ホーム > 特許ランキング > 天翼電子商務有限公司
知財求人 - 知財ポータルサイト「IP Force」
特表2023-543605動的権限セットに基づくＡｎｄｒｏｉｄ（登録商標）権限昇格攻撃検出方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2023-10-17
(54)【発明の名称】動的権限セットに基づくＡｎｄｒｏｉｄ（登録商標）権限昇格攻撃検出方法
(51)【国際特許分類】
G06F 21/55 20130101AFI20231010BHJP
G06F 21/62 20130101ALI20231010BHJP
【ＦＩ】
G06F21/55
G06F21/62
【審査請求】有
【予備審査請求】未請求
(21)【出願番号】P 2023519839
(86)(22)【出願日】2021-12-30
(85)【翻訳文提出日】2023-03-30
(86)【国際出願番号】 CN2021142968
(87)【国際公開番号】W WO2023029325
(87)【国際公開日】2023-03-09
(31)【優先権主張番号】202111040109.4
(32)【優先日】2021-09-06
(33)【優先権主張国・地域又は機関】CN
(81)【指定国・地域】
(71)【出願人】
【識別番号】523065052
【氏名又は名称】天翼電子商務有限公司
(74)【代理人】
【識別番号】100145470
【弁理士】
【氏名又は名称】藤井 健一
(72)【発明者】
【氏名】徐潜
(72)【発明者】
【氏名】章慶
(72)【発明者】
【氏名】賀偉
(72)【発明者】
【氏名】馬頌華
(57)【要約】
本発明は、Ａｎｄｒｏｉｄ（登録商標）のセキュリティや、モバイルインターネット及びインダストリアルインターネット環境下におけるシステムのセキュリティとプライバシー保護の分野に関し、動的権限セットに基づくＡｎｄｒｏｉｄ（登録商標）権限昇格攻撃検出方法を開示し、Androidプラットフォームに存在する特権昇格攻撃の問題に対して、動的権限セットに基づくＡｎｄｒｏｉｄ（登録商標）権限昇格攻撃検出方法を提案し、本発明において、まず強連結成分の権限分布特性を解析し、動的権限セットの区分を構築する。次に、情報フローと権限セットが結合された上で、権限昇格パスを抽象化させる。最後に、線形時間のアクセス制御アルゴリズムを提案し、権限セットを動的追跡することにより、細粒度の決定制御を実現した、提案されたセキュリティモデルによって、権限昇格攻撃をうまく防ぎ、時間複雑度が低下する。
【選択図】図１
【選択図】図１
【特許請求の範囲】
【請求項1】
通信状態図における強連結成分内のアプリケーションの権限セットが等しいという特徴を利用して、悪意のあるアプリの権限昇格攻撃検出方法を提案し、動的権限セットを用いてシステムのアプリケーションに対して同値分割を行い、アプリケーショングループ「ｇｒｏｕｐ」を構築して検索スペースを簡略化し、且つアプリケーションプロセス自身からなる権限チェーンの代わりに、権限セットに基づく「権限昇格パス」を利用し、具体的には、以下のステップを含むことを特徴とする動的権限セットに基づくＡｎｄｒｏｉｄ（登録商標）権限昇格攻撃検出方法。ＤＰ＿ＭＡｎｄｒｏｉｄ（登録商標）モデルの全体的なアーキテクチャにおいて、Ｓｙｓｔｅｍ Ｖｉｅｗは、コンピューティングシステムの通信状態図を記憶するために使用され、Ｄｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒは、一つのコンポーネントであり、通信状態図及びシステムの危険な権限セット（ここで、ＭＡＣ Ｐｏｌｉｃｙコンポーネントによって提供される）に基づいてＩＣＣの呼び出しや、ソケット通信及びファイルＩ／Ｏ操作などを含む現在の通信要求について判断し、ＳＥＬｉｎｕｘ（登録商標）は、内顆粒層にあり、主にコバートチャネルを制御するために使用され、ここでは主にＩ／Ｏ操作、ソケット操作などを指し、
以下の（１）～（３）の通信操作について説明し、
１）新しいアプリケーションプログラムをインストールする際に、ネイティブのＡｎｄｒｏｉｄ（登録商標）システムは、Ｍａｎｉｆｅｓｔファイルから権限を抽出し、且つＰｅｒｍｉｓｓｉｏｎ権限ライブラリに記憶し、ここで、Ｓｙｓｔｅｍ ｖｉｅｗでのノード作成作業を追加し、且つＭａｎｉｆｅｓｔの権限に基づいてノードのＰ＿ＳＥＴ＿ＳＴＡＴＩＣ属性に値を割り当て、同様にプログラムがアンインストールされる時には、Ｐｅｒｍｉｓｓｉｏｎデータベースが削除操作を行い、Ｓｙｓｔｅｍ ｖｉｅｗのノードも削除され、アルゴリズム３を実行して全図のＰ＿ＳＥＴセットが更新される新しいプログラムのインストールと、
２）ネイティブのＡｎｄｒｏｉｄ（登録商標）と同様に、参照モニタ（リファレンスモニタ）によって呼び出しを処理するには、まずＰｅｒｍｉｓｓｉｏｎ権限ライブラリに基づいて判断し、ネイティブのＡｎｄｒｏｉｄ（登録商標）権限要求を満たさなければ、通信は直接拒否され、そうでなければ、Ｄｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒを呼び出して判断し、まずＤｅｃｉｓｉｏｎデータベースに問い合わせてシステム状態図と通信要求側がデータベースにいるかどうかを見て、もしあれば、前に計算した結果に従って直接戻り、そうでなければ、通信要求をＳｙｓｔｅｍ ｖｉｅｗに送り、Ｇｒａｐｈ ｍａｋｅｒによって通信状態図の強連結集約計算を行い、Ｓｙｓｔｅｍ ｖｉｅｗによってアルゴリズム３でＰ＿ＳＥＴセットを比較し（ここで、ＭＡＣ Ｐｏｌｉｃｙが危険な権限セットを提供する）、通信が許可された場合、結果をＤｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒに戻し、決定及び現在のシステム通信状態図をＤｅｃｉｓｉｏｎデータベースに記憶し、次回の通信判断で直接利用し、効率を高めるＩＣＣの呼び出しと、
３）ＩＣＣと同様に判断するが、ＩＣＣにおいて参照モニタによって切断された通信要求はここでＳＥＬｉｎｕｘ（登録商標）によって切断され、その後のプロセスはＩＣＣと同様に、ＳＥＬｉｎｕｘ（登録商標）から通信要求をＤｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒに送信して判断するファイル操作及びソケット操作は内顆粒層に関わるアクセス制御。
【発明の詳細な説明】
【技術分野】
【0001】
本発明はＡｎｄｒｏｉｄ（登録商標）のセキュリティや、モバイルインターネット及びインダストリアルインターネット環境下におけるシステムのセキュリティとプライバシー保護の分野に関し、特に動的権限セットに基づくＡｎｄｒｏｉｄ（登録商標）権限昇格攻撃検出方法に関する。
【背景技術】
【0002】
Ａｎｄｒｏｉｄ（登録商標）システムは現在、モバイルプラットフォームにおける主流のオペレーティングシステムとなっており、そのセキュリティ問題もますます注目されている。Ａｎｄｒｏｉｄ（登録商標）は権限メカニズム、隔離メカニズム、アプリケーション署名などの方式を採用してプラットフォームのセキュリティを保証しているが、深刻な欠陥があり、第一は、アプリケーションプログラムの権限は、セキュリティ保護の警戒心が欠けているユーザーに付与することと、第二は、権限昇格攻撃が存在すること。
