安卓第三方推送服務(wù)安全分析及增強(qiáng).pdf

1、推送服務(wù)在移動(dòng)應(yīng)用中的應(yīng)用越來(lái)越廣泛，為了方便開(kāi)發(fā)者使用，各大手機(jī)平臺(tái)以及許多互聯(lián)網(wǎng)公司都陸續(xù)推出了自己的推送服務(wù)。然而，安卓生態(tài)的開(kāi)放性以及推送服務(wù)廠商提供的推送服務(wù)自身問(wèn)題，加上應(yīng)用開(kāi)發(fā)者對(duì)推送服務(wù)的不恰當(dāng)使用，導(dǎo)致目前移動(dòng)應(yīng)用在集成推送服務(wù)時(shí)存在著隱私泄露等問(wèn)題，給用戶的信息安全帶來(lái)了一定的威脅。
　　指出開(kāi)發(fā)者未能正確使用第三方推送平臺(tái)提供的API，存在將注冊(cè)密鑰等信息明文存儲(chǔ)問(wèn)題，并實(shí)際分析客戶端應(yīng)用的通知接收情況，同時(shí)

2、首次就應(yīng)用服務(wù)器端與云推送服務(wù)器端之間的安全問(wèn)題進(jìn)行了分析。通過(guò)對(duì)3057個(gè)應(yīng)用進(jìn)行分析，發(fā)現(xiàn)許多開(kāi)發(fā)者在使用推送服務(wù)時(shí)存在不恰當(dāng)使用問(wèn)題，例如，將在云平臺(tái)創(chuàng)建應(yīng)用時(shí)獲得的密鑰等信息明文寫(xiě)入AndroidManifest文件。同時(shí)，分析應(yīng)用集成推送服務(wù)后其真實(shí)的使用情況，發(fā)現(xiàn)集成推送服務(wù)的客戶端應(yīng)用日均通知接收量較小，且應(yīng)用接收通知的時(shí)間間隔較大。通過(guò)分析應(yīng)用在集成推送服務(wù)時(shí)存在的安全問(wèn)題，并進(jìn)行了攻擊測(cè)試，實(shí)現(xiàn)了推送數(shù)據(jù)的偽造、竊取等