基于Android系统的隐私保护技术综述

具有 的权 限。这些权限将会在 用户安装该程序 时呈现给 用户 ，
如果被用 户拒绝则不能 完成安装 。 Ａ ｎ ｒ ｄ ｏ ｉ ｄ 系 统 中 的 权 限 分 为 四个保护 级别 ： “ ｎ ｏ ｒ ｍ ａ ｌ ” 、 例如 电话 、 联 系人 、 浏览器 等 ， 以及可 以从 Ａ ｎ ｒｏ ｄ ｉ ｄ 应 用程 序商 店下 载 安 装 的任 何 应 用 。通 常 Ａ ｎ ｒ ｄ ｏ ｉ ｄ 应用 由Ａ ｃ ｔ ｉ ｖ ｉ ｔ ｙ ， Ｓ ｅ ｒ ｖ ｉ ｃ ｅ ，Ｂ ｒ ｏ ａ ｄ ｃ ａ ｓ ｔ Ｒ ｅ ｃ ｅ ｉ ｖ ｅ ｒ 及Ｃ ｏ ｎ ｔ ｅ ｎ ｔ Ｐ ｒ ｏ ｖ ｉ ｄ ｅ ｒ 组成。其中 ，
“ ｄ ａ ｎ ｇ ｅ ｒ ｏ ｕ ｓ ” 、 “ ｓ ｉ ｇ ｎ ａ ｔ ｕ ｒ ｅ ” 和“ ｓ ｉ ｇ ｎ ａ ｔ ｕ ｒ ｅ Ｏ ｒ Ｓ ｙ ｓ ｔ ｅ ｍ” 。其 中 ， “ ｎ ｏ ｒ ｍａ ｌ ”
应 用程 序层——这 一层有 Ａ ｎ ｄ ｒ ｏ ｉ ｄ 设 备 自带 的许多 应用 ，
可能会赋 予应用 程序访 问敏感数据 或控制 设备等功 能 ， 一 Ｒ ｅ ｃ ｅ ｉ ｖ ｅ ｒ 负责接 收来 自系统 的广播通 知 ， Ｃ ｏ ｎ ｔ ｅ ｎ ｔ Ｐ ｒ ｏ ｖ ｉ ｄ ｅ ｒ 主要 级 ，
负责管理应用间的数据分享 。
１ ． ２ Ａ ｎ ｄ ｒ ｏ ｉ ｄ 应 用 间的 通 信 机 制
・
８Байду номын сангаас ・
Ｃｏ ｍｐ ｕ ｔ ｅ ｒ Ｅｒ ａ Ｎｏ． １ ２ ２ ０１ ３
各种硬件组件的所有设备驱动程序 。 库— —提 供 Ａｎ ｄ ｒ ｏ ｉ ｄ 操 作 系统 主要 功能 的全 部 代码 。 例
的应用可以共享 Ｕ Ｉ Ｄ， 会被放入 同一 沙盒 内。
１ ． ３ ． ３ 权 限机制
自己的进程 中运行 。 功能 的层面 ， 使他们可 以在应用程序 中调用这些功能 。 络 等 。应 用默认是 不具备任 何权限 的 。当它 想要访 问数据或 必须在 自身的 Ａｎ ｄ ｒ ｏ ｉ ｄ Ｍａ ｎ ｉ ｆ ｅ ｓ ｔ ． ｘ ｍｌ 文 件 中声 明所 应 用框架层——是 向开发人 员公 开 Ａ ｎ ｄ ｒ ｏ ｉ ｄ 操作 系统 各种 使用 资源时 ，
形式发生 ， 由此 产生 的应 用 间 通 信 通常 被 称 为 组 件 间通 信
（ Ｉ ｎ ｔ ｅ ｒ — Ｃ ｏ ｍｐ ｏ ｎ ｅ ｎ ｔ Ｃ ｏ ｍｍｕ ｎ ｉ ｃ ａ ｔ ｉ ｏ ｎ ， Ｉ Ｃ Ｃ） ， 用来在 内核 层与 Ｉ Ｐ Ｃ
限必 须 声明 且 在 安装 时 通过 用 户认 证才 能 够被 应 用程 序 使 用。 “ ｓ ｉ ｇ ｎ ａ ｔ ｕ ｒ ｅ ” 和“ ｓ ｉ ２ ｎ ａ ｔ ｕ ｒ ｅ ０ ｒ ｓ ｙ ｓ ｔ ｅ ｍ” 级 别 的权 限 一般 只被 原
