《電子技術應用》
您所在的位置:首頁 > 嵌入式技術 > 業界動態 > Android“分支”帶來資安隱憂?

Android“分支”帶來資安隱憂?

2015-03-19

       Android 裝置陣營不斷朝多元化發展的情況在電子產業界已經是常態,不過在中國市場,Android作業系統出現不同“分支”的情形似乎也有越演越烈的趨勢。

  一方面,這顯示了中國智慧型手機業者的獨創性,他們積極以開放性的Android作業系統為基礎打造自己的“變種”版本;在另一方面,安全專家則對可能衍生的企業資料安全性表示憂慮──因為在跨國企業日益風行的員工自帶裝置“BYOD (bring your own device)”趨勢。

  美國感測器解決方案供應商PNI Sensor技術長George Hsu最近接受 EETimes 美國版編輯采訪時表示:“中國智慧型手機業者本來一直很擔心Google在智慧型手機作業系統上的主導性,不過現在好多了,因為Android陣營已經越來越分散。”

  Hsu指出,今日的中國智慧型手機業者膽子更大、也更有創意,會將手機產品打造為擁有獨特的風格;舉例來說,他們不會等待Google推出不關機應用程式如Google Now之類的特定功能,而是藉由自己添加硬體技術,像是感測器中樞(sensor hub),好在新型智慧型手機產品中整合獨特的環境感知功能。

  從Android分裂生殖卻不能相容的新版本

  在此同時,中國市場出現一個明顯的趨勢,就是開發“從Android分裂生殖但是又與Android不相容的”衍生版本;阿里巴巴集團(Alibaba Group)子公司阿里云開發的“Yun OS”就是一例。

  據了解,阿里巴巴開發Yun OS是為了推廣該公司自家電子商務應用程式以及其他服務。不久前阿里巴巴還宣布對中國二線智慧型手機品牌魅族(Meizu)投資5.9億美元,部分中國市 場觀察家形容阿里巴巴此舉是作業系統之戰,是該公司希望進一步在手機領域推廣Yun OS。

  目前并不清楚有多少中國Android智慧型手機通過Google的相容性測試套件(compatibility test suite,CTS),且遵循Google的相容性定義文件(compatibility definition document,CDD);安全專家警告,不符合Google的CTS或CDD之裝置會帶有已知的安全性漏洞(這在通過Google認證的 Android版本是可以避免的)。

  一家總部位于美國舊金山的資安業者Bluebox最近發表了一份報告,指出中國智慧型手機品牌小米(Xiaomi)的米4智慧型手機被預載了惡意軟體。

  根據Bluebox的原始報告,他們發現有小米出貨的米4配備了root過的ROM,而且被預載了被竄改的熱門效能評測(benchmarking)應用程式;該報告并尺出,小米自己的識別應用程式顯示那支手機是合法的小米官方產品。

  不過在原始報告發表的兩天后,Bluebox坦承該份報告的主角是一支“仿造得維妙維肖”的假小米手機;于是這個故事演變成,原來是安全專家被以假亂真的仿冒品騙了,那篇報告當然也是錯誤的內容。

  這起烏龍事件雖然讓Bluebox的聲譽受到影響,但也提供了電子產業一些有價值的觀點,讓大家開始關注現在市場上越來越多的中國品牌智慧型手機。

  從Bluebox上當事件學到的教訓…

  而Bluebox相信,他們的上當經驗凸顯了幾個問題;該公司首席安全分析師Andrew Blaich接受EETimes采訪時表示:“首先,我們不能完全相信自己正在使用的裝置。”就算是Bluebox 這樣的安全專家,也很難確認裝置的軟硬體可信賴度。

  “第二,我們現在知道,就算是合法的硬體裝置,軟體也能很輕易地被調包;”Blaich指出:“換句話說,無論裝置是否為仿冒品,事實是消費者所購買的裝置里面的ROM (無論是合法或仿冒硬體),就會讓他們的個資面臨風險。”

  小米對于自家以Android為基礎的作業系統MIUI非常自豪,該公司將之視為產品廣受歡迎的原因之一;不過Bluebox一開始就認為MIUI是“Android的分支(未取得官方認證),而且不包含Google的服務”。

  但后來Blaich坦承其錯誤,并表示在諮詢過小米的安全團隊之后,Bluebox了解到,小米是“走出了自己的路”來“遵循所有的Android最佳實踐”。

  小米在針對Bluebox原始報告的回應中表示:“MIUI是純粹的Android,這意味著MIUI確實遵循了Android CDD,也就是Google對相容Android裝置的定義;而且它通過了所有Android CTS測試,該程序是產業界所使用、確保既定裝置是完全能與Android相容。在中國市場與國際市場銷售的小米裝置都是完全能與Android相容 的。”

  如何確認裝置的可信賴度?

