Hunting Password Leaks in Android Applications

Johannes Feichtner

Publikation: Beitrag in Buch/Bericht/Konferenzband › Beitrag in einem Konferenzband › Begutachtung

Abstract

A wide range of mobile applications for the Android operating system require users to input sensitive data, such as PINs or passwords. Given the ubiquitous and security-critical role of credentials, it is paramount that programs process secrets responsibly and do not expose them to unrelated parties. Unfortunately, users have no insight into what happens with their data after entrusting it to an application. In this paper, we introduce a new approach to identify and follow the trace of user input right from the point where it enters an application. By using a combination of static slicing in forward and backward direction, we are able to reveal potential data leaks and can pinpoint their origin. To evaluate the applicability of our solution, we conducted a manual and automated inspection of security-related Android applications that process user-entered secrets. We find that 182 out of 509 (36%) applications insecurely store given credentials in files or pass them to a log output.
Originalspracheenglisch
TitelICT Systems Security and Privacy Protection
Redakteure/-innenLech Jan Janczewski, Mirosław Kutyłowski
ErscheinungsortCham
Herausgeber (Verlag)Springer International Publishing AG
Seiten278-292
Seitenumfang14
Band529
ISBN (elektronisch)978-3-319-99828-2
ISBN (Print)978-3-319-99827-5
DOIs
PublikationsstatusVeröffentlicht - 2018
Veranstaltung
33rd IFIP TC-11 SEC 2018 International Conference on Information Security and Privacy Protection - Poznań, Polen
Dauer: 18 Sept. 2018 → 20 Sept. 2018

Konferenz

Konferenz
33rd IFIP TC-11 SEC 2018 International Conference on Information Security and Privacy Protection
KurztitelIFIP SEC 2018
Land/GebietPolen
OrtPoznań
Zeitraum18/09/18 → 20/09/18

Zugriff auf Dokument

  • mainEndgültige, publizierte Fassung, 210 KB

    Fingerprint

    Untersuchen Sie die Forschungsthemen von „Hunting Password Leaks in Android Applications“. Zusammen bilden sie einen einzigartigen Fingerprint.
    Vollständigen Fingerprint anzeigen

    • A-SIT - Zentrum für sichere Informationstechnologie Austria

      Stranacher, K. (Teilnehmer (Co-Investigator)), Dominikus, S. (Teilnehmer (Co-Investigator)), Leitold, H. (Teilnehmer (Co-Investigator)), Marsalek, A. (Teilnehmer (Co-Investigator)), Teufl, P. (Teilnehmer (Co-Investigator)), Bauer, W. (Teilnehmer (Co-Investigator)), Aigner, M. J. (Teilnehmer (Co-Investigator)), Rössler, T. (Teilnehmer (Co-Investigator)), Neuherz, E. (Teilnehmer (Co-Investigator)), Dietrich, K. (Teilnehmer (Co-Investigator)), Zefferer, T. (Teilnehmer (Co-Investigator)), Mangard, S. (Teilnehmer (Co-Investigator)), Payer, U. (Teilnehmer (Co-Investigator)), Orthacker, C. (Teilnehmer (Co-Investigator)), Lipp, P. (Teilnehmer (Co-Investigator)), Reiter, A. (Teilnehmer (Co-Investigator)), Knall, T. (Teilnehmer (Co-Investigator)), Bratko, H. (Teilnehmer (Co-Investigator)), Bonato, M. (Teilnehmer (Co-Investigator)), Suzic, B. (Teilnehmer (Co-Investigator)), Zwattendorfer, B. (Teilnehmer (Co-Investigator)), Kreuzhuber, S. (Teilnehmer (Co-Investigator)), Oswald, M. E. (Teilnehmer (Co-Investigator)), Tauber, A. (Teilnehmer (Co-Investigator)), Posch, R. (Projektleiter (Principal Investigator)), Bratko, D. (Teilnehmer (Co-Investigator)), Feichtner, J. (Teilnehmer (Co-Investigator)), Ivkovic, M. (Teilnehmer (Co-Investigator)), Reimair, F. (Teilnehmer (Co-Investigator)), Wolkerstorfer, J. (Teilnehmer (Co-Investigator)) & Scheibelhofer, K. (Teilnehmer (Co-Investigator))

      21/05/99 → 31/12/24

      Projekt: Arbeitsgebiet

    Dieses zitieren