Android系统中第三方登录漏洞与解决方案

• 作者: 张俊伟 杨超 董超 马建峰
• 来源期刊: 计算机学报
• 学科: 工学
• 关键词: 第三方登录 Android安全 协议漏洞分析
• 年，卷（期）: 2016,（3）
• 所属期刊栏目: 信息安全
• 页码范围: 582-594
• 页数: 13页
• 分类号: TP393
• 字数: 11076字
• 语种: 中文
• DOI: 10.11897/SP.J.1016.2016.00582

摘要

由于Android系统中的第三方登录服务具有快捷方便、易于使用等优点,因此其在众多互联网厂商中应用极其广泛.然而,由于第三方登录服务中对应用APP的身份认证过程存在无人介入的特点,这将导致恶意应用可以逆向伪造认证信息、获取非法权限等类型的攻击.针对上述问题,该文对国内两家著名互联网公司所提供的第三方登录协议进行了研究与分析,通过逆向工程和密码协议分析方法,发现其存在严重的身份信息泄露和权限非法提升漏洞;同时,在获得相关厂商官方的漏洞确认的基础上,根据实际的安全需求,提出了基于可信第三方的应用APP身份信息强制验证解决方案,并对该解决方案进行了实现,从有效性、执行性能和兼容性等方面对其进行了测试与分析评估.结果表明:该文所提解决方案不仅能够完全防御此类攻击,同时具有性能优兼容性好的特点.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	马建峰	西安电子科技大学计算机学院	389	4956	30.0	50.0
2	杨超	西安电子科技大学计算机学院	41	333	13.0	16.0
3	张俊伟	西安电子科技大学计算机学院	26	176	8.0	11.0
4	董超	西安电子科技大学计算机学院	1	24	1.0	1.0