【0003】
現在のＡｎｄｒｏｉｄ（登録商標）のセキュリティに対する仕事は、主に権限解析や、ランタイムチェックとデータ追跡、静的解析などがある。しかし、これらのメカニズムは、権限昇格攻撃、特に実行時にマルチアプリケーションの共謀攻撃に直面する場合、有効な防御方法がない。多くのアクセス制御ポリシーで、Ａｎｄｒｏｉｄ（登録商標）セキュリティモデルに有向グラフが導入されたが、時間複雑度が高すぎ、且つＡｐｐ間の通信方向に依存するという問題がある。これらの問題に対して、本発明は、プロセス通信の有向グラフを基礎として強連結集約図を構築し、動的権限セットを単一のアプリケーション権限に代え、そして素集合及び権限昇格パスを通じて権限セットの追跡を行い、相持ち下の線形時間の決定アルゴリズムを実現する。
【発明の概要】
【課題を解決するための手段】
【0004】
本発明が解決しようとする技術的な課題は従来技術の欠陥を克服し、動的権限セットに基づくＡｎｄｒｏｉｄ（登録商標）権限昇格攻撃検出方法を提案し、まず強連結成分の権限分布特性を解析し、動的権限セットの区分を構築する。次に、情報フローと権限セットが結合された上で、権限昇格パスを抽象化させる。最後に、線形時間のアクセス制御アルゴリズムを提案し、権限セットを動的追跡することにより、細粒度の決定制御を実現した、提案されたセキュリティモデルによって、権限昇格攻撃をうまく防ぎ、時間複雑度が低下する。
【0005】
上記技術的な課題を解決するために、本発明は以下の技術的手段を提供し、
本発明は、
通信状態図における強連結成分内のアプリケーションの権限セットが等しいという特徴を利用して、悪意のあるアプリの権限昇格攻撃検出方法を提案し、動的権限セットを用いてシステムのアプリケーションに対して同値分割を行い、アプリケーショングループ「ｇｒｏｕｐ」を構築して検索スペースを簡略化し、且つアプリケーションプロセス自身からなる権限チェーンの代わりに、権限セットに基づく「権限昇格パス」を利用し、具体的には、以下のステップを含むことを特徴とする動的権限セットに基づくＡｎｄｒｏｉｄ（登録商標）権限昇格攻撃検出方法、を提案する。
ＤＰ＿ＭＡｎｄｒｏｉｄ（登録商標）モデルの全体的なアーキテクチャにおいて、Ｓｙｓｔｅｍ Ｖｉｅｗは、コンピューティングシステムの通信状態図を記憶するために使用され、Ｄｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒは、一つのコンポーネントであり、通信状態図及びシステムの危険な権限セット（ここで、ＭＡＣ Ｐｏｌｉｃｙコンポーネントによって提供される）に基づいてＩＣＣの呼び出しや、ソケット通信及びファイルＩ／Ｏ操作などを含む現在の通信要求について判断し、ＳＥＬｉｎｕｘ（登録商標）は、内顆粒層にあり、主にコバートチャネルを制御するために使用され、ここでは主にＩ／Ｏ操作、ソケット操作などを指し、
以下、それぞれいくつかの通信操作について説明し、
１）新しいアプリケーションプログラムをインストールする際に、ネイティブのＡｎｄｒｏｉｄ（登録商標）システムは、Ｍａｎｉｆｅｓｔファイルから権限を抽出し、且つＰｅｒｍｉｓｓｉｏｎ権限ライブラリに記憶し、ここで、Ｓｙｓｔｅｍ ｖｉｅｗでのノード作成作業を追加し、且つＭａｎｉｆｅｓｔの権限に基づいてノードのＰ＿ＳＥＴ＿ＳＴＡＴＩＣ属性に値を割り当て、同様にプログラムがアンインストールされる時には、Ｐｅｒｍｉｓｓｉｏｎデータベースが削除操作を行い、Ｓｙｓｔｅｍ ｖｉｅｗのノードも削除され、アルゴリズム３を実行して全図のＰ＿ＳＥＴセットが更新される新しいプログラムのインストールと、
２）ネイティブのＡｎｄｒｏｉｄ（登録商標）と同様に、参照モニタ（リファレンスモニタ）によって呼び出しを処理するには、まずＰｅｒｍｉｓｓｉｏｎ権限ライブラリに基づいて判断し、ネイティブのＡｎｄｒｏｉｄ（登録商標）権限要求を満たさなければ、通信は直接拒否され、そうでなければ、Ｄｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒを呼び出して判断し、まずＤｅｃｉｓｉｏｎデータベースに問い合わせてシステム状態図と通信要求側がデータベースにいるかどうかを見て、もしあれば、前に計算した結果に従って直接戻り、そうでなければ、通信要求をＳｙｓｔｅｍ ｖｉｅｗに送り、Ｇｒａｐｈ ｍａｋｅｒによって通信状態図の強連結集約計算を行い、Ｓｙｓｔｅｍ ｖｉｅｗによってアルゴリズム３でＰ＿ＳＥＴセットを比較し（ここで、ＭＡＣ Ｐｏｌｉｃｙが危険な権限セットを提供する）、通信が許可された場合、結果をＤｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒに戻し、決定及び現在のシステム通信状態図をＤｅｃｉｓｉｏｎデータベースに記憶し、次回の通信判断で直接利用し、効率を高めるＩＣＣの呼び出しと、
３）ＩＣＣと同様に判断するが、ＩＣＣにおいて参照モニタによって切断された通信要求はここでＳＥＬｉｎｕｘ（登録商標）によって切断され、その後のプロセスはＩＣＣと同様に、ＳＥＬｉｎｕｘ（登録商標）から通信要求をＤｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒに送信して判断するファイル操作及びソケット操作は内顆粒層に関わるアクセス制御。
本発明は、
通信状態図における強連結成分内のアプリケーションの権限セットが等しいという特徴を利用して、悪意のあるアプリの権限昇格攻撃検出方法を提案し、動的権限セットを用いてシステムのアプリケーションに対して同値分割を行い、アプリケーショングループ「ｇｒｏｕｐ」を構築して検索スペースを簡略化し、且つアプリケーションプロセス自身からなる権限チェーンの代わりに、権限セットに基づく「権限昇格パス」を利用し、具体的には、以下のステップを含むことを特徴とする動的権限セットに基づくＡｎｄｒｏｉｄ（登録商標）権限昇格攻撃検出方法、を提案する。
ＤＰ＿ＭＡｎｄｒｏｉｄ（登録商標）モデルの全体的なアーキテクチャにおいて、Ｓｙｓｔｅｍ Ｖｉｅｗは、コンピューティングシステムの通信状態図を記憶するために使用され、Ｄｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒは、一つのコンポーネントであり、通信状態図及びシステムの危険な権限セット（ここで、ＭＡＣ Ｐｏｌｉｃｙコンポーネントによって提供される）に基づいてＩＣＣの呼び出しや、ソケット通信及びファイルＩ／Ｏ操作などを含む現在の通信要求について判断し、ＳＥＬｉｎｕｘ（登録商標）は、内顆粒層にあり、主にコバートチャネルを制御するために使用され、ここでは主にＩ／Ｏ操作、ソケット操作などを指し、
以下、それぞれいくつかの通信操作について説明し、
