CN114282261B - 细粒度隐私策略和移动应用行为一致性检查方法 - Google Patents

Abstract

本发明公开了一种细粒度隐私策略和移动应用行为一致性检查方法，步骤1、抽取与解析移动应用程序的隐私策略关键信息；步骤2、使用静态数据流进行数据分析，通过分析数据的流向来判断从特定来源的数据是否最终流向特定的终点；步骤3、在条件判断语句处插桩；步骤4、寻找从图形界面到被***位置的数据流，用于判断用户的选择能否干预数据的泄露，对比隐私策略的完成隐私策略和移动应用行为一致性检查等级描述。与现有技术相比，本发明能够判断Android移动应用程序的行为及其隐私策略是否具有一致性，识别用户在使用移动应用程序时出现的隐私泄露情况，帮助用户了解移动应用程序对数据的使用情况，进而更大程度地保护用户的隐私数据。

Description

细粒度隐私策略和移动应用行为一致性检查方法

技术领域

本发明涉及软件静态分析和自然语言处理领域，特别是涉及一种细粒度隐私策略和移动应用行为一致性检查方法。

背景技术

当下移动应用程序已经成为人们生活中不可或缺的一部分。移动应用程序深入到人们生活的方方面面，在此同时也产生了很多的隐私问题，有相关研究表明隐私敏感信息(如设备标识符和地理位置)在普遍和持续地被泄露。隐私安全是一个长期存在的开放研究挑战。因此，解决移动应用程序用户隐私的安全性问题已是迫在眉睫。

隐私策略是一种有法律效应的文件，其规定了应用程序在收集用户数据时的一系列限制。用户的数据中哪些可以收集、哪些可以共享给第三方、哪些仅仅自己使用、哪些本地使用以及哪些数据会上传到云端等都被提前写在隐私策略里。近几年，关于隐私策略和应用程序行为一致性检查的研究逐渐增多，但是以前的研究大多数停留于粗糙的表面，并没有对隐私策略和移动应用的实际行为做细粒度的研究。如何对是否声明数据泄露进行深入到细节的判断是本发明亟待解决的技术问题。

发明内容

本发明旨在提出了一种细粒度隐私策略和移动应用行为一致性检查方法，从移动应用程序行为和隐私策略出发，建立了一套应用程序行为和隐私策略一致性检查方案，来发现真实行为和隐私策略声明的有所出入的情况，对移动应用程序生成相应的一致性检测报告，完成了识别用户在使用移动应用程序时出现的隐私泄露情况。

本发明利用以下技术方案实现：

一种细粒度隐私策略和移动应用行为一致性检查方法，该方法具体包括以下步骤：

步骤1、抽取与解析移动应用程序的隐私策略关键信息，包括利用命名实体识别模型标识每一个句子中每一个词的词性和依赖关系，进而分析出不同词语的依赖关系；以及，根据语法树中词语的依赖关系抽取关键信息包括句子主干、相关修饰成分，进而获得隐私策略中所声明的信息列表；

步骤2、使用静态数据流进行数据分析，通过分析数据的流向来判断从特定来源的数据是最终流向特定的终点；具体包括，首先根据程序的执行逻辑构建调用关系图和数据流图，找到所有敏感API的调用位置，然后从一系列终点向前追踪数据流，判断数据流是否来自于特定的来源；最后，判断敏感数据泄露和判断用户是否能够干预敏感数据泄露；

步骤3、在条件判断语句处插桩，实现了将终点设置为被***的函数，插桩点的确定和语句的***通过对smali字节码的分析完成；

步骤4、寻找从图形界面到被***位置的数据流，用于判断用户的选择能否干预数据的泄露，对比隐私策略的完成隐私策略和移动应用行为一致性检查等级描述。

所述步骤2中的判断敏感数据泄露和判断用户是否能够干预敏感数据泄露这一步骤进一步包括以下处理：

步骤2.1、判断敏感数据是否泄露：将数据来源定义为一系列获取敏感数据的API，重点定义可能导致信息泄露的操作，如果存在这样的操作，认定存在数据泄露的可能；

步骤2.2、判断用户能否干预数据泄露：将数据来源定义为图形界面组件的值，重点定义上一步数据流路径上的条件判断语句，如果存在这样的数据流路径，认为用户的操作能够干预数据泄露的相关语句执行。

