấy các nhà phát triển đang cố gắng để làm theo ít nhất là đặc quyền nhưng đôi khi không thành công do không đủ tài liệu API.

Kết quả (Việt) 2:

Android cung cấp cho các ứng dụng của bên thứ ba với một API mở rộng bao gồm quyền truy cập vào phần cứng điện thoại, cài đặt và dữ liệu người dùng. Truy cập vào phần privacy- và an ninh có liên quan của các API được kiểm soát bằng một hệ thống cho phép cài đặt ứng dụng thời gian thực. Chúng tôi nghiên cứu các ứng dụng Android để xác định xem liệu các nhà phát triển Android theo đặc quyền tối thiểu các yêu cầu sự cho phép của họ. Chúng tôi xây dựng Stowaway, một công cụ giúp phát hiện qua đặc quyền trong biên soạn các ứng dụng Android. Stowaway xác định tập hợp các API gọi đó là một ứng dụng sử dụng và sau đó ánh xạ những cuộc gọi API để cho phép. Chúng tôi đã sử dụng công cụ tự động kiểm tra trên các API Android để xây dựng các bản đồ cho phép đó là cần thiết để phát hiện qua đặc ân. Chúng tôi áp dụng Stowaway đến một tập hợp các ứng dụng 940 và thấy rằng khoảng một phần ba được overprivileged. Chúng tôi điều tra nguyên nhân của overprivilege và tìm thấy bằng chứng cho thấy các nhà phát triển đang cố gắng để làm theo đặc quyền tối thiểu nhưng đôi khi thất bại do không đủ tài liệu API.