１）新しいアプリケーションプログラムをインストールする際に、ネイティブのＡｎｄｒｏｉｄ（登録商標）システムは、Ｍａｎｉｆｅｓｔファイルから権限を抽出し、且つＰｅｒｍｉｓｓｉｏｎ権限ライブラリに記憶し、ここで、Ｓｙｓｔｅｍ ｖｉｅｗでのノード作成作業を追加し、且つＭａｎｉｆｅｓｔの権限に基づいてノードのＰ＿ＳＥＴ＿ＳＴＡＴＩＣ属性に値を割り当て、同様にプログラムがアンインストールされる時には、Ｐｅｒｍｉｓｓｉｏｎデータベースが削除操作を行い、Ｓｙｓｔｅｍ ｖｉｅｗのノードも削除され、アルゴリズム３を実行して全図のＰ＿ＳＥＴセットが更新される新しいプログラムのインストールと、
２）ネイティブのＡｎｄｒｏｉｄ（登録商標）と同様に、参照モニタ（リファレンスモニタ）によって呼び出しを処理するには、まずＰｅｒｍｉｓｓｉｏｎ権限ライブラリに基づいて判断し、ネイティブのＡｎｄｒｏｉｄ（登録商標）権限要求を満たさなければ、通信は直接拒否され、そうでなければ、Ｄｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒを呼び出して判断し、まずＤｅｃｉｓｉｏｎデータベースに問い合わせてシステム状態図と通信要求側がデータベースにいるかどうかを見て、もしあれば、前に計算した結果に従って直接戻り、そうでなければ、通信要求をＳｙｓｔｅｍ ｖｉｅｗに送り、Ｇｒａｐｈ ｍａｋｅｒによって通信状態図の強連結集約計算を行い、Ｓｙｓｔｅｍ ｖｉｅｗによってアルゴリズム３でＰ＿ＳＥＴセットを比較し（ここで、ＭＡＣ Ｐｏｌｉｃｙが危険な権限セットを提供する）、通信が許可された場合、結果をＤｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒに戻し、決定及び現在のシステム通信状態図をＤｅｃｉｓｉｏｎデータベースに記憶し、次回の通信判断で直接利用し、効率を高めるＩＣＣの呼び出しと、
３）ＩＣＣと同様に判断するが、ＩＣＣにおいて参照モニタによって切断された通信要求はここでＳＥＬｉｎｕｘ（登録商標）によって切断され、その後のプロセスはＩＣＣと同様に、ＳＥＬｉｎｕｘ（登録商標）から通信要求をＤｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒに送信して判断するファイル操作及びソケット操作は内顆粒層に関わるアクセス制御。
【発明の効果】
【0006】
従来技術と比較して、本発明の有益な効果は以下の通りであり、
本発明の技術手段は、Ａｎｄｒｏｉｄ（登録商標）の悪意のあるアプリの権限昇格攻撃問題に対して、強連結集約図を利用して権限昇格パスを抽象化させ、権限セットを動的に追跡する方法を通じて細粒度の悪意のある攻撃パスの探査を実現する。それとともに、攻撃実例モデルを通じて、提案されたＡｎｄｒｏｉｄ（登録商標）権限昇格攻撃検出方法は、時間複雑度や、空間複雑度及び権限昇格攻撃の抵抗能力などの面で優れた性能と安全性を持っており、Ａｎｄｒｏｉｄ（登録商標）システム下のアプリケーションセキュリティーとプライバシー保護に積極的な役割を持っていることが証明された。
本発明の技術手段は、Ａｎｄｒｏｉｄ（登録商標）の悪意のあるアプリの権限昇格攻撃問題に対して、強連結集約図を利用して権限昇格パスを抽象化させ、権限セットを動的に追跡する方法を通じて細粒度の悪意のある攻撃パスの探査を実現する。それとともに、攻撃実例モデルを通じて、提案されたＡｎｄｒｏｉｄ（登録商標）権限昇格攻撃検出方法は、時間複雑度や、空間複雑度及び権限昇格攻撃の抵抗能力などの面で優れた性能と安全性を持っており、Ａｎｄｒｏｉｄ（登録商標）システム下のアプリケーションセキュリティーとプライバシー保護に積極的な役割を持っていることが証明された。
【図面の簡単な説明】
【0007】
図面は、本発明のさらなる理解を提供するためのものであり、本発明の実施形態とともに本発明を説明するための明細書の一部を構成するためのものであり、本発明の制限を構成するものではない。図面について、
【図1】本発明の安全モデル全体構成図。
【図2】Ｖ１からＶ２へ通信接続要求を開始するフローチャート。
【図3】Ｖ１からＶ２へ通信切断要求を送信するフローチャート。
【図4】攻撃モデル実例の概略図。
【図5】権限昇格攻撃の概略図。
【図6】Ｓｏｕｎｄｃｏｍｂｅｒ攻撃実例の概略図。
【発明を実施するための最良の形態】
【0008】
以下、添付図面を用いて本発明の好適な実施形態を説明するが、ここで説明する好適な実施形態は本発明の説明及び説明にのみ用いられ、本発明を限定するために用いられるものではないことを理解すべきである。
（実施形態１）
（実施形態１）
【0009】
図１－６に示すように、本発明は、動的権限セットに基づくＡｎｄｒｏｉｄ（登録商標）権限昇格攻撃検出方法を提供し、通信状態図における強連結成分内のアプリケーションの権限セットが等しいという特徴を利用して、強制アクセス制御モデルＤＰ＿ＭＡｎｄｒｏｉｄ（登録商標）を設計し、動的権限セットを用いてシステムのアプリケーションに対して同値分割を行い、アプリケーショングループ「ｇｒｏｕｐ」を構築して検索スペースを簡略化し、且つアプリケーションプロセス自身からなる権限チェーンの代わりに、権限セットに基づく「権限昇格パス」を利用し、具体的には、以下のステップを含む。
図１に示すように、ＤＰ＿ＭＡｎｄｒｏｉｄ（登録商標）モデルの全体的なアーキテクチャにおいて、Ｓｙｓｔｅｍ Ｖｉｅｗは、コンピューティングシステムの通信状態図を記憶するために使用され、Ｄｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒは、一つのコンポーネントであり、通信状態図及びシステムの危険な権限セット（ここで、ＭＡＣ Ｐｏｌｉｃｙコンポーネントによって提供される）に基づいてＩＣＣの呼び出しや、ソケット通信及びファイルＩ／Ｏ操作などを含む現在の通信要求について判断し、ＳＥＬｉｎｕｘ（登録商標）は、内顆粒層にあり、主にコバートチャネルを制御するために使用され、ここでは主にＩ／Ｏ操作、ソケット操作などを指し、
以下、それぞれいくつかの通信操作について説明し、
１）新しいアプリケーションプログラムをインストールする際に、ネイティブのＡｎｄｒｏｉｄ（登録商標）システムは、Ｍａｎｉｆｅｓｔファイルから権限を抽出し、且つＰｅｒｍｉｓｓｉｏｎ権限ライブラリに記憶し、ここで、Ｓｙｓｔｅｍ ｖｉｅｗでのノード作成作業を追加し、且つＭａｎｉｆｅｓｔの権限に基づいてノードのＰ＿ＳＥＴ＿ＳＴＡＴＩＣ属性に値を割り当て、同様にプログラムがアンインストールされる時には、Ｐｅｒｍｉｓｓｉｏｎデータベースが削除操作を行い、Ｓｙｓｔｅｍ ｖｉｅｗのノードも削除され、アルゴリズム３を実行して全図のＰ＿ＳＥＴセットが更新される新しいプログラムのインストールと、
２）ネイティブのＡｎｄｒｏｉｄ（登録商標）と同様に、参照モニタ（リファレンスモニタ）によって呼び出しを処理するには、まずＰｅｒｍｉｓｓｉｏｎ権限ライブラリに基づいて判断し、ネイティブのＡｎｄｒｏｉｄ（登録商標）権限要求を満たさなければ、通信は直接拒否され、そうでなければ、Ｄｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒを呼び出して判断し、まずＤｅｃｉｓｉｏｎデータベースに問い合わせてシステム状態図と通信要求側がデータベースにいるかどうかを見て、もしあれば、前に計算した結果に従って直接戻り、そうでなければ、通信要求をＳｙｓｔｅｍ ｖｉｅｗに送り、Ｇｒａｐｈ ｍａｋｅｒによって通信状態図の強連結集約計算を行い、Ｓｙｓｔｅｍ ｖｉｅｗによってアルゴリズム３でＰ＿ＳＥＴセットを比較し（ここで、ＭＡＣ Ｐｏｌｉｃｙが危険な権限セットを提供する）、通信が許可された場合、結果をＤｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒに戻し、決定及び現在のシステム通信状態図をＤｅｃｉｓｉｏｎデータベースに記憶し、次回の通信判断で直接利用し、効率を高めるＩＣＣの呼び出しと、