所述步骤4的判断用户的选择能否干预数据的泄露进一步包括以下处理：

当应用程序提供给用户选择时，根据用户在图形界面上相关选择所对应的图形界面上元素的相关属性获取泄露数据的逻辑是否执行，即当从获取属性的API到在分支语句处***的数据流时，认定用户能够进行干预数据泄露的行为。

所述步骤4的对比隐私策略的完成隐私策略和移动应用行为一致性检查等级描述进一步包括以下处理：

将隐私策略中对一个特定类型的数据收集行为描述分为三个等级，分别是1)没有描述；2)在用户同意时收集；3)收集；

同样的，将移动应用中对特定数据的泄露分为三个等级：1)***露；2)在用户许可后发送到网络上；3)不经过用户额外许可，直接发送到网络。

与现有技术相比，本发明能够判断Android移动应用程序的行为及其隐私策略是否具有一致性，识别用户在使用移动应用程序时出现的隐私泄露情况，帮助用户了解移动应用程序对数据的使用情况，进而更大程度地保护用户的隐私数据。

附图说明

图1为本发明的一种细粒度隐私策略和移动应用行为一致性检查方法整体流程图；

图2为命名实体识别模型图；

图3为本发明实施例的隐私策略页面中文本爬取流程图；

图4为文本中词语依赖关系图；

图5为安卓Activity生命周期图；

图6为分支语句不影响数据泄露的情况图；

图7为分支语句影响数据泄露的情况图；

图8为代码插桩分析流程图；

图9为OpenCamera隐私权策略显示页面示例图；

图10为OpenCamera隐私策略文本预处理结果示例图。

具体实施方式

以下结合附图和具体实施例对本发明的技术方案进行详细说明。

如图1所示，为本发明的一种细粒度隐私策略和移动应用行为一致性检查方法流程图。该方法主要包括四个部分，首先是解析移动应用程序的隐私策略文本，然后在获得隐私策略文本描述的数据收集行为的基础上，使用静态数据流分析的方法获取应用程序实际使用的数据，进一步在分析到的数据流路径上对条件语句进行插桩，寻找从图形界面值到被***的函数的数据流，最后对比两次数据流分析的结果与隐私策略中描述的数据收集声明是否一致。具体流程描述如下：

步骤1、解析移动应用程序的隐私策略，包括两项操作即命名实体识别和根据语法树抽取关键信息。命名实体识别是解析句子成分的基础，命名实体识别模型将根据每一个单词的词性进行标记，标识每一个句子中每一个词的词性，进而分析出不同词语的依赖关系(生成语法树)，来描述不同词语之间的关系。根据语法树抽取关键信息则是根据语法树中词语的依赖关系，抽取句子主干与相关修饰成分，进而获得隐私策略中声明的信息收集的列表。根据命名实体识别的结果，获得句内每个词语的词性和依赖关系。每个句子可以被描述为以动词为根节点的语法树，连接两个节点的边，代表了不同的依赖关系。

步骤2、使用静态数据流进行数据分析，这是总体流程中最为关键的一步，本步骤分析一系列数据的流向，判断从特定来源的数据会不会最终流向特定的终点。静态数据流分析具体包括：首先根据程序的执行逻辑构建调用图和数据流图，找到所有敏感API的调用位置，最后从一系列终点向前追踪数据流，判断数据流是否来自于特定的来源。分析结果主要分为两个部分，分别是判断敏感数据泄露和判断用户是否能够干预敏感数据泄露的过程。

步骤2.1、判断敏感数据是否泄露：将数据来源定义为一系列获取敏感数据的API，如获取通讯录、获取设备ID、定位等；重点定义可能导致信息泄露的操作如将数据发送到网络、将数据写入文件等。如果存在这样的操作，认定存在数据泄露的可能。

步骤2.2、判断用户能否干预数据泄露：将数据来源定义为图形界面组件的值如复选框是否选中、滑动按钮是否选中等；重点定义上一步数据流路径上的条件判断语句。如果存在这样的数据流路径，认为用户的操作可以干预数据泄露的相关语句执行，即用户可以选择是否发送数据。

本发明中的数据流追踪基于FlowDroid进行二次开发，FlowDroid支持将方法调用和回调函数作为数据流的起点，将方法调用作为终点。采用从终点到起点进行反向追踪的方法，来分析是否存在可能的数据流。

