Comment ajouter de la privacy after design pour les applications Android ?
Résumé
Nos smartphones hébergent de plus en plus de données privées qu'il convient de protéger d'applications malveillantes. Cependant, comme le système de permissions d'Android délègue à l'utilisateur l'analyse de la légitimité d'une demande de permission d'accès à une donnée privée, nous considérons que la gestion de la privacy est broken by design. Nous proposons donc dans ce papier d'améliorer la sécurité des données privées sans toucher au système d'exploitation sous-jacent, ceci afin de maximiser le nombre d'utilisateurs potentiels de notre solution. La méthodologie proposée repose sur le repackaging d'une application dans laquelle on injecte des codes monitorant l'accès aux données privées du smartphone. Nous montrons au travers de résultats expérimentaux comment l'accès aux contacts est audité ou protégé sur un ensemble de 18 applications du market. Nous montrons aussi comment décliner la méthode pour empêcher l'envoi de SMS, ce que nous avons testé sur un malware réalisant ce type d'attaque.