３）ＩＣＣと同様に判断するが、ＩＣＣにおいて参照モニタによって切断された通信要求はここでＳＥＬｉｎｕｘ（登録商標）によって切断され、その後のプロセスはＩＣＣと同様に、ＳＥＬｉｎｕｘ（登録商標）から通信要求をＤｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒに送信して判断するファイル操作及びソケット操作は内顆粒層に関わるアクセス制御。
図１に示すように、ＤＰ＿ＭＡｎｄｒｏｉｄ（登録商標）モデルの全体的なアーキテクチャにおいて、Ｓｙｓｔｅｍ Ｖｉｅｗは、コンピューティングシステムの通信状態図を記憶するために使用され、Ｄｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒは、一つのコンポーネントであり、通信状態図及びシステムの危険な権限セット（ここで、ＭＡＣ Ｐｏｌｉｃｙコンポーネントによって提供される）に基づいてＩＣＣの呼び出しや、ソケット通信及びファイルＩ／Ｏ操作などを含む現在の通信要求について判断し、ＳＥＬｉｎｕｘ（登録商標）は、内顆粒層にあり、主にコバートチャネルを制御するために使用され、ここでは主にＩ／Ｏ操作、ソケット操作などを指し、
以下、それぞれいくつかの通信操作について説明し、
１）新しいアプリケーションプログラムをインストールする際に、ネイティブのＡｎｄｒｏｉｄ（登録商標）システムは、Ｍａｎｉｆｅｓｔファイルから権限を抽出し、且つＰｅｒｍｉｓｓｉｏｎ権限ライブラリに記憶し、ここで、Ｓｙｓｔｅｍ ｖｉｅｗでのノード作成作業を追加し、且つＭａｎｉｆｅｓｔの権限に基づいてノードのＰ＿ＳＥＴ＿ＳＴＡＴＩＣ属性に値を割り当て、同様にプログラムがアンインストールされる時には、Ｐｅｒｍｉｓｓｉｏｎデータベースが削除操作を行い、Ｓｙｓｔｅｍ ｖｉｅｗのノードも削除され、アルゴリズム３を実行して全図のＰ＿ＳＥＴセットが更新される新しいプログラムのインストールと、
２）ネイティブのＡｎｄｒｏｉｄ（登録商標）と同様に、参照モニタ（リファレンスモニタ）によって呼び出しを処理するには、まずＰｅｒｍｉｓｓｉｏｎ権限ライブラリに基づいて判断し、ネイティブのＡｎｄｒｏｉｄ（登録商標）権限要求を満たさなければ、通信は直接拒否され、そうでなければ、Ｄｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒを呼び出して判断し、まずＤｅｃｉｓｉｏｎデータベースに問い合わせてシステム状態図と通信要求側がデータベースにいるかどうかを見て、もしあれば、前に計算した結果に従って直接戻り、そうでなければ、通信要求をＳｙｓｔｅｍ ｖｉｅｗに送り、Ｇｒａｐｈ ｍａｋｅｒによって通信状態図の強連結集約計算を行い、Ｓｙｓｔｅｍ ｖｉｅｗによってアルゴリズム３でＰ＿ＳＥＴセットを比較し（ここで、ＭＡＣ Ｐｏｌｉｃｙが危険な権限セットを提供する）、通信が許可された場合、結果をＤｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒに戻し、決定及び現在のシステム通信状態図をＤｅｃｉｓｉｏｎデータベースに記憶し、次回の通信判断で直接利用し、効率を高めるＩＣＣの呼び出しと、
３）ＩＣＣと同様に判断するが、ＩＣＣにおいて参照モニタによって切断された通信要求はここでＳＥＬｉｎｕｘ（登録商標）によって切断され、その後のプロセスはＩＣＣと同様に、ＳＥＬｉｎｕｘ（登録商標）から通信要求をＤｅｃｉｓｉｏｎ Ｃｈｅｃｋｅｒに送信して判断するファイル操作及びソケット操作は内顆粒層に関わるアクセス制御。
【0010】
具体的には、まずシステム通信状態図の定義を与える定理の前置き。
【0011】
定義１は、システム通信の有向グラフＧ＝（Ｖ，Ｅ）において、頂点セットＶは通信主体を表し、Ｅは通信接続、Ｅの方向は通信情報フローの方向を指定する。頂点Ｖの属性Ｐ ＿ＳＥＴは、通信接続におけるノードの権限セットを定義する。
【0012】
Ｇ＿ＳＣＣ＝（Ｖ＿ＳＣＣ，Ｅ＿ＳＣＣ）は、Ｇ＝（Ｖ，Ｅ）における各強連結成分を、単一ノードから形成された強連結集約図に抽象化させることと定義する。
【0013】
定義２は、Ｇ＝（Ｖ，Ｅ）におけるエッジセットＥは、ＩＣＣ呼び出し、ファイルアクセス、インターネットソケット操作を中心とした片方向と双方向通信接続が含まれる。
【0014】
１）双方向通信において、ｖ＿１，ｖ＿２∈Ｖとし、ｖ＿１→ｖ＿２（ｖ＿２→ｖ＿１）のＩＣＣ呼び出し、ソケット呼び出し、双方向ファイル読み出し／書き込みアクセスなどが存在するなら、∃ｅ＿１，ｅ＿２∈Ｅ∧ｅ＿１＝（ｖ＿１，ｖ＿２ ）∧ｅ＿２＝（ｖ＿２，ｖ＿１）。
【0015】
２）片方向通信において、ｖ＿１，ｖ＿２∈Ｖとし、ｖ＿１→ｖ＿２（ｖ＿２→ｖ＿１）の片方向ファイル読み出し／書き込みアクセスが存在するなら、∃ｅ∈Ｅ∧（ｅ＝（ｖ＿１，ｖ＿２ ）∨ｅ＝（ｖ＿２，ｖ＿１））。
【0016】
定理１、権限の転送特性について、ｖ＿１，ｖ＿２∈Ｖ、且つ、∃ｅ∈Ｅ，ｅ＝（ｖ＿１，ｖ＿２）とするなら、ｖ＿１→Ｐ＿ＳＥＴ⊆ｖ＿２→Ｐ＿ＳＥＴ。
【0017】
ｅ＝（ｖ＿１，ｖ＿２）である場合、定義１によって、情報がｖ＿１からｖ＿２へ流れ、ｖ＿１に特定の情報を取得できる権限がある場合、ｖ＿２も取得でき、ｖ＿１の権利がｖ＿２に転送され、さらにｖ＿１→Ｐ＿ＳＥＴ⊆ｖ＿２→Ｐ＿ＳＥＴと証明される。
【0018】
推論１、権限チェーンについては、Ｇ＝（Ｖ，Ｅ）には、単一ソース有向パスｐ＝（ｖ＿１，ｖ＿２，・・・，ｖ＿ｋ）が存在するなら、ここで、ｖ＿１，ｖ＿２，・・・，ｖ＿ｋ∈Ｖであると、ｖ＿ｉ→Ｐ＿ＳＥＴ＝ｖ＿１→Ｐ＿ＳＥＴ∪ｖ＿２→Ｐ＿ＳＥＴ∪・・・∪ｖ＿ｉ→Ｐ＿ＳＥＴ。即ち、ノードの権限セットＰ＿ＳＥＴは有向パスに沿って転送する特性を有し、転送方向は情報フローと同方向である。ここで、パスｐを「権限チェーン」と呼び、方向は、ｖ＿１→ｖ＿ｋであり、ここで、ｖ＿１は権限チェーンの開始点であり、ｖ＿ｋは終点である。
【0019】
定理２、動的権限セットについて、強連結成分内の各ノードの権限セットは等しく、各ノードのＰ＿ＳＥＴの連合である。ここで、強連結成分内の頂点権限の連合を「動的権限セット」と呼ぶ。即ち、∃Ｖ＿ｉ∈Ｖ＿ＳＣＣ∧ｖ＿１，ｖ＿２，・・・，ｖ＿ｋ∈Ｖ＿ｉである場合、動的権限セットは、Ｖ＿ｉ→Ｐ＿ＳＥＴ＝ｖ＿１→Ｐ＿ＳＥＴ∪ｖ＿２→Ｐ＿ＳＥＴ∪・・・∪ｖ＿ｋ→Ｐ＿ＳＥＴである。
【0020】
ｖ＿１→Ｐ＿ＳＥＴ≠ｖ＿２→Ｐ＿ＳＥＴである場合、次式であり、
【0021】
【数1】
【0022】