当使用静态数据流分析判断是否存在敏感数据泄露时，需要将起点定义为获取敏感数据的相关方法，如读取通讯录、获取设备ID、获取位置信息等。将终点定义为数据泄露的方法调用，如发送到网络，写入输入输出流等。当存在从上述起点到终点的路径时，认为存在数据泄露。

步骤3、在条件判断语句处插桩，插桩点的确定和语句的***通过对smali字节码的分析完成。smali字节码是一种介于源码和二进制文件(dex文件)的中间状态，由反编译dex文件获得，也可以根据字节码编译到dex文件，是理想的插桩选择。

本步骤是对步骤2的补充。步骤2中需要将条件判断语句设置为终点。但是现有的分析方法大多只接受函数调用作为终点(即数据作为参数传入)。因此需要在条件判断处加入函数调用的语句，参数和条件判断语句中的条件保持一致。这样可以将终点设置为被***的函数，而达到一样的效果。

步骤4、寻找从图形界面到被***位置的数据流，用于判断用户的选择能否干预数据的泄露；具体包括以下处理：

步骤4.1、判断用户能否干预数据泄露过程：

当应用程序提供给用户选择时，相关选择必须在图形界面上有所体现。图形界面上的开关(如复选框，单选按钮，滑动选择按钮等)、弹出对话框等元素的相关属性，可以代表提供给用户的选择。当这些属性值能够决定泄露数据的逻辑是否执行时，即存在从获取属性的API到在分支语句处***的数据流时，认为用户可以干预数据泄露的行为。

步骤4.2、对比隐私策略的一致性：

隐私策略中对一个特定类型的数据收集行为描述可以分为三个等级，分别是1)没有描述；2)在用户同意时收集；3)收集。同样的，在应用程序中，对特定数据的泄露也有三个等级：1)***露(未使用数据，或仅在本地使用)；2)在用户许可后发送到网络上；3)不经过用户额外许可，直接发送到网络上。

当应用程序中的数据泄露等级，高于隐私策略中所描述的等级时，认为存在了不一致的情况。这时会发出应用程序违规使用了某类型信息时的提示。

本发明具体实施例描述如下：

进行移动应用程序爬取和对应的隐私策略页面爬取；

所涉及到的隐私策略文本大多存在于网页上，因此需要进行隐私策略文本预处理，去除无关的干扰信息，仅保留有效信息。主要包含以下预处理操作：

删去无用标签，仅保留正文。从网页中删去的无用信息包括：页眉、页脚、图片、脚本，以及过短(小于5词)的文本片段。

列表聚合。在描述列表时，列表中的每个元素，和列表的引导句，都无法构成单独的，语义完整的句子，需要将引导句与条目进行拼接。此处考虑两种情况：条目较短时，将所有条目与引导句拼接形成一个完整句子；条目较长时，将每个条目与引导句拼接形成一系列句子。

如图3所示，本发明实施例的隐私策略页面中文本爬取流程图。具体流程包括：

对于网页，利用BFS遍历DOM树；判断是否包含特定字串如：<header><footer><script><noscript><styel><image>？如是，删除节点，如否，保留节点；对于保留节点的情况下，判断是否存在div或p标签？如否，则返回遍历，如果是，遍历所有下层直接包含文本的div或p标签，判断div或p标签是否过短？如是，删除节点，如否，保留节点。

命名实体识别采用词嵌入+双向LSTM网络+随机条件场(CRF)的方法构建模型。双向LSTM相当于完成了一个分类器的功能，对文本序列中的每一个分词(Token)进行分类，得到它的标注的标签。改善了因为LSTM对短距离的结果直接关系的关注度不够，而在自然语言中会出现类似于“介词之后较大概率跟着名词”的情况。在隐私策略中词性的标注错误对后续分析的影响是致命的。这时使用CRF的概率模型对结果进行一个修正，可以达到较好地效果。

本发明中采用了使用spacy英语新闻语料库训练的预训练模型，在此基础上添加了400条隐私策略相关的语料，进行增强训练，达到了84％的准确率和81％的召回率。

如图4所示，为文本中词语依赖关系图。句子可以解析为形如(We,Collect,EmailAddress,If you register)的四元组。在四元组中，还需要考虑两类可能出现语义变化的情况，分别是否定词和被动语态。否定词存在的情况下，句子语义会出现相反的变化，如“收集”变为“不收集”。在被动语态的情况下，句子的主体和客体会发生交换。在此基础上，只需要对四元组中的每一个元素进行关键词匹配，即可得到是否是收集行为、数据类型和是否有用户同意(干预)三个信息。如表1所示，为隐私策略四元组关键词匹配表。

