SafetyNOT

보안 민감 작업(예: 온라인 뱅킹)을 수행하는 많은 앱들이 실행 중인 기기 및 자체 코드의 무결성을 확인하려고 시도합니다. 이 목표를 쉽게 달성하기 위해, 안드로이드는 앱이 실행되는 기기가 "안전한" 상태(예: 루트 권한이 없는)인지와 앱의 코드가 수정되지 않았는지를 감지하는 데 사용할 수 있는 SafetyNet 인증 API를 제공합니다. 이 논문에서는 SafetyNet API 사용에 대한 첫 번째 대규모 체계적 분석을 수행합니다. 우리의 연구는 앱 개발자가 이 API를 사용하려고 할 때 저지르는 여러 가지 일반적인 실수를 식별합니다. 구체적으로, 우리는 이 API의 가능한 오용을 체계적으로 분류하고 각 오용의 빈도를 분석합니다. 결과에 따르면, 분석된 앱의 절반 이상이 SafetyNet 결과를 로컬에서 확인하고(원격 신뢰 서버 사용과 반대), 이로 인해 그들의 확인이 trivially 우회 가능하게 됩니다. 놀랍게도, 우리는 SafetyNet API를 호출하는 분석된 앱 중 어느 것도 완전히 올바른 방법으로 이를 사용하지 않는다는 것을 발견했습니다.