科技网

当前位置: 首页 >自媒体

Android系统乱象安全更新就改个日期俗

自媒体
来源: 作者: 2019-01-11 13:38:18

Android系统乱象:安全更新就改个日期 根本没装补丁

摘要:新浪讯4月13日上午消息,《连线》杂志最近做了一篇报道,揭开了Android系统在安全补丁方面的乱象,很多Google公布的安全补丁不但延迟推送,甚至还有厂家告诉用户已经最新,却偷偷地跳过了该有的安全补叮

新浪讯 4月13日上午消息,《连线》杂志最近做了一篇报道,揭开了Android系统在安全补丁方面的乱象,很多Google公布的安全补丁不但延迟推送,甚至还有厂家告诉用户已经最新,却偷偷地跳过了该有的安全补丁。

“这些家伙只是更改日期,根本没装补丁”

一直以来,Google都在努力争取让几十家Android智能制造商、以及数百家运营商、定期推送安全更新,但是一家德国安全公司在针对数百台Android进行调查后,发现了一个令人不安的新问题:许多Android厂家不但没给用户提供补丁,或是延迟数月才发布;甚至有时也会告诉用户固件已经是最新的,但却偷偷地跳过了补丁。

周五,在阿姆斯特丹举行的“Hack in the Box”黑客安全大会上,研究人员查看了近两年的数百款Android系统代码,大部分存在安全隐患,缺一打补丁的不少见。研究人员Nohl说:“虽然补丁很小,但对安全很重要。最糟糕情况是,Android厂家在设备故意歪曲事实。这些家伙只是在推送时候改了个更新日期,压根没有补丁。”

安全机构SRL测试了1200部,这些设备有Google自己,以及三星、摩托罗拉、HTC等主要安卓厂家,还有中兴,TCL等中国公司制造。

他们发现,除了Google自己如Pixel和Pixel 2等旗舰机,即使是顶级厂家在安全补丁这块也相当糊涂,其他二三线厂家的更新记录更是混乱。

研究人员Nohl说,这种假装装了补丁的问题是最要命的,他们告诉用户有,其实没有,从而产生了一种虚假的安全感。这是故意的欺骗。”

大公司打补丁不积极

还有种更常见的情况是,像索尼或三星这样的大公司也会错过一两个补丁。很多重要更新并没有,比如三星2016年的J5或J3,非常坦诚告诉用户哪些补丁已经安装那你可以做到许多他人无法做也无法想象的事,但缺少很多重要更新,也缺少提示。用户几乎不可能知道实际安装了哪些补丁。为了解决这个问题,SRL实验室发布了一个叫“Sn也可能是一种精益求精的过程oopSnitch”的Android应用,它允许用户查看的代码,以了解其安全更新的实际状态。

SRL实验室在测试那堆后,制作了以下图表,

Android系统乱象安全更新就改个日期俗

根据2017年10月之后打补丁的情况,将厂家进行了分级,漏装个补丁是最好的情况,有Google,索尼,三星,以及Wiko这个不知名的中国厂家;小米,以及,诺基亚平均丢了个补丁;而HTC,华为,LG和摩托罗拉这些知名厂家则丢了个补丁;TCL和中兴丢了4个以上安全补丁,在榜单上表现最差——他们声称已经安装了,但没有。

即便大厂家,打补丁也不积极

低端芯片引发恶性循环

还有种情况是在芯片中发现了漏洞,而不是在操作系统中。

如果按所使用芯片来分类的,三星的处理器就比较好,高通芯片也还行,但使用中国台湾联发科(MediaTek)芯片的平均漏了9.7个补丁。

低价芯片低价没有更新

这种情况跟定价有关,低价一般使用的也是便宜芯片(例如联发科就占比较大),对安全也不太重视。制造商也不重视,依赖芯片厂家提供补丁。

结果就是从采用低端芯片的廉价,会继承芯片厂不注重安全的问题,最终导致如果你选择便宜的,会进入一种安全的恶性循环,在这个生态系统中得到不太好的维护。

Google:安全不止是打补丁

当连线杂志就此事与Google公司联系时,该公司回应指出,SRL分析的一些他最后的结果可能也是全身湿透可能不是Android认证的设备,这意味着它们没有被Google的安全标准所控制。

另外,Google指出,现在的Android即使有未修补的安全漏洞,也很难破解。他们认为,在某些情况下,设备可能漏掉一些补丁,因为厂家只是简单粗暴地从上封堵一个易受攻击的功能,而不是修复。

Google表示他们正在与SRL实验室合作,进一步调查研究结果:“安全更新是保护安卓设备和用户的众多层面之一,内置的平台保护,如应用程序沙箱和安全服务、Google游戏保护同样重要。这些安全层结合了Android生态系统的多样性。”

研究员Nohl并不认同听这种说法,安全补丁不止是数字问题(他是说每个安全补丁都应该有);但他认同Google“Android很难破解”的说法,Android 4.0之后,程序在内存的随机分配位置,以及沙盒机制让恶意软件难以得逞。

现代的所谓的“攻击”可以完全控制目标Android,但要利用软件系统的一系列漏洞而不但仅是一个。

对相较于“硬破解”的方式,更应该防范的是软破解,就是那些那些在Google游戏商店中的流氓软件,或者诱使用户从一些不明安全源来安装的软件。人们经常被一些所谓的免费或盗版软件诱骗,这种方式技术含量不高,其实属于社会工程学范畴。

之所以建议厂家和用户把能有的安全补丁都装好,是为了防止零日漏洞(zero-day),一般被发现后立即被恶意利用。在许多情况下,它们可能会使用已知的还没有修补漏洞协助攻击。所以才有“深度防御”的安全原则:每一个错过的补丁都是潜在的一层保护。你不应该给黑客留下潜在可能,应该安装所有补丁。(晓光)

罐头有防腐剂吗价格
真空搅拌脱泡机
焦糖奶油蛋糕

相关推荐