強連結の定義によって、ｖ＿１、ｖ＿２は相互に到達できるため、そのため、相互に権限を転送することができ、推論１によって、ｌａｂｅｌ∈ｖ＿１→Ｐ＿ＳＥＴ⇒ｌａｂｅｌ∈ｖ＿２→Ｐ＿ＳＥＴが推論され、矛盾を導き出し，それによって定理は証明される。
【0023】
推論２、権限昇格パスについて、強連結集約図Ｇ＿ＳＣＣには、単一ソース有向パスｐ＝（Ｖ＿１，Ｖ＿２，・・・，Ｖ＿ｋ）が存在するなら、ここで、Ｖ＿１，Ｖ＿２，・・・，Ｖ＿ｋ∈Ｖ＿ＳＣＣであると、Ｖ＿ｉ→Ｐ＿ＳＥＴ＝Ｖ＿１→Ｐ＿ＳＥＴ∪Ｖ＿２→Ｐ＿ＳＥＴ∪・・・∪Ｖ＿ｉ→Ｐ＿ＳＥＴ。ここで、パスｐをシステムの「権限昇格パス」と呼び、即ち動的権限セットの転送パスである。権限セットの動的性は、２つの側面から導出され、第１は、Ｖ＿ｉの権限セットは、Δを変え、ここで、ｉ≦ｋであると、Ｖ＿（ｉ＋１），Ｖ＿（ｉ＋２），・・・Ｖ＿ｋの権限セットもΔを変える。第２は、システムの強連結集約図は、通信状況によって変化し、即ち強連結成分及び対応する権限セットも変化する可能性がある。特に、権限昇格パスの各Ｖ＿ｉに一つのノードｖ＿ｉのみ含まれる場合、権限昇格パスは、権限チェーンに退化するため、権限チェーンは、権限昇格パスの特例である。
【0024】
制御戦略の詳細については、
モデルのアクセス制御規則は、「規則１．１～２．２」によって定義され、通信接続の確立と切断状況からそれぞれ考慮される。
モデルのアクセス制御規則は、「規則１．１～２．２」によって定義され、通信接続の確立と切断状況からそれぞれ考慮される。
【0025】
tw(v1, v2)をv1からv2へ双方向通信接続を開始するイベントと定義し、sw(v1, v2)をv1からv2へ片方向通信接続を開始するイベントと定義し、且つ、v1, v2が所属する強連結成分は、それぞれV1, V2である。V1, V2の間に、Ｋ本の有向辺が存在すると仮定すると、count[V1][V2]=kである。
【0026】
１）v1, v2は、通信接続を確立する。
【0027】
規則１．１ 、tw(v1, v2) ∧V1= V2である場合、定理２によって、v1, v2のＰ＿ＳＥＴが等しく、通信接続の確立が直接許可される。
【0028】
規則１．２、tw(v1, v2) ∧V1≠ V2である場合、動的権限セットを併合し、V= V1∪V2且つＶ→Ｐ＿ＳＥＴ＝Ｖ１→Ｐ＿ＳＥＴ∪Ｖ２→Ｐ＿ＳＥＴであるとともに、Ｖから出発した権限昇格パス上のノード権限セットを更新し、すべての更新されたＰ＿ＳＥＴが危険な権限セットと一致しない場合、通信接続の確立が許可される。
【0029】
規則１．３、sw(v1, v2) ∧V1＝V2である場合、状況はルール１．１と同等であり、通信接続の確立が直接許可される。
【0030】
規則１．４、sw(v1, v2) ∧V1≠ V2である場合、count[V1][V2] ≧１という条件を満たすと、通信接続の確立が許可され、count[V1][V2] ≧１であると、通信の確立により、V1,V2が同じ強連結成分V= V1∪V2に併合され、ルール１．２で判断できる。count[V1][V2]=０である場合、V1,V2が単一連結成分に形成し、V2から出発した権限昇格パス上の各ポイントのP_SETをＶi→Ｐ＿ＳＥＴ＝Ｖi→Ｐ＿ＳＥＴ∪Ｖ１→Ｐ＿ＳＥＴに更新する。すべての更新されたＰ＿ＳＥＴが危険な権限セットと一致しない場合、通信接続の確立が許可される。
【0031】
特例としては、V1≠ V2である場合、tw(v1, v2) ∧∃p＝（V1, Vi,・・・, V2）又はsw(v1, v2) ∧∃p＝（V2, Vi,・・・, V1）という条件を満たすと、V1, Vi,・・・, V2はループを形成し、ループの判断について、明示的に実行する必要はなく、規則1.2又は規則1.4で正常に判断し、V＝V1∪V2から出発した権限昇格パス上を更新すればよい。明らかにループ上の各ノードの権限セットは更新され、更新後は互いに等しくなり、強連結成分の権限分布特性を維持する。
【0032】
２）v1, v2間の通信接続が切断する。この場合、危険な権限セットは生成されないため、強連結集約図Gsccの変化及び対応するＰ＿ＳＥＴセットの変更を考慮すればよい。
【0033】
規則２．１、V1≠ V2である場合、でcount[V1][V2]=１あると、V2を根とする有向木における各ノードの権限セットはＶi→Ｐ＿ＳＥＴ＝Ｖi→Ｐ＿ＳＥＴ＼Ｖ１→Ｐ＿ＳＥＴに更新され、且つcount[V1][V2]=０。
【0034】
規則２．２、V1＝V2である場合、強連通集約図Gsccを再計算し、各ノードのP_SETを更新すべきである。有向にループ図がないという特性に基づいて、依然として線形時間内に制約されるために、アルゴリズムを更新する。
【0035】
意思決定の効率を高めるために、「素集合」を導入して強連結成分を抽象化させる。アルゴリズムＦＩＮＤは、ノードｘが属する強連結成分を検索する（そして、素集合の根ノードを検索する）
アルゴリズムＦＩＮＤ
ノードｘ、親方向ポインタｐを入力する。
ｘが属する強連結成分を出力する。
１） ｉｆ ｐ[ｘ]≠ｘ ｒｅｔｕｒｎ ｐ[ｘ]=FIND(ｐ[ｘ])
１） ｒｅｔｕｒｎ ｐ[ｘ]
ＦＩＮＤアルゴリズムの時間複雑度はO (α(n))であり、ここで、α(n)は成長が極めて遅い関数であり、通常α(n) ≦４であると、ＦＩＮＤアルゴリズムは一定時間O（1）内に完了すると考えられる。
アルゴリズムＦＩＮＤ
ノードｘ、親方向ポインタｐを入力する。
ｘが属する強連結成分を出力する。
１） ｉｆ ｐ[ｘ]≠ｘ ｒｅｔｕｒｎ ｐ[ｘ]=FIND(ｐ[ｘ])
１） ｒｅｔｕｒｎ ｐ[ｘ]
ＦＩＮＤアルゴリズムの時間複雑度はO (α(n))であり、ここで、α(n)は成長が極めて遅い関数であり、通常α(n) ≦４であると、ＦＩＮＤアルゴリズムは一定時間O（1）内に完了すると考えられる。
【0036】
アルゴリズムＵＮＩＯＮは２つの強連結成分をを併合する。
アルゴリズムＵＮＩＯＮ
併合される2つの素集合の根ノードx、y、ブール変数chを入力する。
１) ｐ[y]=x
２) x → Ｐ＿ＳＥＴ = x → Ｐ＿ＳＥＴ + y → Ｐ＿ＳＥＴ
３) x → neighbors = x → neighbors + y → neighbors
4) if ch = 1
5) foreach vertex n in Vscc do
6) count[x][n] = count[x][n] + count[y][n]
7) count[n][x] = count[n][x] + count[n][y]
ＵＮＩＯＮアルゴリズムの最悪の場合の時間複雑度は、O(Vscc) ≦O (V)である。
アルゴリズムＵＮＩＯＮ
併合される2つの素集合の根ノードx、y、ブール変数chを入力する。
１) ｐ[y]=x
２) x → Ｐ＿ＳＥＴ = x → Ｐ＿ＳＥＴ + y → Ｐ＿ＳＥＴ
３) x → neighbors = x → neighbors + y → neighbors
4) if ch = 1
5) foreach vertex n in Vscc do
6) count[x][n] = count[x][n] + count[y][n]