般所 指的需要声明权 限就是 该级 别权 限 。 “ ｄ ａ ｎ ｇ ｅ ｒ ｏ ｕ ｓ ” 级 别的权
Ａ ｎ ｒｏ ｄ ｉ ｄ 应用 问通信通常是通过 中间件层提供 的标准机制 Ｃ ｏ ｍ ｍ ｕ ｎ ｉ ｃ ａ ｔ ｉ ｏ ｎ ， Ｉ Ｐ Ｃ ） 。Ｉ Ｐ Ｃ 根据应 用组 件的颗粒度粗细 以不 同
洞 。比较常见 的攻击是权 限提升攻 击 。 进一步 还可细 分为混 息——Ｉ ｎ ｔ ｅ ｎ ｔ 消息 。Ｉ ｎ ｔ ｅ ｎ ｔ ｉ ￣ 息包 含了两个 重要内容 ， 一是消息 淆代理攻击［ ２ １ 和共谋攻击 等 。针对这类 问题 ， 已有的研究 主要 目的地 ， 二是消息所携带的数据 内容 。除了 Ｉ Ｃ Ｃ ， 应用还能 绕过 集 中在 以下三个方面 。 中间 件层 通 过其 他 管道 进行 通 信 ， 但 由基 层 的 Ｌ ｉ ｎ ｕ ｘ 内核 控
是 默认级 别 ， 即最低级 别 ， 一般 自动授予应 用程序该 不会造 成
Ａ ｃ ｔ ｉ ｖ ｉ ｔ ｙ 负 责用 户接 口 ， Ｓ ｅ ｒ ｖ ｉ ｃ ｅ 实现 后 台进 程 功能 ， Ｂ ｒ ｏ ａ ｄ ｃ ａ ｓ ｔ 太 大 危 害的 权 限 。 “ ｄ ａ ｎ ｇ ｅ ｒ ｏ ｕ ｓ ” 级 别 比“ ｎ ｏ ｍａ ｒ ｌ ” 级 别 要高 一 等
． １安装 时权 限机制扩展 制。比如 ， 可以通过 Ｌ ｉ ｎ ｕ ｘ 的标 准 Ｉ Ｐ Ｃ机 制 来 建立 通 信 （ 如 ２ 安装 时权 限机制 的扩展主 要针对 的是安装 应用 时的授权 Ｕ ｎ ｉ ｘ ｓ ｏ ｃ ｋ ｅ ｔ ｓ ） 或通过 Ｉ ｎ ｔ ｅ ｒ ｎ ｅ ｔ ｓ ｏ ｃ ｋ ｅ ｔ ｓ 通信 。
例如 Ｐ Ｈ Ｏ Ｎ Ｅ ＿ Ｃ Ａ Ｌ Ｌ Ｓ ， Ｉ Ｎ Ｔ Ｅ Ｒ Ｎ Ｅ Ｔ等权 虚拟机 和一组核心库 。其 中 ， 核心库可使开 发人员用 Ｊ ａ ｖ ａ 语 言 准 权 限控 制 来 保 护 ， 来编 写 Ａ ｎ ｄ ｒ ｏ ｉ ｄ 程序 ， Ｄ ｌ ａ ｖ ｉ ｋ 虚拟机 则使得 每个应 用程 序都在 限 。这意 味着应用必须先具有这 些权 限才能发起通 话 、 访 问网
如， Ｓ Ｑ Ｌ ｉ ｔ ｅ 库提供 了支持应 用进 行数据存储的数据库。
Ａ ｎ ｄ ｒ ｏ ｉ ｄ系统 中 ， 细 粒度 的安全特 征是 通过权 限机制 来实
Ａ ｎ ｄ ｒ ｏ ｉ ｄ 运行 环境— —与 库 同处一个 层 面 ， 包 括 了 Ｄａ ｌ ｖ ｉ ｋ 现的 。权 限机 制 由中间件层来 提供 。安全敏感 的接 口通过标
完成 的 ， 即基于 Ｂ ｉ ｎ ｄ ｅ ｒ 的轻 量型进程 问通信 （ Ｉ ｎ ｔ ｅ ｒ － Ｐ ｒ ｏ ｃ ｅ ｓ ｓ 始设备制造商所使 用。
２ 研 究现 状
如１ ． ３ 节 中介绍 ， Ａ ｎ ｄ ｒ ｏ ｉ ｄ自身虽然 已提供 了 几项 安全 机 制， 但在 受 到不 同类型 的攻 击 时 ， 依然 显露 出许 多 问题 和漏