安全不了的Android 想不明白的谷歌-IT讯息网
您的位置:首页>>媒体评论

安全不了的Android 想不明白的谷歌

发布时间:2018-05-14 18:35:14  来源:PingWest   编辑:张宏伟  背景:

  二十六个字母都数到P了,然而Android生态的安全依然是一个让人堪忧的状况,而最近,这个情况更是集中爆发。

  在今年的Google I/O大会上,Android平台安全负责人David Kleidermacher在推销Project Treble时透露,Google将把安全补丁更新纳入OEM协议当中,以此让更多的设备,更多的用户获得定期的安全补丁。

  这是一个积极的行为,但细究下就并不值得表扬了,因为之所以提出这一方案全因之前被人揭了短。

  就在今年四月,Security安全研究实验室在测试了1200台不同品牌、不同渠道的手机后表示,安全补丁的安装状况并不尽人意,有些厂商甚至至少漏掉了4个月的安全补丁。

  而就在这份报告发布前一个月,Kleidermacher在接受CNET的采访中刚说完“Android现在和竞争对手一样安全”。

  友军

  用过Google Pixel的人都会注意到,Google每个在月都有一次安全推送的,而且不管你是否想要更新,但其实这个安全补丁Google并不仅仅推送给自家手机。

  对于安全问题,Google现在会在每个月的第一个周一发布一份安全补丁公告,公告中会列出已知漏洞的补丁。而同样是这份补丁,各大厂商一般会提前一个月收到,目的是让OEM和供应商——比如芯片厂——能够在公告之前好修补漏洞。

  这个设想是好的,并且如果友军认真执行的话效果也不错,比如Essential手机,虽然销量不好,但是它可以与Google Pixel同一天推送安全更新。

  然而前面提到了,其他厂商并不都这么干的,具体各家差多少直接看图吧:

  Security还指出,这一结果的背后芯片供应商有很大责任,因为采用联发科芯片的手机在获得安全更新方面更显糟糕:

  这里更新和芯片供应商的关系不是绝对的,比如PingWest品玩这就有一台高通骁龙835的手机,目前Android安全更新还停留在2017年12月1日。

  在这一现象被揭露之后,Google迅速就做出了回应,承认了这项研究的重要性,并表示将会进行核实。而最终的结果,就是这次Google I/O上宣布的事情了。并且Google这两年一直在推行的Project Treble正好能够用上,利用这一机制,厂商制作安全补丁更容易,成本更低。

  一边用政策来约束厂商,另一边又许拉低抵触心理,可以说是个非常棒的套路。但估计Kleidermacher怎么也想不到,在扶友军的同时,自家阵脚乱了。

  自家

  据老牌安全软件赛门铁克研究发现,有一些曾经被发现过的恶意应用重登Google Play了,而且使用的方法非常简单:改名。

  这次发现的恶意应用程序有7个,它们早在去年就被汇报给Google并下架过了,但现在,它们通过更改包名称重新以表情符号键盘、空间清理、计算器等类型登录Google Play。

  这里简单介绍下这些恶意应用的表现,大家注意下:

  - 安装后会进入几小时静默期,以此避免被注意

  - 顶着Google Play图标来索要管理员权限

  - 把自己的图标改成Google Play、Google地图这些常见应用

  - 通过提供内容来获利——比如重定向网站——并且这个形式是云端可控的

  相对来说,这一次恶意软件的行为其实并不重要,更危险的是这次登录Google Play的形式,Google Play安全流程中的问题。

  首先,Google Play的审核机制可以说是漏洞百出。在应用上架Google Play前的过程中,安全测试成了摆设,自动检测算法根本没起作用,人工审核就像个宣传称号——据赛门铁克表示,这些应用根本不能提供正常功能,所以人工审了什么?

  其次,在上架及用户安装后Google宣传的防护也没起作用。基于机器学习技术识别流氓软件的Google PlayProtect,据称每天会扫描数十亿应用,一样被绕过了。

  最让人无法接受的是,这些体系还是被绕过两次,而第二次仅仅是通过改名就饶过了。这难免不让人联想到Google Play的安全流程中是不是没有“总结经验”这一行为,所谓的机器学习是不是学和做分开了。

  而相对系统漏洞来说,恶意应用要让用户更加不适一些。毕竟大多数人的设备被蓄意利用漏洞攻击的可能性近乎为0,但是装错个应用就直接中招了。

  应用

  提到恶意应用,很多人自然而然的就会联想到流氓应用,然后就会想到“全家桶”,进而就会想到Google这几年更新了几个管理措施,更进一步还会想到为什么还压制不住他们。

  其实,这事还得怨Google,因为Google一直没想明白问题重点。

  以Android 8.0为例,Google虽然推出了一个后台控制特性,但是这个特性如果想完全正常使用有一个前提条件,应用程序的封包SDK要达到API 26(一个不面向用户的开发设定,和Android版本同步更新,目前正式版最高 API 27,Android P是API 28),直白点说就是应用是针对Android 8.0开发的。如果应用没这么做,那么结果就是新特性最多只能发挥一小部分作用,但并不会影响App的正常使用和滥用。