7) count[n][x] = count[n][x] + count[n][y]
ＵＮＩＯＮアルゴリズムの最悪の場合の時間複雑度は、O(Vscc) ≦O (V)である。
【0037】
【0038】
アルゴリズム１、ＤＦＳ＿ＴＡＲＪＡＮ
有向グラフＧの隣接リスト記述と、頂点アクセス時刻を記録する配列ｄｆｎと、スタック内の頂点が到達できる最小ｄｆｎ値を記録する配列ｌｏｗと、素集合の根ノードｒｏｏｔと、を入力する。
有向グラフＧの強連結集約図Gsccを出力する。
１) foreach vertex u in G do
２) low[u] = dfn[u] = index + 1
３) push u to stack
４) foreach (u, v) in E do
５) if v is not in stack then DFS_TARJAN(v)
６) low[u] = min(low[u], low[v])
７) else if u is in stack
８) low[u] = min(low[u], dfn[u])
９） if dfn[u] = low[u] then pop the stack from top to u as a Vscc
１０) foreach vertex u,v in Vscc do
１１) root = UNION(u,v,0)
１２) add root into Gscc
１３) foreach edge e = (u, v) in G do
１４) if FIND(u) ≠ FIND(v)
１５) cont[FIND(u)] [FIND(v)]++
１６) FIND(u) → neighbors[k++] = FIND(v)
１７) end
集約分析によると、各頂点は、スタックにプッシュされたり、スタックからポップされるのは１回だけである。すべてのＵＮＩＯＮ操作は、合わせてO(V)回が実行され、ＵＮＩＯＮ時を呼び出す時のパラメータch = 0であるため、ＵＮＩＯＮアルゴリズムの総時間複雑度は0(V)であり、それによってアルゴリズムＤＦＳ＿ＴＡＲＪＡＮの時間複雑度は0(V + E)が得られる。
有向グラフＧの隣接リスト記述と、頂点アクセス時刻を記録する配列ｄｆｎと、スタック内の頂点が到達できる最小ｄｆｎ値を記録する配列ｌｏｗと、素集合の根ノードｒｏｏｔと、を入力する。
有向グラフＧの強連結集約図Gsccを出力する。
１) foreach vertex u in G do
２) low[u] = dfn[u] = index + 1
３) push u to stack
４) foreach (u, v) in E do
５) if v is not in stack then DFS_TARJAN(v)
６) low[u] = min(low[u], low[v])
７) else if u is in stack
８) low[u] = min(low[u], dfn[u])
９） if dfn[u] = low[u] then pop the stack from top to u as a Vscc
１０) foreach vertex u,v in Vscc do
１１) root = UNION(u,v,0)
１２) add root into Gscc
１３) foreach edge e = (u, v) in G do
１４) if FIND(u) ≠ FIND(v)
１５) cont[FIND(u)] [FIND(v)]++
１６) FIND(u) → neighbors[k++] = FIND(v)
１７) end
集約分析によると、各頂点は、スタックにプッシュされたり、スタックからポップされるのは１回だけである。すべてのＵＮＩＯＮ操作は、合わせてO(V)回が実行され、ＵＮＩＯＮ時を呼び出す時のパラメータch = 0であるため、ＵＮＩＯＮアルゴリズムの総時間複雑度は0(V)であり、それによってアルゴリズムＤＦＳ＿ＴＡＲＪＡＮの時間複雑度は0(V + E)が得られる。
【0039】
アルゴリズムＢＦＳ＿ＵＰＤＡＴＥは、Gsccにおけるノードu∈Vsccから権限昇格パスを更新し、ｕを根とする有向木上の頂点権限セットを幅優先探索でトラバーサルし、権限昇格攻撃の有無を判断する。
アルゴリズム２、ＢＦＳ＿ＵＰＤＡＴＥ
更新するノードｕと、削除又は追加するラベルセットΔ→Ｐ＿ＳＥＴと、ブール変数ｃｈと、セカンダリキューｑｕｅｕｅと、を入力する。
権限昇格攻撃の有無を出力する。
１) add u into queue
２) while queue is not empty do
３) pop the top element n from queue
４) if ch = 1
５) n→Ｐ＿ＳＥＴ = n→Ｐ＿ＳＥＴ + Δ→Ｐ＿ＳＥＴ
６) if Ｐ＿ＳＥＴdangerous = n→Ｐ＿ＳＥＴ return true
７) if ch = 0
８) n→Ｐ＿ＳＥＴ = n→Ｐ＿ＳＥＴ - Δ→Ｐ＿ＳＥＴ
９) foreach v in n→neighbors
１０) add v into queue
アルゴリズムＢＦＳ＿ＵＰＤＡＴＥは幅優先探索で更新し、マルチ分岐ノードを繰り返して更新するのが回避され、効率を向上させ、且つGsccループなしの特性によって、時間複雑度の上限をO(Vscc + Escc) ≦ O(V + E)となる。
アルゴリズム２、ＢＦＳ＿ＵＰＤＡＴＥ
更新するノードｕと、削除又は追加するラベルセットΔ→Ｐ＿ＳＥＴと、ブール変数ｃｈと、セカンダリキューｑｕｅｕｅと、を入力する。
権限昇格攻撃の有無を出力する。
１) add u into queue
２) while queue is not empty do
３) pop the top element n from queue
４) if ch = 1
５) n→Ｐ＿ＳＥＴ = n→Ｐ＿ＳＥＴ + Δ→Ｐ＿ＳＥＴ
６) if Ｐ＿ＳＥＴdangerous = n→Ｐ＿ＳＥＴ return true
７) if ch = 0
８) n→Ｐ＿ＳＥＴ = n→Ｐ＿ＳＥＴ - Δ→Ｐ＿ＳＥＴ
９) foreach v in n→neighbors
１０) add v into queue
アルゴリズムＢＦＳ＿ＵＰＤＡＴＥは幅優先探索で更新し、マルチ分岐ノードを繰り返して更新するのが回避され、効率を向上させ、且つGsccループなしの特性によって、時間複雑度の上限をO(Vscc + Escc) ≦ O(V + E)となる。
【0040】
図２と図３に、それぞれ、v1からv2へ通信接続要求及び通信切断要求を開始する際のフローチャートを説明する。安全モデルによる判断する時の時間的複雑度は、最適な場合がO(1)となる。最悪は、システムの強連結集約図を再構築する場合、アルゴリズムＢＦＳ＿ＵＰＤＡＴＥの入力パラメータｕを、Gsccにおける入次数が０となるノードのセットに変更され、集約分析によると、ＢＦＳ＿ＵＰＤＡＴＥアルゴリズムの各ノードはキューに１回のみ出入りするそのため、アルゴリズムの時間複雑度の上限は依然としてO(V + E)となり、線形時間領域範囲内にある。
【0041】
スキーマの正確性の説明について、
