公开(公告)号：CN104837159A

公开(公告)日：2015-08-12

申请号：CN201510235772.8

申请日：2015-05-11

Applicant: 上海交通大学 ,  上海交通大学中原研究院

Inventor： 张媛媛 ,  王晖 ,  李卷孺 ,  李博栋 ,  束骏亮

IPC: H04W24/06

CPC classification number: H04W24/06

Abstract: 一种Android平台OAuth协议误用安全检测方法，根据Android平台特性建立覆盖OAuth协议生命周期的安全模型；然后分析不同服务厂商提供的软件开发套件和规范，识别出不同厂商的OAuth实现中的关键敏感参数，提取敏感参数生成配置文件用于Android应用分析；再分别进行静态代码分析、动态流量分析以检测应用实现与规范的不一致性、SSL实现正确性以及服务器端的实现正确性。本发明能够全面分析Android应用中OAuth协议的误用和潜在风险，基于一个覆盖OAuth协议生命周期的安全模型，系统化地对应用使用OAuth协议进行认证或授权的流程进行分析，识别潜在的不正确实现。同时，本方案的安全模型可以为服务厂商的SDK实现及应用开发者的OAuth实现提供安全指导，帮助开发者在Android应用正确实现OAuth协议。

公开(公告)号：CN104837159B

公开(公告)日：2018-01-30

申请号：CN201510235772.8

申请日：2015-05-11

Applicant: 上海交通大学 ,  上海交通大学中原研究院

Inventor： 张媛媛 ,  王晖 ,  李卷孺 ,  李博栋 ,  束骏亮

IPC: H04W24/06

Abstract: 一种Android平台OAuth协议误用安全检测方法，根据Android平台特性建立覆盖OAuth协议生命周期的安全模型；然后分析不同服务厂商提供的软件开发套件和规范，识别出不同厂商的OAuth实现中的关键敏感参数，提取敏感参数生成配置文件用于Android应用分析；再分别进行静态代码分析、动态流量分析以检测应用实现与规范的不一致性、SSL实现正确性以及服务器端的实现正确性。本发明能够全面分析Android应用中OAuth协议的误用和潜在风险，基于一个覆盖OAuth协议生命周期的安全模型，系统化地对应用使用OAuth协议进行认证或授权的流程进行分析，识别潜在的不正确实现。同时，本方案的安全模型可以为服务厂商的SDK实现及应用开发者的OAuth实现提供安全指导，帮助开发者在Android应用正确实现OAuth协议。

公开(公告)号：CN105956480A

公开(公告)日：2016-09-21

申请号：CN201610303876.2

申请日：2016-05-10

Applicant: 上海交通大学

Inventor： 张媛媛 ,  李博栋 ,  谷大武

IPC: G06F21/60 ,  G06F21/44

CPC classification number: G06F21/604 ,  G06F21/44 ,  G06F2221/2127

Abstract: 一种Android平台传感器数据保护系统，包括：位于底层的hook模块和位于上层的管理模块，其中：管理模块通过检测手机实时状态并根据用户配置规则向hook模块传输保护策略，hook模块根据该保护策略实现对传感器数据的拦截及保护，从而实现传感器数据保护。本发明以api‑hook为基本框架，在不影响手机设备传感器功能正常使用的前提下，全方位的保护手机中所有类型的传感器数据，防止所有类型的隐私数据通过传感器遭到泄漏。