在美国国土安全部资助的一项研究中,Kryptowire 在廉价的 Android 智能机上,发现了由预装应用造成的严重安全风险。这些 App 存在潜在的恶意活动,可能秘密录制音频、未经用户许可就变更设置、甚至授予自身新的权限 —— 这显然与 Android 设备制造商和运营商的固件脱不了干系。
在新工具的帮助下,Kryptowire 得以在不需要接触手机本体的情况下,扫描固件中存在的漏洞。最终在 29 家制造商的 Android 设备上,查找到了 146 个安全隐患。
在被问及为何特别针对廉价 Android 设备展开软件安全调查时,Kryptowire 首席执行官 Angelos Stavrou 在一封邮件中解释称:这与谷歌对产品的管理态度,有着直接的关系。
Google 可能要求对进入其 Android 生态系统的软件产品进行更彻底的代码分析,并担负起供应商应有的责任。
当前政策制定者应要求该公司将最终用户的信息安全负起责任,而不是放任其置于危险之中。
对此,谷歌亦在一封邮件中称:其感谢合作并以负责任的态度来解决和披露此类问题的研究工作。
正如 Kryptowire 研究中发现的那样,预装应用通常为小型、无牌的第三方软件,其被嵌入到了较大的品牌制造商的预装功能中。
然而这类应用很容易构成重要的安全威胁,因为与其它类型的 App 相比,预装应用的权限要大得多、且很难被应用删除。
在 2017 年于拉斯维加斯举办的黑帽网络安全大会上,Kryptowire 披露了上海 Adups Technology 生产的廉价手机中的类似安全威胁。
该手机的预装软件被发现会将用户的设备数据发送到该公司在上海的服务器,而不会提醒这些用户,后续其声称该问题已得到解决。
2018 年的时候,Kryptowire 发布了面向 25 款 Android 入门机型预装固件缺陷的研究,同年谷歌推出了 Test Suite,以部分解决这方面的问题。
尽管 Kryptowire 曝光的事情每年都难以避免,不过 Stavrou 认为,谷歌的整体安全策略,还是有所改善的。
他表示:“保护软件供应链是一个非常复杂的问题,谷歌和安全研究界一直在努力解决该问题”。
在今年黑帽安全会议(Black Hat 2019)的演示期间,谷歌安全研究员 Maddie Stone 表示:
“Android 设备的常见预装 App 有 100~400 款,从恶意行为者的角度来看,他只需说服一家企业来打包恶意 App,而无需说服成千上万的用户”。
今年8月,由科大讯飞提出的A.I.数据质量国际标准项目《人工智能-分析和机器学习...
针对之前工信部的公布《关于侵害用户权益行为的APP(第一批)通报》,今天腾讯方...
随着移动手机银行的普及,人们发现在手机操作可以直接完成在营业厅办理的大部分...
市民为防止人脸识别戴头盔逛售楼处,人脸识别第一案法院判决杭州野生动物世界删...
微信又更新了,虽然说这个版本的更新内容只写了短短的一句修复了一些已知问题,...
近日,北京一购物中心开业,在开业当天迎宾的并不是人而是机器人。在这里你可以...
本文经AI新媒体量子位(公众号ID:QbitAI)授权转载,转载请联系出处。 当坐在你...
准确率达95%能看透你的一生最近一段时间,随着小程序的发展,一些AI看相小程序大...
为了让用户更安心过年, 继去年支付宝上线疫情直通车专项服务,近日,支付宝和阿...
自动驾驶汽车代表着未来,但驾驶者未必就能把一切彻底交给机器。也许未来的物理...