定理３、モデルの正確性については、モデル決定アルゴリズムは、マルチアプリケーションマルチ通信方向の共謀攻撃を防ぐことができる。
定理３、モデルの正確性については、モデル決定アルゴリズムは、マルチアプリケーションマルチ通信方向の共謀攻撃を防ぐことができる。
【0042】
１）制御粒度と効率から見ると、まず、アルゴリズムの根拠となる通信状態図Gに情報フローが結合さてており、且つ内顆粒層のコバートチャネルが含まれ、既存モデルの制御粒度よりも細い、次に、具体的なアルゴリズムの解析を通じて、モデルが決定を行う最悪の状況の時間的複雑度は、O(V + E)であり、線形時間領域範囲にあり、既存の同類モデルより優れていると証明される。
【0043】
２）理論の正確性については、権限昇格攻撃の定義および権限転送特性に基づいて、攻撃に参加するアプリケーションの数にかかわらず、システム内に権限転送チェーンを構築することにより、ある点で権限を拡張する目的を達成する。したがって、マルチアプリケーションの共謀攻撃に対する検出は、システムにおける権限チェーンの存在性の検出と見なすことができる。v1, v2の通信確立によるvの権限拡張が発生すると、通信後に必然的に権限チェーンp=(v1, v2,・・・, v)が生成される。そうでなければ、通信前にすでにｐが存在していても、通信後にｐが存在していなくても、v1, v2間の通信によりvの権限に影響する可能性がない。権限チェーンは権限昇格パスの特例であるため、強連結集約図には必ずｐに対応する権限昇格パスpscc = (V1,V２・・・,V)が存在し、ここで、V1,V２,Vは、それぞれv1, v2及びvが所属する強連結成分である。
【0044】
以上の分析に基づいて、v1, v2通信を確立する際には、v1, v2が所属する権限セットV1,V２から出発して、V1,V２が起点となる権限昇格パスpscc上に危険な権限セットが存在するかどうかを検出するだけでよく、すなわち規則１．２（双方向通信）または規則１．４（片方向通信）。したがって、アルゴリズムの正確性が証明される。
【0045】
ここで、図４に示すように、本明細書で提案されたアルゴリズムの正確性を分析するために、抽象的な攻撃モデルの例（スマホ盗聴アプリケーションに基づく）を導入する。
【0046】
図では、６つのノードはそれぞれ６つのアプリケーションを表し、それらの間の有向辺は情報の転送を表し、辺の方向は情報フローの逆方向である。ここで、v4は第三者にデータを公開でき、機密データの転送に利用される可能性が高い。ノードv0は、電話帳、通信音声情報など、コンテンツサービスなどを提供するいくつかのアプリケーションを表し、機密データを含む可能性がある。ノードv1, v2は、通信接続要求を開始するためのアプリケーションであり、通信方向は、v1 ・・・＞ v2（図に示す辺の方向はv2 ・・・＞ v1）。図５に示すように、v1, v2が通信操作を確立する前に、v 1はv 0から情報を取得し、v 4とv3はv2から情報を取得し、v2はv3, v4から情報を取得する。
【0047】
仮定初期時、v4は権限Ａを持ち（ＡはＩＮＴＥＲＮＥＴであってもよい）、v0は権限Ｂを持ち（ＢはＰＲＯＣＥＳＳ＿ＯＵＴＧＯＩＮＧ＿ＣＡＬＬ、ＧＰＳ、 ＳＭＳなどであってもよい）、v3は権限Ｃを持ち、v1v2v5の権限は任意であり、viは権限Xiを持つと定義でき、ここで、i∈｛1,2,5｝ 。このとき、システムの通信状態図に三つの片側連結成分があり、それぞれ｛v1, v4｝、｛v5, v4, v2｝、｛v5, v3, v2｝である。アルゴリズム２によると、v0, v2権限は変更されなく、Ｐ＿ＳＥＴ＿ＳＴＡＴＩＣiで変わらない。v4, v1, v3, v5の権限セットは、アルゴリズム2によると、Ｐ＿ＳＥＴ4 = ｛A, X2｝、Ｐ＿ＳＥＴ1 = ｛B, X1｝、Ｐ＿ＳＥＴ3 = ｛X2, C｝、Ｐ＿ＳＥＴ5 = ｛A, C, X2, X5｝に更新される。危険な権限セットは｛A, B, C｝に定義され、すべてのＰ＿ＳＥＴiと一致しない。
【0048】
v1からv2へ通信接続を要求する際（ユーザによって起動するか、ユーザが知らないうちに他のアプリケーションによって間接的に起動する）、片側連結成分は｛v5, v4, v2, v1, v0｝, ｛v5, v3, v2, v1, v0｝ となり、それとともに、アルゴリズム２によると、各ノードの権限セットは、Ｐ＿ＳＥＴ1 = ｛B, X1｝、Ｐ＿ＳＥＴ2 = ｛B, X1, X2｝、Ｐ＿ＳＥＴ3 = ｛B, C, X1, X2｝、Ｐ＿ＳＥＴ4 = ｛A, B, X1, X2｝、Ｐ＿ＳＥＴ5 = ｛A, B, C, X1, X2｝であり、危険な権限セット｛A, B, C｝と一致するのは、Ｐ＿ＳＥＴ5のみあるため、通信要求は拒否される。２つの片側連結成分の最長パスにより、特権昇格攻撃を発生させる。
【0049】
v1,v2の通信が切断されると、システム状態図はまた初期の３つの片側連結成分を回復し、アルゴリズム２を再実行し、各ノードの権限セットを回復する。
【0050】
実用的な説明は以下の通りであり、
Ａｎｄｒｏｉｄ（登録商標）は権限ラベルメカニズムを導入して通信のセキュリティを保証する。アプリケーションプログラムは必要なＰｅｒｍｉｓｉｏｎｓラベルを指定してユーザー認可を得ることができるとともに、システムにも多くのセキュリティラベルが組み込まれている。このラベルマッチングメカニズムにより、通信の開始者またはリソース要求者が対応する権限ラベルを持っている場合にのみ、通信を確立したりリソースを取得したりすることができる。権限ラベルメカニズムは、不正なアプリケーションによるリソースや機密データの直接取得を阻止するのに優れているが、権限保護されていないサービスを利用した権限拡張のための特権昇格攻撃に対しては、効果的な防御方法が不足している。図５に示すように、アプリケーションＣのコンポーネントは、権限を持つアプリケーションのみがアクセスできるため、アプリケーションＡのコンポーネントは直接アクセスする権限はないが、アクセスする権限があり、このとき、アクセスできる権限があることで、不正にデータを取得することができる。特権昇格攻撃の本質は、システムアプリケーション間に「権限転送チェーン」を構築し、最終的にあるアプリケーション上で「危険な権限セット」を実現することであり、例えば、｛ＩＮＴＥＲＮＥＴ，ＦＩＮＥ＿ＬＯＣＡＴＩＯＮ｝は、あるアプリケーションに危険な権限セットがある場合、機密データ漏洩の危険性がある。アクセス制御リストなどの従来のアクセス制御方法では、特権昇格攻撃の問題を解決できない。本発明の手段は、通信状態図における強連結成分内のアプリケーションの権限セットが等しいという特徴を利用して、動的権限セットを用いてシステムアプリケーションに対して同値分割を行い、有向ループ図なしのＤＡＧを構築して問題を簡略化する。アプリケーション自体で構成された権限チェーンの代わりに権限セットに基づく「権限昇格パス」を使用し、情報フローと動的権限セットを結合した上で権限昇格パスを抽象化させ、権限変化を追跡し、モデルに実行時の意思決定能力を持たせるとともに、権限昇格パスの構築により、モデルはマルチアプリケーションマルチ通信方向の共謀攻撃を防ぐことができる。また、ファイル操作やソケット操作などの内顆粒層のコバートチャネルを考慮したため、内顆粒層のコバートチャネルに基づく共謀攻撃を防ぐことができ、また強連結成分に基づいて動的権限分割を構築し、検索スペースを簡略化縮小し、素集合及び権限昇格パスの特性を利用して、アルゴリズムを線形時間範囲内に拘束することができる。したがって、本発明の態様は良好な実用性を有する。