  所以,控制权在应用开发者手里。如果他们认为Android新机制非常棒,应该遵守,那就上新的API。而如果产品部、推送服务商觉得组成全家桶卖相好,那么就保持原样。

  PingWest品玩测试了几个Google Play中的应用后发现,其中最低的居然可以低到API 18,甚至Google自家的某些应用也还停留在API 24。而在Google Play之外,腾讯新推的TIM,现在还在用Android 4.0.3时期的API 15玩的不亦乐乎。

  可见,在这种近乎君子协议的前提下,想指望厂商跟上脚步、自我约束,这在短期内无异于痴人说梦。

  至于这种情况什么时候能更进一步的改善,还要看Google什么时候想明白强权的重要性。




关注IT讯息网公众号(itbear365 ),每天推送你感兴趣的科技内容。

  声明:本文仅为传递更多网络信息,不代表ITBear观点和意见,仅供参考了解,更不能作为投资使用依据。


返回网站首页 本文来源:PingWest

数据比较:阿里人比腾讯人更忠诚 头条员工走得最快
比硅谷活跃多了。
  原标题:中国TMT员工司龄大PK:阿里人比腾讯人更忠诚,头条员工走得最...
日期:05-16
吃鸡、抖音、朋友圈,是如何毁掉中国人的?
人类现在对于手机是如此的依赖,并不是手机本身对人有吸引力,而是手机上的产品让人欲罢不能,从开始的朋友圈,到后来的吃鸡,再到现在很火的抖音。
日期:05-16
罗永浩的汗滴答滴答  搞革命不是那么容易的
昨晚鸟巢锤子发布会,拜老罗所赐,相信很多人都湿了,就算提前准备了纸尿裤估计也没派上用场,因为...
日期:05-16
给老罗点时间,尝试创新不是错!
 昨晚的锤子发布会,大部分人的裤裆都湿了。不是因为被罗永浩的颠覆设备吓尿,而是因为北京突发的雷阵雨。
日期:05-16
人工智能一睁眼,就没人什么事了……
今年Google I/O的风头都被“成了精”的Google Assistant,以及背后的Duplex技术抢了。
日期:05-15
陌陌收购探探后会更好吗?“用户变现”成关键
能否把这些用户很好地变现,将是陌陌下一步需要面对的问题。
日期:05-15
安全不了的Android 想不明白的谷歌
二十六个字母都数到P了,然而Android生态的安全依然是一个让人堪忧的状况,而最近,这个情况更是集中爆发。
日期:05-14
新时代电子产品的崛起正缓解亚洲厂商的手机阵痛
北京时间5月14日晚间消息,彭博社今日发表文章称,可穿戴设备、物联网设备、人工智能、虚拟现实和增...
日期:05-14
八问乐视网:贾跃亭能否还款,公司是否会退市
5月14日消息,今日乐视网召开2017年度业绩沟通会,乐视网董事长兼总经理刘淑青等人对乐视网当前情况进行说明。
日期:05-14
彭博社:市值缩水770亿美元 腾讯面临史上最惨利润
随着投资者开始担忧腾讯控股公司的大规模支出,继其股价在1月份创下历史新高后,这家互联网巨头的市值缩水了770亿美元。
日期:05-14
贾跃亭换个马甲再战  FF已在国内成立4家子公司
(记者 石飞月)5月13日,记者通过天眼查App发现,贾跃亭投资的电动汽车公司Faraday Future(以下简称&...
日期:05-14
二手手机号调查:注册APP账号受阻 运营商称无解
近来,不少用户反映,新买的手机号无法注册新的APP账户,反而可以直接登录别人账号,其隐私信息一览无余。
日期:05-14
滴滴没有避风港:技术的进步是把双刃剑
技术的进步是把双刃剑
  赵陈婷
  技术的进步有时是把双刃剑。
  2016年7月,...
日期:05-14
经济学人:小米渴盼“互联网公司”身份 但利润失衡
媒体和投资人对于小米标榜的“互联网公司”属性提出了质疑,英国《经济学人》发文指出,在谷歌主导的海外移动互联网市场,小米要靠互联网服务牟利将非常困难。
日期:05-11
生鲜电商十年,水大未必鱼大
生鲜电商市场体量巨大,玩家众多,十年发展,可谓略有小成。资本与巨头的入局,留给众玩家的机会并不多,坚持下去,回归原点,也许是个不错的选择。
日期:05-11
平板PK投影:零售商务会议显示的新战争
2018年以来,在零售商务会议显示市场,智能会议平板与传统零售投影机之间的竞争,就是这种“老话题的新战场”。
日期:05-11
售价200万的FF91都回国了 贾跃亭回国还会远吗
 贾跃亭已被列为失信被执行人7次,乐视控股6次,贾跃亭的妻子甘薇1次。
日期:05-10
腾讯另一面:上帝视角的彩票式投资大玩家
在战略级业务上大刀阔斧、亮出獠牙,在财务级业务上「闷声发大财」地获得流量税和资本增值,构成了...
日期:05-10
高通服务器芯片进入“转折期” 业务前景难料
尽管有谷歌、微软以及阿里巴巴等厂商“站台”,但高通在服务器芯片领域大显身手的野心或...
日期:05-10
Google成功“造人”令人胆寒!人类迎来史上最惨失业潮
 昨晚,谷歌召开一年一度的Google I/O大会。谷歌CEO劈柴直接祭出了这次大会的王牌AI,这个智能过人的Al让人看完不禁倒吸一口凉气……
日期:05-10