×

部分安卓APP存漏洞 用户账户信息可被复制并消费

2018-01-16 08:28:47 来源:光明日报

pt老虎机开户送体验金 www.sabeelonet.com 资料图:郑州市公安局文化路分局查获的电脑、手机、存折、银行卡等涉案物品堆满桌。<a target='_blank'  _fcksavedurl='http://www.chinanews.com/'></table>中新社</a>记者 王中举 摄

  资料图:郑州市公安局文化路分局查获的电脑、手机、存折、银行卡等涉案物品堆满桌。中新社记者 王中举 摄

  国内安全机构近日披露,部分安卓APP存在安全漏洞,用户账户信息可被复制并消费——

  “应用克隆”威胁带给移动安全哪些警示

  点击手机短信里一条链接,打开后看似是正常的抢红包页面,但无论你是否点击红包,支付宝应用都已被“克隆”到了另一部手机上,攻击者可以随意点开你的支付宝消费……国内安全机构近日披露,检测发现国内安卓应用市场约有十分之一的APP存在漏洞,支付宝、携程、饿了么等多个主流APP均在列,并且这种漏洞易被“应用克隆”攻击。

  虽然支付宝等应用漏洞已基本修复,但“克隆应用”威胁模型的曝出令人们震惊不已。业界人士分析,该攻击模型基于移动应用的基本设计特点,几乎所有应用均适用该模型。在这种攻击模型视角下,很多以前认为威胁不大、厂商不重视的安全问题,都可以轻松“克隆”用户账户,窃取隐私信息、盗取资金。用户如何应对手机应用被“克隆”?“应用克隆”威胁的背后,又折射出哪些移动互联的新风险?日前,记者对此进行了探访。

  1.“应用克隆”的神秘面纱

  国内安卓应用市场研究人员监测了约200个应用,发现其中27个存在漏洞,18个可被远程攻击。国家互联网应急中心网络安全处副处长李佳表示,国家信息安全漏洞共享平台在2017年12月7日接到腾讯应用检测报告,并迅速安排技术人员验证、为漏洞分配编号,在2017年12月10日向27家具体应用发送点对点的漏洞安全通报和漏洞修复方案?!胺⒊鐾ūê蟛痪?,我们收到了支付宝、百度外卖、国美等大部分APP厂商的主动反馈,并表示已在进行漏洞修复进程?!?/p>

  “应用克隆”的可怕之处在于:与以往的攻击不同,它实际上并不依靠传统木马病毒,也不需要用户下载“李鬼”应用,而是可以利用漏洞直接“克隆”?!熬拖窆ハ虢胨说木频攴考?,需要把锁弄坏,但现在的方式是复制了一张你的酒店房卡,不但能随时进出,还能以你的名义在酒店消费?!碧谘栋踩涫笛槭腋涸鹑擞跁D说。

  不过,“好消息”同样存在:一方面,被曝出的“应用克隆”漏洞只对安卓系统有效,苹果手机目前不受影响;另一方面,目前尚未出现已知案例利用这种途径对用户发起攻击。

  用户如何防范这种攻击?“攻击短信用户几乎无从分辨,普通用户防范的问题还比较头疼?!庇跁D坦言。不过,攻击者发送短信或二维码情况较多,用户要少点击别人发来的链接,对不太确信的二维码也不要出于好奇扫描,最重要的一点是要关注官方升级,包括操作系统与移动应用的官方升级。

  2.新风险让移动安全问题更复杂

  如今,操作系统在攻防对抗中增加了大量防御功能,传统漏洞攻击实施难度不断增加。这是否意味着移动操作系统漏洞威胁的减轻?“这只是错觉!”在于旸看来,移动应用有许多不同于传统软件的特点。比如,PC时代系统安全十分重要,而“端云一体”的移动时代还涉及用户账号体系和数据的安全,要?;ず谜庑┙隹肯低嘲踩乖对恫还?。

  “由于移动互联的自身特点,会引入更多安全的新变量和‘耦合点’,这些很有可能结合出新风险?!庇跁D说,某个单纯的节点可能都没问题,但这些点相互耦合形成复杂的网状,使得移动安全更加复杂多面。

  “市场上各类应用众多,但安全标准不统一,移动应用缺乏规范的安全标识,用户也无法清晰获知应用是否安全?!痹谌涨熬侔斓牡诙煅侵薹床《敬蠡嵘?,国家计算机病毒应急处理中心常务副主任陈建民介绍,各类流氓软件中窃取个人隐私情况达95%以上,手机应用木马病毒、盗版应用等问题也十分普遍。

  另外,不少移动应用的隐私政策普遍存在问题,也带来不少安全隐患?!赌戏蕉际斜ā啡涨胺⒉嫉摹?017个人信息?;つ甓缺ǜ妗废允?,在近三年工信部公布的466款不良移动应用中,有些被责令下架后经过包装可能再次上线;另外,研究人员对1500多个APP与网站的隐私政策测评发现,普遍存在平台透明度低的情况,隐私政策存在用户权利条款缺失、文本雷同、更新缓慢、暗藏格式条款等弊病。

  3.建立“移动安全新思维”

  “安全领域问题都不能指望一招彻底解决,因为它涉及了多个因素,必须采取一系列的纵深防御措施才能出现好的结果?!庇跁D说。

  腾讯安全玄武实验室在“应用克隆”威胁研究中发现,其涉及的部分技术曾有研究人员提及过,但在业界并未引起足够重视?!按蟛糠忠贫τ迷谏杓粕隙济挥锌悸钦庵止セ鞣绞??!庇跁D表示,移动互联网时代安全厂商必须意识到各种新技术、新设计会带来更多新问题,必须建立“移动安全新思维”,才能避免在安全方面积重难返。

  面对移动应用领域出现的各类安全威胁,于旸表示,绝对不能说依靠某一环节和单纯让用户提高防范意识就能解决问题,也不能依赖某一两家厂商扭转态势,只有手机生产商、应用开发商以及包括安全行业整个链条上的每个环节携手共同努力,才能为移动互联网行业发展创造健康的环境。

  目前,相关部门也在不断推进安全风险的共联、共治。李佳表示,在这次事件中发挥作用的国家信息安全共享平台已联合了国内的重大信息系统单位,如基础电信运营商、安全厂商以及相关互联网企业等60家单位,共享各自发现的漏洞并及时通报消息。截至目前,共收录软硬件产品漏洞10万起,具体事件型漏洞30万起,党政机关和重要信息系统漏洞6.9万起。

作者:李政葳 编辑:解冲

四川村民进山 偶遇野生大熊猫

中央新闻网站  专注青少年领域

版权所有:共青团中央网络影视中心信息网络传播视听节目许可证0105108号 京ICP备13016345号-1

联系我们  |  pt老虎机开户送体验金  |  客服电话:010-57380506
部分安卓APP存漏洞