Ａｎｄｒｏｉｄ（登録商標）は権限ラベルメカニズムを導入して通信のセキュリティを保証する。アプリケーションプログラムは必要なＰｅｒｍｉｓｉｏｎｓラベルを指定してユーザー認可を得ることができるとともに、システムにも多くのセキュリティラベルが組み込まれている。このラベルマッチングメカニズムにより、通信の開始者またはリソース要求者が対応する権限ラベルを持っている場合にのみ、通信を確立したりリソースを取得したりすることができる。権限ラベルメカニズムは、不正なアプリケーションによるリソースや機密データの直接取得を阻止するのに優れているが、権限保護されていないサービスを利用した権限拡張のための特権昇格攻撃に対しては、効果的な防御方法が不足している。図５に示すように、アプリケーションＣのコンポーネントは、権限を持つアプリケーションのみがアクセスできるため、アプリケーションＡのコンポーネントは直接アクセスする権限はないが、アクセスする権限があり、このとき、アクセスできる権限があることで、不正にデータを取得することができる。特権昇格攻撃の本質は、システムアプリケーション間に「権限転送チェーン」を構築し、最終的にあるアプリケーション上で「危険な権限セット」を実現することであり、例えば、｛ＩＮＴＥＲＮＥＴ，ＦＩＮＥ＿ＬＯＣＡＴＩＯＮ｝は、あるアプリケーションに危険な権限セットがある場合、機密データ漏洩の危険性がある。アクセス制御リストなどの従来のアクセス制御方法では、特権昇格攻撃の問題を解決できない。本発明の手段は、通信状態図における強連結成分内のアプリケーションの権限セットが等しいという特徴を利用して、動的権限セットを用いてシステムアプリケーションに対して同値分割を行い、有向ループ図なしのＤＡＧを構築して問題を簡略化する。アプリケーション自体で構成された権限チェーンの代わりに権限セットに基づく「権限昇格パス」を使用し、情報フローと動的権限セットを結合した上で権限昇格パスを抽象化させ、権限変化を追跡し、モデルに実行時の意思決定能力を持たせるとともに、権限昇格パスの構築により、モデルはマルチアプリケーションマルチ通信方向の共謀攻撃を防ぐことができる。また、ファイル操作やソケット操作などの内顆粒層のコバートチャネルを考慮したため、内顆粒層のコバートチャネルに基づく共謀攻撃を防ぐことができ、また強連結成分に基づいて動的権限分割を構築し、検索スペースを簡略化縮小し、素集合及び権限昇格パスの特性を利用して、アルゴリズムを線形時間範囲内に拘束することができる。したがって、本発明の態様は良好な実用性を有する。
【0051】
Ｓｏｕｎｄｃｏｍｂｅｒ盗聴の例を考える。図６に示すように、アプリケーションＡ、Ｂ、ＣおよびＡｕｄｉｏ Ｒｅｃｏｒｄｅｒは、コバートチャネルｃｏｖｅｒｔ ｃｈａｎｎｅｌを介してユーザのプライバシーセッション情報を共謀して盗み出す。
【0052】
危険な権限セットは、{PROCESS_OUTGOING_CALL, INTERNET, RECORDER_AUDIO}に定義される。
【0053】
Ａｕｄｉｏ Ｒｅｃｏｒｄｅｒはマイクを録音し、ＣＯＬＬＡＣＴＩＯＮとＴＲＡＮＳＭＩＴＩＯＮモジュールはそれぞれ意味解析とデータ転送を行う。アプリケーションＣａｌｌ Ｐｒｏｃｅｓｓは、ＰＲＯＣＥＳＳ＿ＯＵＴＧＯＩＮＧ＿ＣＡＬＬ権限を持ち、アプリケーションＡｕｄｉｏ ＲｅｃｏｒｄｅｒとＩＣＣ双方向通信接続を確立し、強連結成分を構成し、対応する動的権限セットは｛ＰＲＯＣＥＳＳ＿ＯＵＴＧＯＩＮＧ＿ＣＡＬＬ，ＲＥＣＯＲＤＥＲ＿ＡＵＤＩＯ｝である。
【0054】
悪意のあるアプリケーションＡは、Ａｕｄｉｏ Ｒｅｃｏｒｄｅｒモジュールのデータを取得するため、Ａのアクセス権セットは｛ＰＲＯＣＥＳＳ＿ＯＵＴＧＯＩＮＧ＿ＣＡＬＬ， ＲＥＣＯＲＤＥＲ＿ＡＵＤＩＯ｝である。アプリケーションＢは、Ｄｅｌｉｖｅｒ Ａｐｐと片方向通信（ファイル書き込み動作）を確立することができ、ＢはＤｅｌｉｖｅｒ Ａｐｐにデータを伝送してＩｎｔｅｒｎｅｔに送信する。
【0055】
ＡがＢに片方向通信接続要求（Ｂを書き込むファイルｃｏｍｍｏｎ ｆｉｌｅ）を開始する場合、
１）ＸｍＡｎｄｒｏｉｄ（登録商標）セキュリティモデルを採用し、毎回２つのアプリケーションを列挙し、危険な権限セットに３つの権限ラベルがあるため、Ｃａｌｌ Ｐｒｏｃｅｓｓ、Ａｕｄｉｏ Ｒｅｃｏｒｄｅｒ、Ｍａｌｗａｒｅ Ａ、Ｍａｌｗａｒｅ Ｂ、Ｄｅｌｉｖｅｒ Ａｐｐのいずれか２つのプログラムからなる権限ラベルセットは危険な権限セットと一致できず、意思決定が失効する。
１）ＸｍＡｎｄｒｏｉｄ（登録商標）セキュリティモデルを採用し、毎回２つのアプリケーションを列挙し、危険な権限セットに３つの権限ラベルがあるため、Ｃａｌｌ Ｐｒｏｃｅｓｓ、Ａｕｄｉｏ Ｒｅｃｏｒｄｅｒ、Ｍａｌｗａｒｅ Ａ、Ｍａｌｗａｒｅ Ｂ、Ｄｅｌｉｖｅｒ Ａｐｐのいずれか２つのプログラムからなる権限ラベルセットは危険な権限セットと一致できず、意思決定が失効する。
【0056】
２）履歴権限セットを用いたセキュリティモデルにおいては、アプリケーションＡのＨｉｓｔｏｒｙ属性は｛ＰＲＯＣＥＳＳ＿ＯＵＴＤＯＩＮＧ＿ＣＡＬＬ，ＲＥＣＯＲＤＥＲ＿ＡＵＤＩＯ｝であり、アプリケーションＢのＨｉｓｔｏｒｙ属性はＮＵＬＬであり、アルゴリズムによるアプリケーションＡ、Ｂを合併したＨｉｓｔｏｒｙ属性は｛ＰＲＯＣＥＳＳ＿ＯＵＴＤＯＩＮＧ＿ＣＡＬＬ，ＲＥＣＯＲＤＥＲ＿ＡＵＤＩＯ｝であり、危険な権限セットと一致せず、通信確立が許可された後、Ｂの隣接点アプリケーションＤｅｌｉｖｅｒ Ａｐｐに対してＨｉｓｔｏｒｙ更新を行い、この時機密データはＡ、Ｂ、Ｄｅｌｉｖｅｒ Ａｐｐを介してＩｎｔｅｒｎｅｔに送信され、意思決定が失効する。
【0057】
３）本発明が提案された意思決定アルゴリズムによれば、片方向通信接続要求であるため、規則１．４に従って、線形時間アルゴリズムＢＦＳ ＿ＵＰＤＡＴＥによって、権限昇格パス｛，Ａ，Ｂ，Ｄｅｌｉｖｅｒ Ａｐｐ｝に沿って権限セットを更新し、Ｄｅｌｉｖｅｒ Ａｐｐプログラムの権限セットは｛ＰＲＯＣＥＳＳ ＿ ＯＵＴＧＯＩＮＧ ＿ ＣＡＬＬ，ＲＥＣＯＲＤＥＲ ＿ ＡＵＤＩＯ，ＩＮＴＲＮＥＴ｝であり、危険な権限セットと一致するため、通信接続が拒否される。
【0058】
最後に、上述は本発明の好適な実施形態にすぎず、本発明を限定するためには使用されないが、上述の実施形態を参照して本発明を詳細に説明したが、当業者にとっては、上述の各実施形態に記載された技術的態様を修正したり、技術的特徴の一部を同等に置き換えたりすることができる。本発明の精神と原則の中で、行ったいかなる修正、等価置換、改良などは、本発明の保護範囲に含まれるべきである。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【国際調査報告】