數(shù)據(jù)隱私專題

奇虎360無線安全研究院負責人蔣旭憲：安卓設備的內核安全現(xiàn)狀和分析

上世紀60年代，紐約地鐵上人們更多還是在讀著報紙，依賴于傳統(tǒng)媒體，如今，人們則更多依賴于手機。在手機普及的同時，智能手機的性能越來越強大。2015年，某低端手機的售價僅為399人民幣，卻有1GB內存和1.2GHz處理器。而1976年美國的Cray 1 超級計算機，它的售價當時為880萬美元，卻只有8MB內存和80MHz處理器。毫不夸張地說，現(xiàn)在一臺普通的智能手機就遠遠超過當時的超級計算機。

2015年IDC公布的智能手機幾大主流平臺所占的份額。其中安卓系統(tǒng)超過了80%的市場份額，這主要也是由于谷歌采取了開放策略。

目前，安卓呈現(xiàn)出碎片化的現(xiàn)狀，主要表現(xiàn)在：第一，不同的手機廠商都可以使用安卓系統(tǒng)，并且通過“機?！辈呗蕴岣呤袌稣加新剩壳笆袌錾嫌谐^兩萬款安卓機型；第二，版本的頻繁發(fā)布。從2009年開始發(fā)布1.5版本開始，到2015年9月發(fā)布的6.0版本，短短六年時間，發(fā)布了30多個版本；第三，廠商的定制加劇了安卓系統(tǒng)碎片化，給安全也帶來很多困惑。每個設備平均有19 ～ 20個應用漏洞，約70%的漏洞是由于廠商定制化引入的。

谷歌的安全系統(tǒng)是基于Linux內核，如果Linux內核本身發(fā)現(xiàn)安全漏洞，由于它的代碼存在于每一個安卓手機上，那么它很有可能影響每一臺安卓手機。對于芯片廠家驅動里面存在漏洞，就很可能影響所有采取同一芯片廠家的手機。

人們在使用手機瀏覽器時，甚至用微信點擊相關鏈接訪問任意網(wǎng)站時，就會發(fā)生一些相關代碼，這些代碼可以利用手機安全漏洞，特別是內核級漏洞，獲得手機最終權限，在用戶沒有感知的情況下，利用最高權限把用戶信息放入云端。安全從業(yè)人員需要了解手機定制程度到底的有多少，會引發(fā)多大程度以及什么樣的安全隱患，并采取相應的安全防護措施。

我們通過對3個主流廠商的9款手機進行分析，在手機生命周期之內可以觀察其漏洞的存在情況及一些補丁的發(fā)布情況，評測已知的8個內核漏洞。

研究發(fā)現(xiàn)，在漏洞補丁發(fā)布的時候，有85%還沒有被修復，甚至在補丁發(fā)布三個月之后，還有48%的設備沒有被修復。這也暴露出安卓采取開放策略后，引入的相關安全問題。從漏洞公開時間，到廠家發(fā)布補丁時間，竟然長達8個月。另外，舊機型（兩年前出廠的機型）可能永遠不會有補丁更新。

作為安全從業(yè)人員應該思考的是，如何建立有效機制并且改善整個安卓的生態(tài)環(huán)境。特別是如何更早或者更及時地發(fā)布補丁，在發(fā)現(xiàn)漏洞的情況下，有效負責地推送給各個手機廠商，使他們盡快進行漏洞修補。

如今，不少人在家里都使用智能電視或者安裝了電視盒子，大部分使用了安卓系統(tǒng)。通過對34個智能電視或盒子進行評測時發(fā)現(xiàn)，這些產(chǎn)品無一幸免，都可以進行ROOT。

此外，在2016年3月底，通過對5500萬聯(lián)網(wǎng)手機采樣分析發(fā)現(xiàn)，超過93.3%的手機存在內核級的安全漏洞。這確實是目前國內安卓設備的現(xiàn)狀，也給我們帶來一些問題，那就是安全從業(yè)人員能夠做些什么？是否需要一套標準或者措施來改變這一現(xiàn)狀？

總之，安卓設備普遍存在內核級的安全漏洞，廠商的響應還遠算不上及時，設備自帶的安全防護措施還有待提高。同時，安卓手機安全需要生態(tài)鏈也需要各方的共同維護！

（本文根據(jù)奇虎360無線安全研究院負責人蔣旭憲在2016年4月“網(wǎng)絡安全研究國際學術論壇”上部分演講內容整理）