project-artist/artist안드로이드 앱 및 Java 미들웨어를 위한 오픈소스 계측 프레임워크로, ART 컴파일러를 통해 기기 내 컴파일 중 코드를 수정합니다. 앱 서명을 보존하며 모듈 기반 보안 분석을 가능하게 합니다.
ARTist는 안드로이드 앱 및 Java 미들웨어를 위한 유연한 오픈 소스 계측 프레임워크입니다. 이는 안드로이드 런타임(ART) 컴파일러를 기반으로 하며, 기기 내 컴파일 중에 코드를 수정합니다. 기존 계측 프레임워크와 달리, 애플리케이션의 원래 서명을 보존하고 명령어 수준에서 작동합니다.
이 저장소는 ARTist 생태계의 핵심인 계측 프레임워크의 실제 구현체를 나타냅니다. 이는 AOSP의 Android Runtime (ART) 프로젝트에 통합되어 특수화된 기기 내 dex2oat 컴파일러 버전을 만들며, 개발자에게 컴파일러의 중간 표현으로 제공되는 대상의 완전한 Java 소스 코드를 완전히 제어할 수 있는 모듈 API를 제공합니다. ARTist는 최종 사용자가 이미 사용 가능한 모듈을 활용하고, 개발자가 앱 및 안드로이드 시스템을 위한 자체 계측을 만들며, 연구원이 앱 및 시스템 동작을 분석하고 확장할 수 있도록 합니다.
ARTist는 두 가지 방식으로 배포할 수 있습니다. 첫째, ArtistGui 프로젝트를 사용하여 루팅된 기기에서 비침습적 앱 계측을 가능하게 하는 일반 애플리케이션으로서, 둘째, 커스텀 ROM용 시스템 컴파일러로서 시스템 서버(Package Manager Service, Activity Manager Service 등) 및 안드로이드 프레임워크 클래스(boot.oat)를 추가로 계측할 수 있습니다. Marshmallow 6.0 이후(포함)의 안드로이드 버전을 지원합니다.
자세한 튜토리얼 및 ARTist 생태계에 대한 더 깊이 있는 정보는 공식 문서를 확인하고 Gitter 채팅에 참여하십시오.
내부적으로 사용하는 일부 API가 버전에 따라 변경되었기 때문에 코드에서 특정 안드로이드 버전을 확인하는 가드(guard)를 발견할 수 있습니다. ART 프로젝트는 꾸준히 변화하고 있으므로, 모든 버전 종속 코드를 ART 포크에 격리하거나 더 편리하고 버전 독립적인 API 뒤에 숨기려고 노력하고 있습니다. 궁극적인 목표는 모듈 개발자로부터 버전 종속성을 숨겨 결과 모듈이 ARTist가 지원하는 모든 안드로이드 릴리스와 호환되도록 하는 것입니다.
현재 프리베타 버전에서는 모듈이 modules 폴더 아래에 생성되고 ARTist로 컴파일됩니다. 하지만 곧 출시될 베타 릴리스(아래 참조)에서는 ARTist 소스 코드와 독립적으로 모듈을 개발할 수 있는 전용 SDK가 제공되므로 더 이상 AOSP가 필요하지 않으며 모듈을 하드코딩할 필요 없이 특정 대상에 사용할 모듈을 동적으로 선택할 수 있습니다.
자체 계측을 만들고 싶다면 ARTist 빌드에 신경 쓸 필요가 없습니다. 위의 설명을 따르십시오. 그러나 계측 프레임워크 자체에 작업하려면 다음 내용이 도움이 될 것입니다.
ARTist는 ART 컴파일러 dex2oat의 확장이므로, 맞춤형 ART 포크에 하위 모듈로 포함되어 있습니다. ARTist를 빌드하려면 ART 포크를 AOSP의 일부로 빌드해야 합니다. 우리가 ARTist 버전의 dex2oat라고 부르는 것은 실제로 dex2oat 바이너리와 함께 우리의 계측 컴파일러를 구성하는 여러 라이브러리(예: libart-compiler)입니다. ArtistGui 프로젝트에는 ART 및 ARTist를 빌드하고 결과 바이너리 및 라이브러리를 ArtistGui의 올바른 폴더에 복사하여 테스트를 위해 기기로 전송하는 미리 만들어진 스크립트가 있습니다.
곧 베타 단계에 진입할 예정이며, 이는 전체 ARTist 생태계에 많은 변화를 가져올 것입니다. 여기에는 간소화된 모듈 개발을 위한 전용 ARTist SDK, 시맨틱 버저닝에서 영감을 받은 릴리스 및 버전 관리 체계, 개선되고 업데이트된 온라인 문서, 훌륭한 새 모듈 등 많은 개선 사항이 포함됩니다. 그러나 특히 전환 기간 동안 저장소의 README.md 파일 및 https://artist.cispa.saarland의 문서와 같은 일부 정보가 약간 동기화되지 않을 수 있습니다. 불편을 끼쳐드려 죄송하며 Gitter에서 피드백을 기꺼이 받고 있습니다. 현재 진행 상황을 확인하려면 Project: ARTist 저장소의 베타 마일스톤을 주시하고 https://artist.cispa.saarland에서 새 블로그 게시물을 확인하십시오.
우리는 Project ARTist 주변에 개발자, 연구원 및 사용자로 구성된 활발한 커뮤니티를 형성하기를 희망하며, 모든 종류의 기여와 피드백을 환영합니다. 참여하고 프로젝트를 도울 수 있는 방법은 다양합니다. 예를 들어 모듈 테스트 및 작성, 핵심 기능이나 부족한 기능에 대한 피드백 제공, 버그 및 기타 문제 보고, 또는 일반적으로 경험 공유 등이 있습니다. 팀은 Gitter와 저장소를 적극적으로 모니터링하고 있으며, 연락하여 논의하게 되어 기쁩니다. 아직 완전한 기여 가이드는 없지만 곧 제공될 예정입니다(위 베타 공지 참조).
ARTist는 2차 IEEE 유럽 보안 및 개인 정보 보호 심포지엄(EuroS&P'17)에서 발표된 ARTist - The Android Runtime Instrumentation and Security Toolkit이라는 논문을 기반으로 합니다. 전체 논문은 여기에서 확인할 수 있습니다. 연구에서 ARTist를 인용하는 경우 다음 참고 문헌 항목을 사용하십시오.
@inproceedings{artist,
title={ARTist: The Android runtime instrumentation and security toolkit},
author={Backes, Michael and Bugiel, Sven and Schranz, Oliver and von Styp-Rekowsky, Philipp and Weisgerber, Sebastian},
booktitle={2017 IEEE European Symposium on Security and Privacy (EuroS\&P)},
pages={481--495},
year={2017},
organization={IEEE}
}
후속 논문이 있습니다. 여기서는 ARTist를 활용하여 타사 애플리케이션에서 광고 라이브러리를 잘라내고, 라이브러리를 전용 앱(자체 보안 주체)으로 옮기고, 사용자 지정 Binder IPC 프로토콜을 사용하여 둘을 다시 연결하면서, 제거된 광고를 부동 뷰로 표시하여 시각적 충실도를 유지합니다. 2017 ACM SIGSAC 컴퓨터 및 통신 보안 컨퍼런스(CCS'17)에 발표된 전체 논문 The ART of App Compartmentalization: Compiler-based Library Privilege Separation on Stock Android은 여기에서 확인할 수 있습니다.