表1

隐私策略文本中的一个收集行为可以被描述为包含以下四种信息的四元组(主体，数据、收集行为和约束条件(即用户同意或用户选择。约束指是否存在需要用户同意的条件，形成对动作进行约束。))

如表2所示，为数据泄露的数据流分析起点与终点定义。

表2

其中，由于通话记录，联系人信息，短信等，采用了同样的接口来获取数据，仅仅是传入的参数不同导致返回结果不同。对于这个情况，本发明采用了局部的反向数据流追踪方法，当发现特定的接口调用时，会反向追踪特定参数的来源，而该参数为***预定义的若干常量之一，通过该常量的值，可以确定具体是哪一类的用户数据收集。

当追踪用户的选择是否会干预数据泄露是，定义的起点是获取图形界面的开关值、用户对弹出窗口的确认情况等。如表3所示，为追踪用户选择时的数据流起点。终点为定义的插桩的语句。

表3

Android应用程序本质是一种基于Java虚拟机的可执行文件，因此可以采用和Java相似的静态分析方法。而Android应用程序有自己的生命周期，如图5所示，为安卓Activity生命周期图，需要模拟完整的生命周期才能获得正确的控制流图。Android应用程序的其它组件也注册了很多回调函数，会在合适的时刻被调用。本发明中的分析工具模拟了Android应用程序的完整生命周期，将确定一系列可能的入口。

本发明在数据流追踪的过程中，首先寻找所有可能的数据流终点，从终点开始对数据流进行反向追踪，确定起点是不是来自于预定义的一系列接口，通过这个方法完成对数据泄露的分析。在追踪过程中，对路径上的分支语句(跳转语句)进行局部的控制流分析，是否两个分支都可以到达数据泄露点。若所有分支都可以到达数据流终点，如图6所示，为分支语句不影响数据泄露的情况图。其中，那么认为这个分支语句不会干预数据泄露，在图6的情况下，无论程序选择哪条执行路径，最终都会到达数据泄露点，该条件不会影响数据泄露；反之，如图7所示，为分支语句影响数据泄露的情况图，在这种情况下，只有当程序选择了右侧的执行路径时，才会导致数据泄露当图7中的“条件1”会受到用户选择的影响时，例如该变量值来自于用户输入的内容，则认为用户可以干预数据泄露的流程。

在分支语句处代码插桩，并非所有的分支语句都需要进行代码插桩，仅需要在会干预数据泄露的分支语句处插桩即可，如图8所示，为代码插桩分析流程图。找到路径上的分支语句，判断是否干预泄露？如是，计算传入分支语句的局部变量类型以确定需要***的语句的参数类型，以及该分支语句的参数个数(smali中共有6种一个参数的条件判断语句与6中两个参数的条件判断语句)是否不止一个？如是，分解每个条件，分别插桩；如否，进行插桩。插桩选择在smali字节码进行。针对双条件的跳转语句，会针对每一个条件，***相应的代码作为终点，以保证来自图形界面的值，出现在条件的任何一个部分，都能够被检测到。插桩的目的是方便将***桩的语句作为数据流分析的终点，从而进行数据流追踪。因此在插桩语句的选择方面应该选择支持的类型丰富的语句，应当采用重载了所有内置数据类型，和Object类的方法作为终点。

本发明将隐私策略分析结果，和移动应用程序分析结果都分为三个等级。如表4所示，为隐私策略和应用程序行为分析结果类型。

表4

当在同一隐私策略里出现两条不一致的表述时，在第二级和第三级中，选取等级更高的一项。当在同一应用程序中出现了不一致的数据使用情况是，在第二级和第三级中，选择等级更低的一项。

当针对某一类数据的隐私策略的分析结果等级高于移动应用程序分析结果等级时，认为出现了不合规的情况。

本发明研究了隐私策略中给用户提供的选择，及其在应用程序中的具体落实情况，对移动应用程序生成相应的一致性检测报告，完成了对移动应用程序的隐私策略及其行为的一致性检查。

接下来以一个具体实例来展示基于静态数据流分析的细粒度隐私策略和移动应用行为一致性检查方法。选取了代码开源、Google Play商店中下载数量超过50,000,000次的OpenCamera作为分析对象。下面对OpenCamera的隐私策略和行为进行一致性分析。

