安卓系統(tǒng)為何被安全極客戲稱為“漏洞之王”？6月6日，“AsiaSecWest 國際安全技術峰會—亞洲站”的極客“最強大腦”給出了他們的解答。來自安全研究實驗室（Security Research Labs）的首席科學家Karsten Nohl表示：“盡管安卓是基于開源軟件開發(fā)的操作系統(tǒng)，但是對于大多數用戶來說，安卓系統(tǒng)的安全性仍是一個黑匣子。用戶對安全補丁了解甚少，不得不盲目信任手機廠商的補丁，然而在大多數情況下，許多安卓廠商的補丁能力并不值得信任?！?span style="text-align: center;"> 

安卓系統(tǒng)設備更新及時性、不定普及率問題，不僅成了老大難的問題，還埋下了巨大的安全隱患。近日，蘋果開發(fā)者大會上，安卓設備更新的及時性、普及率這個由來已久的問題又被拉到聚光燈下。蘋果軟件工程高級副總裁Craig Federighi用數據“黑”了安卓一把：“目前81%的蘋果用戶正在使用iOS11，對比之下，只有6%的安卓系統(tǒng)升級到了最新版本?！倍缭?015年，安全機構F-Secure就認為，99%的惡意軟件都把Android作為攻擊對象；2016年，在CVE Details公布的報告中，安卓成為全年漏洞最多系統(tǒng)。隨著安卓系統(tǒng)的占有率和出貨量占據了市場的絕對性優(yōu)勢，使用安卓系統(tǒng)的設備也越來越多的成為移動惡意軟件的首要攻擊目標。

為了揭秘安卓設備“安全黑匣子”，Karsten Nohl表示：“我們通過新穎的分析方法在大量預先編譯的樣本查找函數特征，在手機或固件文件中發(fā)現漏打的安卓系統(tǒng)補丁。根據對數萬個手機固件的分析結果，我們對漏打的安卓系統(tǒng)補丁進行了調查和量化?！辈⒃跀祿偨Y的基礎上，將與眾多用戶密切相關的安卓漏洞問題進行了再度探討。

安卓系統(tǒng)屬佛系 漏洞專家揭秘安全黑匣子

早在2017年，Google披露了一個名為“Janus”安卓漏洞，該漏洞可以讓攻擊者繞過安卓系統(tǒng)的整個安全機制，直接對APP進行篡改。2018年年初，一個名為“應用克隆”的攻擊威脅模型以短信、二維碼、新聞頁面等方式誘導用戶進行消費行為，支付寶、餓了么、京東到家等27款安卓版APP紛紛中招。

與蘋果、windows等系統(tǒng)相比，安卓系統(tǒng)對于用戶的保護顯然力度不足，因其長期以來對安全性問題的忽視，它還一度還獲得了“佛系安全”的戲稱。在安卓用戶日益增長的情況下，對這一問題的解決顯然應當提上日程。

6月6日，在香港召開的AsiaSecWes峰會上，首席科學家Karsten Nohl以“注意間隙：剖析安卓系統(tǒng)的不完整補丁”為演講主題，在數據總結的基礎上將與眾多用戶密切相關的安卓漏洞問題進行了再度探討。

Karsten Nohl目前任職于柏林的安全研究實驗室（Security Research Labs），長期專注于信息安全與保護領域，此前曾披露過交通系統(tǒng)和移動電話的諸多漏洞。在峰會上，他通過新穎的分析方法在大量預先編譯的樣本上查找函數特征，并根據對數萬個手機固件的分析結果對漏打的安卓系統(tǒng)補丁進行了調查和量化。

通過調研，Karsten Nohl認為，盡管安卓是基于開源軟件開發(fā)的操作系統(tǒng)，但是對于大多數用戶來說，安卓系統(tǒng)的安全性仍是一個黑匣子。用戶對安全補丁了解甚少，不得不盲目信任手機廠商的補丁，然而在大多數情況下，許多安卓廠商的補丁能力并不值得信任。

騰訊安全發(fā)布極客“101”計劃 打造安全技術平臺“中國樣本”

實際上，揭秘安卓系統(tǒng)的安全黑匣子，只是本次AsiaSecWes峰會議題之一。對比PC時代，以iOS 、安卓為主要操作系統(tǒng)平臺的移動時代來臨之后，安全形式變得更加嚴峻。為應對更加復雜多變的安全問題，手機廠商、應用開發(fā)商、網絡安全研究者需要多方攜手，在討論、交流中思考行業(yè)目前所面臨的安全危機及解決方案。

AsiaSecWest正是這樣一個交流的平臺。創(chuàng)辦于2000年的CanSecWest是全球最大安全峰會之一，被全球黑客視為一年一度的殿堂級活動。騰訊安全攜手CanSecWest創(chuàng)辦了AsiaSecWest，召集起全球頂尖的安全極客，搭建起交流橋梁，分享前瞻觀點和研究成果。

在此次AsiaSecWest峰會上，共有13位全球頂尖極客出席，討論主題囊括了安全領域的技藝演進、中間盒子的可用性及其潛在隱患等議題。同時，騰訊安全聯合實驗室玄武實驗室負責人于旸和CanSecWest創(chuàng)始人、北美黑客社區(qū)著名人物Dragos Ruiu還聯手發(fā)布了安全極客“101”計劃： “1”代表升級搭建“一”個徹底打破中西方安全技術交流壁壘的平臺；“0”代表“零”距離的全面溝通；最后的“1”則代表打造“一”流的技術品牌。

通過此次與CanSecWest的合作，騰訊安全希望打造一個世界頂級網絡信息安全技術交流平臺，搭建中西方黑客技術交流橋梁，致力推動中國成為國際信息安全技術風向標，從而為包括中國在內的全球信息安全技術人才構建一個展示前沿技術突破與應用的舞臺，在為中國網絡安全生態(tài)建設注入全球化視野的同時，積極倡導中國乃至全球的信息安全新生態(tài)，也為全球安全技術交流平臺做出了“中國樣本”。

騰訊安全作為中國互聯網安全新生態(tài)的首倡者，始終堅持“開放、聯合、共享”的理念，多維護航全球網絡安全生態(tài)的構建與發(fā)展。近年來，為提供立體化安全防護，騰訊安全聯合多名網絡安全界權威專家組建中國頂級聯合安全實驗室，專注于網絡安全技術研究及安全攻防體系建設，集合企業(yè)安全能力推出騰訊守護者計劃、CSS中國互聯網安全領袖峰會、TCTF騰訊信息安全爭霸賽，支持并參與了GeekPwn國際安全極客大賽。

雷峰網版權文章，未經授權禁止轉載。詳情見轉載須知。