  如Bluebox所言,要如同資安業者那樣進行測試來確認小米裝置的可信賴度,所需花費的工夫超過了一般消費者愿意為確保購買的產品是正品所付出的。

  而后來證實,在小米手機上裝載的MIUI ROM已經被修改過,能繞過Google的AntiFake辨別真偽應用程式。Bluebox的實驗室發現:“在SD卡上有一個隱藏的目錄 (directory),名為.apk,在這個隱藏目錄中有一些Android應用程式套件檔案(APK),扮演類似CPU-Z應用程式的角色,以及某個 版本的AntiFake應用程式。”

  Blaich表示,如果使用者嘗試在手機上安裝的某個應用程式與那些套件檔案相對應,SD記憶卡上的該應用程式就會取代使用者打算下載的那個真的應用程式,這是手機的ROM用以繞過認證程序的一種方法。

  不通過Google認證的Android裝置有什么風險?

  究竟中國品牌的智慧型手機有多少是采用Android作業系統的“分支”?對此Blaich表示Bluebox也沒有確切的數據,他強調他們所做的調查并沒有獲得Google的報酬,也不是要特別針對中國的智慧型手機執行什么維持治安任務。

  Blaich解釋,中國手機業者的動機完全有可能只是為了建立自己的生態系統,開發一些讓自家手機品牌與云端服務、應用程式商店連結的置入性服務。

  大多數中國智慧型手機業者只在中國市場銷售產品,發現沒有具說服力的理由讓它們一定要遵循Android CDD與CTS,因為Google的服務在中國市場是被禁止的;Bluebox認為,中國廠商開發的行動裝置很少是真的采用通過Google認證的 Android版本。

  如果對中國的消費者來說,Google服務又不能使用,為何還要擔心中國市場上的Android手機缺乏Google認證?

  Bluebox的業務就是盡可能保護行動裝置上的企業資料安全,Blaich 表示:“我們需要密切注意最新的Android裝置;”因為BYOD趨勢在企業界越來越盛行,他強調:“跨國公司的員工可以輕易使用這些手機,最后不小心把公司機密資料泄漏出去。”

  在手機中加入獨家感測器

  “使用不安全的(BYOD)裝置,是把你的個資以及公司的資料置于風險之中。”不過Blaich也同意PNI的Hsu所言,因為置入性服務風 行:“有一些成功的案例讓中國手機業者發現,添加自己的硬體或是修改Android作業系統,以及利用那些感測器資料來建立自己的支援與服務是有好處 的。”

  根據Hsu的觀察,有部分中國手機業者藉由采用硬體解決方案讓手機具備特定功能,而越來越減少對Google的依賴,這種硬體方案就是感測器中樞;他解釋,感測器中樞被視為一個“客制化區塊”,能讓中國智慧型手機業者打造具差異化的應用程式與服務,培養自己的客戶群。

  Hsu預期,接下來幾年智慧型手機市場的一大趨勢,將會是“具備環境感知功能的不關機手機”,而為了打造更具創意的應用,廠商將在感測器中樞領域發現一片“綠草地”。


本站內容除特別聲明的原創文章之外,轉載內容只為傳遞更多信息,并不代表本網站贊同其觀點。轉載的所有的文章、圖片、音/視頻文件等資料的版權歸版權所有權人所有。本站采用的非本站原創文章及圖片等內容無法一一聯系確認版權者。如涉及作品內容、版權和其它問題,請及時通過電子郵件或電話通知我們,以便迅速采取適當措施,避免給雙方造成不必要的經濟損失。聯系電話:010-82306118;郵箱:aet@chinaaet.com。
主站蜘蛛池模板: 天天做天天爱夜夜大爽完整 | 欧美疯狂xxxx乱大交视频 | 在线视频黄 | 欧美香蕉视频 | 欧美成人综合视频 | 亚洲欧美日韩中文字幕在线 | 成人免费观看国产高清 | 国产一级又色又爽又黄大片 | 人成18亚洲资源在线 | 久久精品国产清白在天天线 | 亚洲成成熟老妇女 | 亚洲高清中文字幕一区二区三区 | 一级做a爱片性色毛片武则天五则 | 人人干夜夜操 | 人人干人人舔 | 在线免费观看视频你懂的 | 亚洲美女福利 | 欧美中文字幕一区 | 成人免费视频观看无遮挡 | 欧美97久久人人模人人爽人人喊 | 美女黄18| 黄网在线 | 免费视频精品一区二区三区 | 快播制服丝袜 | 韩国理伦片a级在线观看 | 最新国产成人综合在线观看 | 中文日韩亚洲欧美制服 | 亚洲一区二区三区国产精品 | 黄色网在线播放 | 日本888 xxxx| 91av福利视频| 日韩在线二区 | 三级不卡 | 国产一区二卡三区四区 | 成人午夜免费视频免费看 | 国产自产21区 | a级在线看 | 久久精品国产精品青草不卡 | 很很在线视频观看 | 性刺激的欧美三级视频 | 97青草|