AppLock 정보 은닉 앱에 대한 취약점 분석 = Vulnerability Analysis for AppLock Application

다국어 초록 (Multilingual Abstract)

As the memory capacity of smartphone increases, the type and amount of privacy stored in the smartphone is also increasing. but recently there is an increasing possibility that various personal information such as photos and videos of smartphones may be leaked due to malicious apps by malicious attackers or other people such as repair technicians. This paper analyzed and studied the security and vulnerability of these vault apps by analyzing the cryptography algorithm and data protection function. We analyzed 5.3.7(June 13, 2022) and 3.3.2(December 30, 2020) versions of AppLock, the most downloaded information-hidding apps registered with Google Play, and found various vulnerabilities. In the case of access control, there was a vulnerability in that values for encrypting patterns entered by users were hardcoded into plain text in the source code, and encrypted pattern values were stored in xml files. In addition, in the case of the vault function, there was a vulnerability in that the files and log files for storing in the vault were not encrypted.

국문 초록 (Abstract)

스마트폰의 메모리 용량이 증가하면서 스마트폰에 저장된 개인 정보의 종류와 양도 증가하고 있다. 하지만 최근 악의적인 공격자의 악성 앱이나 수리기사 등의 타인으로 인해 스마트폰의 사진, 동영상 등의 다양한 개인 정보가 유출될 가능성이 증가하고 있기 때문에, 사용자의 이러한 개인 정보를 보호할 수 있는 다양한 정보 은닉 앱이 출시되고 있다. 본 논문은 이러한 정보 은닉 앱의 암호 알고리즘 및 데이터 보호 기능을 분석하여 안전성 및 취약점을 분석 및 연구했다. 이를 위해 우리는 Google Play에 등록된 정보 은닉 앱 중에서 전 세계적으로 가장 많이 다운로드 된 AppLock 3.3.2 버전(December 30, 2020)과, 5.3.7 버전(June 13, 2022)을 분석했다. 접근 제어 기능의 경우, 사용자가 입력한 패턴을 암호화하기 위한 값들이 소스 코드에 평문으로 하드코딩 되어있으며 암호 알고리즘이 적용된 패턴 값은 xml 파일에 저장한다는 취약점이 존재했다. 또한 금고 기능의 경우 금고에 저장하기 위한 파일과 로그 파일을 암호화하지 않는 취약점이 존재했다.

참고문헌 (Reference)

1 김대규 ; 김창수, "은닉형 Vault 안티포렌식 앱 탐색을 위한 XML 기반 특징점 추출 방법론 연구" 한국인터넷정보학회 23 (23): 61-70, 2022

2 LOCKIN, "liapp"

3 Zetetic, "SQLCipher"

4 GUARDSQUARE, "DexGuard"

5 Duncan, Michaila, "Detection and recovery of anti-fore nsic (vault) applications on android d evices" (6) : 2018

6 PENG, Mingming, "DECADE-De ep Learning Based Content-hiding Ap plication Detection System for Androi d" 5430-5440, 2021

7 Zhang, Xiaolu, "Breaking into the va ult : Privacy, security and forensic an alysis of Android vault applications" 70 : 516-531, 2017

8 Xie, Nannan, "Android Vault Ap plication Behavior Analysis and Detec tion" 1257 : 428-439, 2020

9 Petrov, Peter, "Andro id Password Managers and Vault Appl ications: An Investigation on Data Re manence in Main Memory" 2021

10 Tahira Rasul, "A computational for ensic framework for detection of hidde n applications on Android" 20 (20): 353-360, 2020