JultikaUniversity of Oulu repository

Googlen tekemä avoimen lähdekoodin Android-käyttöjärjestelmä on yksi suosituimmista maailmassa ja tarjoaa siten sadoille miljoonille ihmisille käyttöjärjestelmän laitteissa, jotka ulottuvat hinnan suhteen halvimmista markkinoilla olevista laitteista myös kalliimpiin laitteisiin. Tämä tarjoaa myös kolmannen osapuolen ohjelmistokehittäjille mahdollisuuden näiden käyttäjien yksityistietojen ja laitteiden tunnistetietojen lukemiseen. Tämän vuoksi on hyvä olla menetelmä näiden sovellusten toiminnan tarkastelemiseksi mahdollisimman korkealla koodin tasolla. Tämän työn tutkimusongelmana oli saada selvyys siihen, kuinka Google Play -sovelluskaupassa olevat sovellukset käyttävät laitteen yksityiseksi luokiteltavia tunnistetietoja ja kuinka hyvä niiden yleinen tietoturvan taso on. Tutkielman teoriaosuudessa käytiin läpi aiheen aiemman tutkimuksen lisäksi yleisiä Android-käyttöjärjestelmään liittyviä aiheita, kuten sen arkkitehtuuri, kuinka sille tehdään sovelluksia, sen Google Play -sovelluskaupan toiminta ja siihen liittyvät tietoturvaominaisuudet, sekä Androidin käyttöoikeusjärjestelmä sekä järjestelmän antamat tunnisteet. Tämän lisäksi teoriaosuudessa tutustuttiin takaisinmallintamiseen ohjelmistotuotannon työkaluna tarkastelemalla sen historiaa, käyttötarkoituksia, sen analysointi- ja häirintämenetelmiä sekä sen laillisuutta. Tutkimusongelmaan saatiin osittaisia vastauksia soveltamalla tutkielmassa kuvattua menetelmää 50:een Google Play -sovelluskaupasta ladattuun Android-sovellukseen. Nämä tutkittavat sovellukset saatiin takaisinmallinnettua niiden käyttämistä tiedostoformaateista menetelmässä kuvattuja työkaluja ja tutkielmaa varten tehtyä automaatioskriptiä käyttäen. Manuaalisesti tehdyt havainnot käänteiskäännetyistä sovelluksista tarjosivat esimerkkejä siitä, kuinka tunnistetietoja käytännössä käytetään sekä löydöksiä mahdollisista tunnistetietojen väärinkäytöksistä, mukaan lukien viitteitä siitä, että tutkittavat sovellukset käyttävät laitteen tunnistetietoja käyttäjien identifioimiseen ja että ne lähettävät näitä tietoja eteenpäin. Tämän lisäksi manuaaliset havainnot eivät tarjonneet todisteita siitä sovellusten tietoturva olisi heikentynyt dynaamisen koodin lataamisen kautta.