安卓系统为什么不安全，有没有办法解决？
2017/11/11 12:51:28 浅黑科技

     “安卓得了生态白血病，谷歌自己也解决不了。” 这一回答来自韦韬，百度首席安全科学家，他本人曾多次在 Blackhat 等知名网络安全大会上强调过这一观点。

     安卓的生态白血病是什么？竟能难倒谷歌？

     简单来说，苹果是闭源的，iOS 只给苹果手机用，下载软件也必须去应用市场 AppStore；而安卓是开源的，系统代码开源给各大手机厂商供他们自行修改，用户也可以随处下载安装APK(软件安装包)，而不用局限于官方应用市场。(国内也上不去)

     苹果是个封建帝国，安卓是一片生态，里面有谷歌、终端设备厂商、芯片厂商、开发者等各种角色。这就带来许多问题，最严重的就是碎片化。

     安卓原本是一个整体，但在设备厂商的改造下，慢慢裂变成了碎片。

     几乎每个设备厂商都会把安卓系统改造成自家独特的定制版，比如国内有华为的EMUI、小米的MIUI、魅族的 Flyme等等，每种系统又要适配不同的手机型号，每个手机型号系统又有很多个版本。

     就这样横一刀竖一刀，安卓系统这个蛋糕变成了碎片。碎成什么样子呢？大概就像下面这张图这样。

    

     碎片化直接导致的结果是，每次安卓出现系统漏洞，虽然谷歌及时发布了补丁，但是厂商根本来不及为每个机型、版本适配，市面上系统版本太多了!

     谷歌或许能够很快修复最新发现的重大漏洞，但由于生态碎片化太严重，设备厂商跟不上谷歌的脚步。一个已知漏洞都要小半年才能修复，试问安卓系统怎可能安全？

     “要收割中国市场的账号信息并不需要太高的水平，就看谁来捅这一刀。”

     三年前，韦韬博士曾在 Blackhat 会场用”收割“二字描述终端安全的严峻。这个判断基于韦韬多年的经验和看到的事实：一个水平不高的黑客写的APK(安卓安装包)软件包，一天时间就影响了超百万的用户。

     至今，安卓的碎片化问题依然没有解决，在我们手里实际使用的安卓设备中，始终有很高比例的已公开内核漏洞，能被攻击者利用并获得内核控制权(Root权限)，

     这个看起来似乎无解的问题，这就是安卓的生态白血病。

     OASES 联盟是什么？能治好安卓吗？

     其实，韦韬早几年前就注意到了安卓生态病，他带领百度安全实验室开发出了一种自适应内核热修复的专利技术，能在手机不升级，不影响用户体验的情况下，快速修复系统漏洞。

     相比之下，以往手机厂商使用的冷修复技术都需要重启设备，使得不少用户嫌麻烦不愿意升级系统和安装补丁。

    

     百度首席安全科学家韦韬↑

     然而，当百度安全试图推广这项技术，却面临信任的挑战 —— 这项技术要求热修复技术引擎直接嵌入系统内部。

     “谁愿意在自家系统内核里装上别人家的东西呢？并不是安全能力强，就能获取信任。如果处置不好，后果甚至会恰恰相反。信任问题是必须首先解决的问题。”

     韦韬明白，“第一个吃螃蟹”去解决连 Google 都无法解决的问题，需要厂商有多大的决心。

     所幸，终究还是有厂商愿意为用户安全去做尝试。

     11月6日，百度安全联合华为、中国信通院共同成立了 OASES 智能终端安全生态联盟。首批联盟成员包括：安全厂商犇众信息、Keen/GeekPwn、NewSky Security、腾御安(TYA)，终端企业华为、中兴、酷派，以及来自清华大学、复旦大学、中国科学院、上海交通大学、佛罗里达州立大学等中外顶尖院校的专家学者。

    

    

     他们希望设备厂商和安全厂商能联合起来解决这个问题，终端设备厂商接入热修复技术，每当出现安全漏洞，补丁可以直接由安全厂商提供，经设备厂商将补丁推送给智能终端，用户不需要重启就能安装，兼顾用户体验和安全。

     韦韬认为，唯有联盟充分建立信任关系，才有可能消除碎片化可能导致的生态安全危机。这件事并不容易。为了表示“诚意”和决心，百度安全直接将核心基础技术的专利免费授权给联盟厂商使用，包括：

     · KARMA自适应内核漏洞热修复技术

     · OASP移动应用签名安全技术

     · OpenRASP 自适应Web安全防护技术

     · MesaLink内存安全通信协议栈技术等

     进而，百度安全还将核心基础技术的代码直接向联盟厂商开源，以完全消除厂商的顾虑。

     联盟成立当天的会议，百度打出的口号是“当AI遇到安全”，这意味着 OASES 联盟其实也是扛着 AI 旗帜，为智能终端生态服务的。百度总裁张亚勤也为OASES站台，并在会上大谈 AI 安全。

     或许百度发起成立 OASES 联盟也有自己的商业考量，比如为之后百度描述的“AI 时代”铺路。现在单单只是安卓手机，碎片化问题都如此严重，等到物联网普及，智能车、智能家居的各个品类、版本、型号可能更是数不胜数，碎片化问题将更加严重。对于百度来说，与其等到出现安全问题再填坑，不如提前把安全做好。

     但无论如何，对于我等普通大众来说，有人能在智能终端安全这条路上披荆斩棘，终究是一件好事。

     ---

     浅黑科技，让技术被读懂

    

    

    http://weixin.100md.com
返回 浅黑科技 返回首页 返回百拇医药