Modificación del control de recursos en el sistema operativo Android

• Autores: Chavez, Ayelén; Rinaudo, Joaquín
• Año de publicación: 2014
• Idioma: español castellano
• Tipo de recurso: tesis de grado
• Colaborador/a o director/a de tesis: Richarte, Gerardo; Hegiabehere, Juan; Ceria, Santiago
• Materia: ANDROID; SEGURIDAD; RECURSOS; PERMISOS; PRIVACIDAD; ABUSO DE CONFIANZA; CONTROL DE ACCESO; MONITOR DE REFERENCIA; ASA; ANDROID; SECURITY; RESOURCES; PERMISSIONS; PRIVACY; ABUSE OF TRUST; ACCESS CONTROL; REFERENCE MONITOR; ASA
• Institución: Universidad Nacional de Buenos Aires. Facultad de Ciencias Exactas y Naturales

Android es un sistema operativo basado en Linux con millones de usuarios en todo el mundo. Su esquema de seguridad para proteger al usuario de aplicaciones abusivas es de todo o nada. Al momento de querer instalar una aplicación, el usuario debe aceptar todos los permisos que la misma requiere en bloque, sin poder modificarlos una vez que fueron concedidos. A falta de una mejor implementación, desarrollamos una aplicación que permite al usuario un control más granular y flexible sobre el acceso a aquellos recursos que consideramos de mayor importancia para el usuario desde el punto de vista de su privacidad y seguridad. Cuando una aplicación solicita acceso a un recurso, nuestro enfoque permite al usuario no sólo devolver datos falsos o anónimos, sino también seleccionar un subconjunto de los datos reales, para que pueda seguir usando las aplicaciones pero de manera controlada. De esta forma, un usuario puede defenderse de posibles abusos de confianza que se toman algunas aplicaciones y que el esquema de seguridad de Android no aborda. En otros trabajos relacionados donde sólo se puede devolver datos falsos, su control perjudica la usabilidad cuando se trata de un recurso clave para la aplicación. Por ejemplo, podríamos considerar sin sentido usar una aplicación como WhatsApp con una agenda de contactos vacía. Logramos controlar el acceso a contactos, datos que permiten identificar unívocamente a un dispositivo y a su dueño como ser el identificador del equipo, identificador del subscriptor, tarjeta sim y número de teléfono, información de red del dispositivo, como ser IP, MAC, la SSID y BSSID del punto de acceso al que está conectado, redes configuradas y escaneadas y, finalmente, controlamos toda forma en la que una aplicación puede saber la ubicación del dispositivo, no sólo usando el gps sino también las torres de celulares y redes inalámbricas.
Android, an operating system based on the Linux kernel, has millions of users around the world. Its security scheme to protect a user from abusive applications is all or nothing. When a user wants to install an application, she must accept every permission it’s requiring as a whole, without the chance to change them once they were granted. For lack of a better implementation, we developed an application that allows a more granular access control to the resources we consider of main importance from the user’s privacy and security point of view. When an application asks to access a resource, our approach allows the user not just to retrieve false or anonymous information, but to select a subset of the real data, so she can keep on using the applications in a controlled manner. This way, a user can defend herself from a possible abuse of trust that some applications may attempt. The Android security architecture doesn’t address this kind of trust problems. In other related works where the user can only retrieve fake data, access control affects the usability when controlling a key resource for the application. For example, the user clearly did not intend using WhatsApp with an empty contacts list. We’ve accomplished control access to contacts, data that allows a device and its owner to be unambiguously identified such as its id, subscriber id, sim card and phone number, device’s network information such as its IP, MAC, the SSID and BSSID of the access point it is connected to, the configured and scanned networks and, finally, we control every way an application can know the device’s location, not only using the gps but also the cell towers and configured wireless networks.
Fil: Chavez, Ayelén. Universidad de Buenos Aires. Facultad de Ciencias Exactas y Naturales; Argentina.
Fil: Rinaudo, Joaquín. Universidad de Buenos Aires. Facultad de Ciencias Exactas y Naturales; Argentina.