伴隨惡意程序、資費消耗、數(shù)據(jù)泄露等移動端應(yīng)用安全威脅與日俱增,Android應(yīng)用端安全防護(hù)的價值也在持續(xù)引發(fā)行業(yè)內(nèi)外人士的探討。在6月12日舉辦的第四屆騰訊安全國際技術(shù)峰會(TenSec 2019)上,騰訊安全科恩實驗室對外發(fā)布了《2018年Android應(yīng)用安全白皮書》(以下簡稱《白皮書》),深度剖析了Android應(yīng)用存在的安全風(fēng)險及原因,并提出了針對性的解決建議。
《白皮書》基于騰訊安全科恩實驗室自研的Android應(yīng)用自動化漏洞掃描系統(tǒng)—ApkPecker,選取了2018年下載量較高的1404個App應(yīng)用,進(jìn)行漏洞掃描發(fā)現(xiàn):超98%的應(yīng)用存有不同類型的安全風(fēng)險,主要原因包括系統(tǒng)開發(fā)隱患、漏洞監(jiān)測困難、避雷能力不足、修復(fù)管理滯后等。建議各大應(yīng)用廠商建立從APP開發(fā)到用戶交互的產(chǎn)品全生命周期的安全管理,開展實時的安全風(fēng)險檢測與控制,避免造成不必要的損失。
超98%Android應(yīng)用存有安全風(fēng)險 影音播放類應(yīng)用風(fēng)險最高
相關(guān)數(shù)據(jù)顯示,2018年全球App下載量近五成來源于中國。移動應(yīng)用與社會大眾和各行業(yè)的關(guān)聯(lián)日趨緊密。然而,Android平臺的惡意程序數(shù)量也增長迅猛,據(jù)G DATA最新的統(tǒng)計數(shù)據(jù)顯示,從2012年到2018年第三季度末,Android系統(tǒng)應(yīng)用發(fā)現(xiàn)超過320萬個新的惡意樣本,日均發(fā)現(xiàn)超過11000個。受開源組件安全隱患、開發(fā)過程漏洞入侵、應(yīng)用克隆等因素的影響,以漏洞為代表的安全威脅已滲透到了移動應(yīng)用的開發(fā)及用戶交互等各個環(huán)節(jié),成為移動應(yīng)用行業(yè)發(fā)展的制約因素。
《白皮書》數(shù)據(jù)顯示,影音播放類Android應(yīng)用存在的安全風(fēng)險數(shù)量最多,其次是通訊社交和網(wǎng)上購物類應(yīng)用。相對于其他類型的移動應(yīng)用,這三類應(yīng)用的產(chǎn)品功能和交互方式都較豐富,且具有較高的用戶黏性。存在其中的安全風(fēng)險一旦爆發(fā),影響的用戶量級和范圍將大大超乎預(yù)期。
在安全風(fēng)險的類型方面,拒絕服務(wù)漏洞、隱式Intent信息泄露以及二進(jìn)制三類安全風(fēng)險的數(shù)量最多,且影響的APP數(shù)量也位列前三。其中,超80%的移動應(yīng)用皆存有隱式Intent信息泄漏風(fēng)險。利用這些已深度侵入到Android應(yīng)用內(nèi)的漏洞,攻擊者即可實現(xiàn)對用戶信息的綁架、資費的惡意扣取與消耗等,甚至將多種風(fēng)險進(jìn)行整合構(gòu)建,形成貫穿應(yīng)用開發(fā)、上架和用戶交互等全流程的攻擊鏈路,從而容易引發(fā)高達(dá)億級的應(yīng)用安全危機(jī)。
組件安全風(fēng)險仍達(dá)七成,開發(fā)周期缺乏安全機(jī)制是主因
根據(jù)Android應(yīng)用自動化漏洞掃描系統(tǒng)——ApkPecker的檢測數(shù)據(jù)發(fā)現(xiàn),Android應(yīng)用面臨的安全風(fēng)險主要可分為應(yīng)用場景漏洞利用、服務(wù)后臺漏洞攻擊等部分。其中,《白皮書》顯示在本次針對1404款A(yù)ndroid應(yīng)用進(jìn)行的樣本檢測中發(fā)現(xiàn),用戶信息保密機(jī)制的缺乏增加了移動應(yīng)用的安全壓力。由此引發(fā)的安全事件頻發(fā),給用戶的信息賬號和資金帶來了極大危害。
與此同時,《白皮書》還結(jié)合安全風(fēng)險的觸發(fā)場景,著重對數(shù)據(jù)泄漏、組件間通信,以及SDK、Native第三方庫漏洞等頻繁出現(xiàn)在當(dāng)前移動應(yīng)用中的安全風(fēng)險進(jìn)行了詳細(xì)分析,指出在檢測的1404個樣本中,有74%的應(yīng)用存在拒絕服務(wù)攻擊風(fēng)險。開發(fā)人員對公開組件外部輸入數(shù)據(jù)的校驗和異常處理,是引發(fā)組件間通信惡意安全事件的主要原因,同時還將加大漏洞組合利用的風(fēng)險,造成更大量級的信息泄漏。
