Sparse value flow analysis for java bytecode : an empirical assessment

Abstract

O vazamento de dados confidenciais representa uma preocupação relevante em relação à segurança de aplicativos atuais. Abordagens como a análise estática denominada “taint” identificam de forma eficaz potenciais vazamentos, rastreando e analisando o fluxo dos valores das variáveis ao longo do programa. A análise de fluxo denominada “Sparse Value Flow Analysis (SVFA)” é uma técnica de análise estática que se mostrou eficaz na identificação de vazamentos de dados em programas em C e C++. Entretanto, sua aplicação potencial na análise de programas Java (bytecode) ainda não foi avaliada. Uma parceria entre a Universidade de Brasília e a Universidade de Paderborn resultou na implementação do JSVFA, um analisador de bytecode Java. Essa ferramenta foi alterada para identificar conflitos semânticos e é aplicada em diversos projetos de pesquisa. A taxa de “sucesso” atual nos testes é de 51.64% (63 de 122), em comparação com o benchmark SecuriBench, que é um dos padrões utilizados para avaliar o desempenho da ferramenta de análise estática denominada FlowDroid. Esta tese busca avaliar o desempenho do JSVFA framework em comparação com as principais ferramentas de análise estática Java, empregando medidas como precisão, recall, f-score e taxa de sucesso nos testes. Além disso, busca-se aprimorar o código-fonte existente do JSVFA framework, utilizando os testes com falha para a caracterização do problema. Para validar as melhorias, compararemos as novas medidas da versão mais recente do JSVFA framework utilizando o benchmark SecuriBench com duas ferramentas de análise de destaque, FlowDroid e Joana. Adicionalmente, incorporaremos o TaintBench, um benchmark com “Aplicativos Android,” e, em seguida, avaliaremos seu desempenho. Realizamos aprimoramentos no código-fonte, resultando em uma nova versão do JSVFA framework, que apresenta melhorias substanciais em comparação com a versão anterior. A nova versão, avaliada por meio do benchmark SecuriBench, demonstra melhorias em recall, f-score e taxa de sucesso dos testes, embora resulte em uma leve diminuição da precisão. Em comparação ao FlowDroid e ao Joana, o novo JSVFA framework demonstra um equilíbrio entre precisão, recall e f-score, posicionando-se de forma intermediária. Adicionalmente, foram conduzidos dois experimentos para avaliar o desempenho do JSVFA framework no ambiente Android, os quais resultaram na identificação de 76 e 645 novos vazamentos, respectivamente, que não estavam presentes nos relatórios de “ground truth” do TaintBench, mas foram posteriormente confirmados como “true positives”. Entretanto, o JSVFA framework não consegue detectar os vazamentos apontados nos relatórios de TaintBench. Em suma, o JSVFA framework demonstra um desempenho competitivo na análise de código Java na academia; entretanto, a identificação de vazamentos de dados em APKs requer uma investigação mais aprofundada do ciclo de vida do Android, embora as novas descobertas sejam promissoras.