Zabezpečení Androidu na úrovni hardware

2. ONDŘEJ DAVID
Android vývojář a Malware analytik, Avast

3. Zabezpečení Androidu s
podporou hardware

4. O co jde?
+

5. Zrod nové technologie!
Watchdog
SEEMP
Sphinx
CPU Shield
Instruction Shield
Behavioral Shield
QMPQSSP

6. Zdroj: https://www.qualcomm.com/smartprotect
High level náhled

7. Hlubší pohled

8. Aplikační doména
Blackbox

9. Aplikační doména
Vlastní drivery
Knihovny a aplikační
framework

10. SEEMP API
SEEMP
daemon
Observer + analyser (TZ)
Klient (AV)

11. Příklad
BEHAVIOR_CALLBACK [time=57931, pn=com.reptilicus, pid=4763, uid=10303,
result=null, foreground=false, behaviorVector=[2510.440918037377, 0.0, 3232.0, 0.0,
1428.0, 0.0, ~, 0.0, 2.0, 0.0, ~, 0.0, 0.05291005292964923, 0.0, 3.0, 0.0, 1.0, 0.0, ~, 0.0,
1.0, 0.0, 1.0, 0.0, ~, 0.0, 0.07610499858856201, 0.0, 62.0, 0.0, ~, 0.0, 14.0, 3.0, 0.0, ~, 0.0,
3.0, 0.0, ~, 0.0]
VECTOR_VALUE [COMM1_BG: 2510.440918037377]
VECTOR_VALUE [COMM2_BG: 3232.0]
VECTOR_VALUE [ACCESSUI_FG: 1428.0]
VECTOR_VALUE [ACCESSLOCATION1_BG: 2.0]
VECTOR_VALUE [PROCESSLOCATIONINFO1_FG: 0.05291005292964923]
VECTOR_VALUE [PROCESSLOCATIONINFO2_BG: 3.0]
VECTOR_VALUE [ACCESSUISETTINGS_FG: 1.0]
VECTOR_VALUE [ACCESSTEXTENTRYSETTINGS_FG: 1.0]
VECTOR_VALUE [ACCESSAUDIOSETTINGS_FG: 1.0]
VECTOR_VALUE [DATATRANSFER1_BG: 0.07610499858856201]
VECTOR_VALUE [DATATRANSFER2_BG: 62.0]
VECTOR_VALUE [FULLSCREENWINDOW1_FG: 14.0]
VECTOR_VALUE [ACCESSOPERATORINFO1_BG: 3.0]
VECTOR_VALUE [PROCESSOPERATORINFO1_BG: 3.0]

12. Model
• Soubor pravidel (vážené součty)
• Bepečně uložen v TrustZone
• Možné různé přístupy modelování chování:
• Detekce malware
• Detekce anomálií
• Senzitivita detekcí:
• malware/narušení soukromí/podezřelý...

13. DEMO

14. WWW.MDEVTALK.CZ
mdevtalk