而因移動應(yīng)用開發(fā)者在直接調(diào)用第三方庫進(jìn)行應(yīng)用開發(fā)使并未注意其代碼的安全性,從而導(dǎo)致在檢測的樣本中,有近五成的應(yīng)用存有SDK庫漏洞,且超58%的應(yīng)用受Native庫漏洞威脅,極大地增加了APP安全管理的難度,其表現(xiàn)出的碎片化、難追溯特點甚至將導(dǎo)致安全風(fēng)險的惡性循環(huán)。
此外,移動應(yīng)用后臺服務(wù)端存有的平臺、應(yīng)用、業(yè)務(wù)邏輯以及DDos/CC攻擊等風(fēng)險也是引發(fā)Android應(yīng)用安全事件的重要誘因。由此,《白皮書》指出移動應(yīng)用的安全風(fēng)險并不是相互獨立和彼此割裂的,多種安全風(fēng)險構(gòu)建成完整攻擊鏈的趨勢愈加明顯。Android移動應(yīng)用安全需要整個產(chǎn)業(yè)閉環(huán)自上而下的共同維護(hù)與防御實踐。
《白皮書》最后提醒各大Android應(yīng)用開發(fā)廠商以及應(yīng)用商店等平臺,風(fēng)險防御成功與否是由短板攻擊面決定的。使用基于面向攻擊面的靜態(tài)檢測工具,建立貫穿移動應(yīng)用全生命周期的安全風(fēng)向評估模型,是高效檢測Android移動應(yīng)用風(fēng)險,精準(zhǔn)防范安全威脅的有效途徑。ApkPecker 作為一款全自動Android應(yīng)用漏洞掃描工具,能夠輸出高質(zhì)量漏洞掃描報告,精準(zhǔn)定位漏洞并提供修復(fù)建議,從而助力移動安全人員提升應(yīng)用安全性。
同時,騰訊安全科恩實驗室還基于移動應(yīng)用滲透測試經(jīng)驗以及前沿攻擊模式分析與總結(jié),提出了適用于移動應(yīng)用面向攻擊面靜態(tài)檢測的安全自查雷達(dá)圖,協(xié)助Android應(yīng)用開發(fā)者全面、客觀、高效地掌握移動應(yīng)用靜態(tài)檢測安全風(fēng)險的實時動態(tài),為其突破安全檢測高誤報率瓶頸提供助益。在此基礎(chǔ)上,騰訊安全科恩實驗室將繼續(xù)開放核心安全技術(shù)與能力,為各行業(yè)數(shù)字化轉(zhuǎn)型變革的安全和健康發(fā)展貢獻(xiàn)力量。
- 蜜度索驥:以跨模態(tài)檢索技術(shù)助力“企宣”向上生長
- 為什么年輕人不愛換手機(jī)了
- 柔宇科技未履行金額近億元被曝已6個月發(fā)不出工資
- 柔宇科技被曝已6個月發(fā)不出工資 公司回應(yīng)欠薪有補(bǔ)償方案
- 第六座“綠動未來”環(huán)保公益圖書館落地貴州山區(qū)小學(xué)
- 窺見“新紀(jì)元”,2021元宇宙產(chǎn)業(yè)發(fā)展高峰論壇“廣州啟幕”
- 以人為本,景悅科技解讀智慧城市發(fā)展新理念
- 紐迪瑞科技/NDT賦能黑鯊4 Pro游戲手機(jī)打造全新一代屏幕壓感
- 清潔家電新老玩家市場定位清晰,攜手共進(jìn),核心技術(shù)決定未來
- 新思科技與芯耀輝在IP產(chǎn)品領(lǐng)域達(dá)成戰(zhàn)略合作伙伴關(guān)系
- 芯耀輝加速全球化部署,任命原Intel高管出任全球總裁
免責(zé)聲明:本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿,凡在本網(wǎng)站出現(xiàn)的信息,均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性,但不保證有關(guān)資料的準(zhǔn)確性及可靠性,讀者在使用前請進(jìn)一步核實,并對任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏,概不負(fù)任何法律責(zé)任。任何單位或個人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時,應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明,并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后,將會依法盡快聯(lián)系相關(guān)文章源頭核實,溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。