| Título: | Beyond android crypto API misuse report: a study on origin and reachability |
| Autor(es): | Borges, Lucas Sousa |
| Orientador(es): | Almeida, Rodrigo Bonifácio de |
| Assunto: | Criptografia de dados (Computação)
Dados - privacidade
Dados sensíveis |
| Data de apresentação: | 25-Jul-2025 |
| Data de publicação: | 19-Ago-2026 |
| Referência: | BORGES, Lucas Sousa. Beyond android crypto API misuse report: a study on origin and reachability. 2025. 40 f., il. Trabalho de Conclusão de Curso (Bacharelado em Engenharia da Computação) — Universidade de Brasília, Brasília, 2025. |
| Resumo: | Este trabalho apresenta uma pesquisa conduzida no intuito de investigar o uso incorreto de
funções criptográficas em aplicativos Android, um fator crucial para a proteção de dados
sensíveis. Propõe-se investigar a prevalência dessas falhas, determinar a proporção de
vulnerabilidades que se originam de bibliotecas de terceiros (TPLs) e verificar quantas das
falhas relatadas estão em código inalcançável, sugerindo que podem ser falsos positivos.
O mérito desta proposta reside em fornecer informações úteis para os desenvolvedores
de ferramentas de análise, destacando limitações relacionadas à escalabilidade, atribuição
de origem e redução de falsos positivos, e para desenvolvedores de software, oferecendo
orientação prática na interpretação de resultados de análise e priorização de esforços
de correção. A proposta foi avaliada através de três estudos: o primeiro investigou a
prevalência de usos indevidos de API criptográfica em aplicativos populares do Google
Play usando CogniCrypt e CryptoGuard ; o segundo explorou heurísticas para diferenciar
vulnerabilidades de código de aplicativo e TPL ; e o terceiro investigou se os usos indevidos
de API criptográfica são alcançáveis a partir do código do aplicativo. Os resultados
indicam que uma parcela significativa das vulnerabilidades relatadas se origina de TPLs,
e que uma grande proporção dessas vulnerabilidades em TPLs é inalcançável, sugerindo
que podem ser falsos positivos. A pesquisa foi aprovada pelo professor orientador e o artigo
se encontra pronto para submissão em conferência adequada. Melhorias futuras podem
incluir a utilização de ferramentas mais recentes para detecção de TPLs e alcançabilidade,
além da incorporação dessas ferramentas às ferramentas de análise estática. |
| Abstract: | This paper presents a research conducted to investigate the incorrect use of cryptographic
functions in Android applications, a crucial factor for protecting sensitive data. The study
proposes to investigate the prevalence of these flaws, determine the proportion of vulnera bilities originating from third-party libraries (TPLs), and verify how many of the reported
flaws reside in unreachable code, suggesting they might be false positives. The merit of
this proposal lies in providing useful information for analysis tool developers, highlighting
limitations related to scalability, origin attribution, and false positive reduction, and for
software developers, offering practical guidance in interpreting analysis results and prior itizing remediation efforts. The proposal was evaluated through three studies: the first
investigated the prevalence of cryptographic API misuses in popular Google Play applica tions using CogniCrypt and CryptoGuard; the second explored heuristics to differentiate
vulnerabilities in application code from those in TPLs; and the third investigated whether
cryptographic API misuses are reachable from the application code. The results indicate
that a significant portion of the reported vulnerabilities originate from TPLs, and that
a large proportion of these vulnerabilities within TPLs are unreachable, suggesting they
may be false positives. The research was approved by the advising professor, and the
paper is ready for submission to an appropriate conference. Future improvements could
include the use of more recent tools for TPL detection and reachability analysis, as well
as the incorporation of these tools into static analysis tools. |
| Informações adicionais: | Trabalho de Conclusão de Curso (graduação) — Universidade de Brasília, Instituto de Ciências Exatas, Departamento de Ciência da Computação, 2025. |
| Licença: | A concessão da licença deste item refere-se ao termo de autorização impresso assinado pelo autor que autoriza a Biblioteca Digital da Produção Intelectual Discente da Universidade de Brasília (BDM) a disponibilizar o trabalho de conclusão de curso por meio do sítio bdm.unb.br, com as seguintes condições: disponível sob Licença Creative Commons 4.0 International, que permite copiar, distribuir e transmitir o trabalho, desde que seja citado o autor e licenciante. Não permite o uso para fins comerciais nem a adaptação desta. |
| Aparece na Coleção: | Engenharia da Computação
|
Todos os itens na BDM estão protegidos por copyright. Todos os direitos reservados.