解析隐私策略

Google Play上的所有应用程序都需要提供隐私权策略的链接，可以通过GooglePlay商店获取OpenCamera的隐私策略网页，如图9所示，为OpenCamera隐私权策略显示页面示例图。在经过预处理之后，页眉、页脚和图片被删除，列表被聚合，过短的文本被过滤，可以收获句子集合。如图10所示，OpenCamera隐私策略文本预处理结果示例图。从图10中不难发现，涉及到的信息类型有图片、位置、个人信息、蓝牙等，但是涉及到发送数据的，且主体是当前应用程序，只有位置信息和个人信息。而个人信息的句子中有否定词，因此会收集的只有位置信息。收集位置信息的语句，有“With your consent”作为限定，需要用户的同意。即隐私策略分析的结果，仅会收集位置信息，且为等级二。

使用本发明提到的工具进行分析，发现存在将位置信息写入输入流的情况，并且该语句会被一系列的复选框值所影响。经过对源码的阅读和图形界面的分析，确定这些复选框来自于“是否记录GPS数据”的开关，当开关关闭时，不会获取位置信息。程序的具体表现与数据流分析结果一致，说明了数据流分析的可行性和准确性。

即移动应用程序行为分析的结果，仅会发送位置信息，且为等级二。

结果比对与结论：根据隐私策略的解析结果，与移动应用程序行为的分析结果比对。OpenCamera应用程序虽然使用了很多类型的数据，但是真正会存在数据泄露的(发送到网络或者写入输入输出流)只有用户的位置信息。针对用户的位置信息，隐私策略中也进行了声明，会在用户同意的情况下使用。根据应用程序行为分析的结果确定，该数据确实仅会在用户同意的情况下被使用。可以得出结论OpenCamera应用程序的隐私策略和实际行为一致。

Claims (3)

1.一种细粒度隐私策略和移动应用行为一致性检查方法，其特征在于，该方法具体包括以下步骤：

步骤1、抽取与解析移动应用程序的隐私策略关键信息，包括利用命名实体识别模型标识每一个句子中每一个词的词性和依赖关系，进而分析出不同词语的依赖关系；以及，根据语法树中词语的依赖关系抽取关键信息包括句子主干、相关修饰成分，进而获得隐私策略中所声明的信息列表；

步骤2、使用静态数据流进行数据分析，通过分析数据的流向来判断从特定来源的数据是否最终流向特定的终点；具体包括，首先根据程序的执行逻辑构建调用关系图和数据流图，找到所有敏感API的调用位置，然后从一系列终点向前追踪数据流，判断数据流是否来自于特定的来源；最后，判断敏感数据泄露和判断用户是否能够干预敏感数据泄露：

判断敏感数据是否泄露：将数据来源定义为一系列获取敏感数据的API，重点定义可能导致信息泄露的操作，如果存在这样的操作，认定存在数据泄露的可能；

判断用户能否干预数据泄露：将数据来源定义为图形界面组件的值，重点定义上一步数据流路径上的条件判断语句，如果存在这样的数据流路径，认为用户的操作能够干预数据泄露的相关语句执行；

步骤3、在条件判断语句处插桩，实现了将终点设置为被***的函数，插桩点的确定和语句的***通过对smali字节码的分析完成；

步骤4、寻找从图形界面到被***位置的数据流，用于判断用户的选择能否干预数据的泄露，对比隐私策略的完成隐私策略和移动应用行为一致性检查等级描述。

2.如权利要求1所述的细粒度隐私策略和移动应用行为一致性检查方法，其特征在于，所述步骤4的判断用户的选择能否干预数据的泄露进一步包括以下处理：

当应用程序提供给用户选择时，根据用户在图形界面上相关选择所对应的图形界面上元素的相关属性获取泄露数据的逻辑是否执行，即当从获取属性的API到在分支语句处***的数据流时，认定用户能够进行干预数据泄露的行为。

3.如权利要求1所述的细粒度隐私策略和移动应用行为一致性检查方法，其特征在于，所述步骤4的对比隐私策略的完成隐私策略和移动应用行为一致性检查等级描述进一步包括以下处理：

将隐私策略中对一个特定类型的数据收集行为描述分为三个等级，分别是1）没有描述；2）在用户同意时收集；3）收集；

同样的，将移动应用中对特定数据的泄露分为三个等级：1）***露；2）在用户许可后发送到网络上；3）不经过用户额外许可，直接发送到网络。