project-artist/artistFramework open-source di strumentazione per app Android e middleware Java, che modifica il codice durante la compilazione su dispositivo tramite il compilatore ART. Preserva le firme delle app e consente l'analisi di sicurezza basata su moduli.
ARTist è un framework di strumentazione open source flessibile per le app Android e il middleware Java. È basato sul compilatore dell'Android Runtime (ART) e modifica il codice durante la compilazione sul dispositivo. A differenza dei framework di strumentazione esistenti, preserva la firma originale dell'applicazione e opera a livello di istruzione.
Questo repository rappresenta il cuore dell'ecosistema ARTist, l'implementazione effettiva del framework di strumentazione. È integrato nel progetto Android Runtime (ART) di AOSP per creare una versione specializzata del compilatore dex2oat sul dispositivo e fornisce agli sviluppatori un'API per Moduli che dà il controllo completo sul codice sorgente Java del target, fornito nella rappresentazione intermedia del compilatore. ARTist consente agli utenti finali di utilizzare Moduli già disponibili, agli sviluppatori di creare proprie strumentazioni per app e sistema Android, e ai ricercatori di analizzare ed estendere il comportamento di app e sistema.
ARTist può essere distribuito in due modi diversi: primo, come applicazione regolare usando il nostro progetto ArtistGui che consente la strumentazione non invasiva delle app su dispositivi rooted, o secondo, come compilatore di sistema per ROM personalizzate dove può inoltre strumentare il server di sistema (Package Manager Service, Activity Manager Service, ...) e le classi del framework Android (boot.oat). Supporta le versioni di Android successive (e inclusa) Marshmallow 6.0.
Per tutorial dettagliati e informazioni più approfondite sull'ecosistema ARTist, dai un'occhiata alla nostra documentazione ufficiale e unisciti alla nostra chat Gitter.
Potresti trovare dei controlli nel codice che verificano versioni Android particolari poiché alcune API che usiamo internamente possono essere cambiate tra versioni. Il progetto ART è in continua evoluzione, quindi cerchiamo di compartimentalizzare tutto il codice dipendente dalla versione o nel nostro fork di ART o nasconderlo dietro API più comode e indipendenti dalla versione. L'obiettivo generale è nascondere la dipendenza dalla versione agli sviluppatori di moduli in modo che i moduli risultanti siano compatibili con tutte le versioni Android supportate da ARTist.
Nell'attuale versione pre-beta, i moduli vengono creati nella cartella modules e compilati con ARTist. Tuttavia, il nostro prossimo rilascio beta (vedi sotto) presenterà un SDK dedicato che permetterà di sviluppare moduli indipendentemente dal codice sorgente di ARTist, quindi non sarà più necessario AOSP e non dovrai hardcodare i moduli, ma potrai scegliere quali usare per un particolare target in modo dinamico.
Se vuoi solo creare tue strumentazioni, non devi preoccuparti di compilare ARTist. Segui la spiegazione sopra. Se, invece, vuoi lavorare sul framework di strumentazione stesso, quanto segue ti aiuterà a iniziare:
ARTist è un'estensione del compilatore ART dex2oat, quindi è integrato come sottomodulo nel nostro fork di ART personalizzato. Per compilare ARTist, devi compilare il fork di ART come parte di AOSP. Quello che chiamiamo versione ARTist di dex2oat è in realtà il binario dex2oat più diverse librerie (ad es. libart-compiler) che insieme formano il nostro compilatore di strumentazione. Il progetto ArtistGui ha script già pronti per compilare ART e ARTist, e copiare i binari e le librerie risultanti nelle cartelle corrette di ArtistGui per spedirli su un dispositivo per il test.
Stiamo per entrare presto nella fase beta, che porterà molti cambiamenti all'intero ecosistema ARTist, inclusi un SDK ARTist dedicato per lo sviluppo semplificato di Moduli, uno schema di rilascio e versionamento ispirato al semantic versioning, una versione migliorata e aggiornata della nostra documentazione online, nuovi grandi Moduli e molti altri miglioramenti. Tuttavia, specialmente durante la fase di transizione, alcune informazioni come quelle nei file README.md dei repository e la documentazione su https://artist.cispa.saarland potrebbero essere leggermente fuori sincrono. Ci scusiamo per l'inconveniente e accogliamo volentieri feedback su Gitter. Per tenerti aggiornato sui progressi correnti, tieni d'occhio le milestone beta dei repository del Progetto: ARTist e controlla nuovi post sul blog su https://artist.cispa.saarland.
Speriamo di creare una comunità attiva di sviluppatori, ricercatori e utenti attorno al Progetto ARTist e quindi siamo felici di ricevere contributi e feedback di qualsiasi tipo. Ci sono molti modi per coinvolgersi e aiutare il progetto, come testare e scrivere Moduli, fornire feedback su quali funzionalità sono chiave o mancanti, segnalare bug e altri problemi, o in generale parlare delle tue esperienze. Il team monitora attivamente Gitter e ovviamente i repository, e siamo felici di metterci in contatto e discutere. Non abbiamo ancora una guida completa ai contributi, ma arriverà presto (vedi annuncio beta sopra).
ARTist si basa su un articolo intitolato ARTist - The Android Runtime Instrumentation and Security Toolkit, pubblicato al 2nd IEEE European Symposium on Security and Privacy (EuroS&P'17). L'articolo completo è disponibile qui. Se citi ARTist nella tua ricerca, usa la seguente voce bibliografica:
@inproceedings{artist,
title={ARTist: The Android runtime instrumentation and security toolkit},
author={Backes, Michael and Bugiel, Sven and Schranz, Oliver and von Styp-Rekowsky, Philipp and Weisgerber, Sebastian},
booktitle={2017 IEEE European Symposium on Security and Privacy (EuroS\&P)},
pages={481--495},
year={2017},
organization={IEEE}
}
C'è un articolo successivo in cui abbiamo utilizzato ARTist per rimuovere le librerie pubblicitarie da applicazioni di terze parti, spostare la libreria in un'app dedicata (proprio security principal) e riconnetterle usando un protocollo personalizzato Binder IPC, preservando al contempo la fedeltà visiva visualizzando le pubblicità remote come viste flottanti sopra l'applicazione ora priva di annunci. L'articolo completo The ART of App Compartmentalization: Compiler-based Library Privilege Separation on Stock Android, come pubblicato alla 2017 ACM SIGSAC Conference on Computer and Communications Security (CCS'17), è disponibile qui.