安全不了的 Android，想不明白的 Google

摘要：在 Android 的安全問(wèn)題上，Go學國ogle 可(kě)長點心吧！

二十六個(gè)字母都數到 P 了，然而 Android爸林 生态的安全問(wèn)題依然令人堪憂。而最近，安全問(wèn)題體了更是集中(zhōng)爆發。

在今年的 Google I/O 大會上，Androi中理d 平台安全負責人 David Kleidermach快多er 在推銷 Project Trebl人玩e 時透露，Google 将把安全補丁更新納入 OEM 協議當中煙計(zhōng)，以此讓更多的設備、更多的用戶獲得定期的安全補丁。

這是一個(gè)積極的行為，但細究下(xià)其實并不值得表揚拿又，因為之所以提出這一方案，全因之前被人揭了短(duǎn)。就在飛老今年四月(yuè)，Security 安全研究實驗室在測試了答有 1200 台不同品牌、不同渠道的手機後表示，安全補丁的安裝狀況并不盡人意，鐘為有些廠商(shāng)甚至至少(shǎo媽科)漏掉了 4 個(gè)月(yuè)的安全南冷補丁。

而就在這份報告發布前一個(gè)月(yuè)，Kl房厭eidermacher 在接受 CNET 的采訪中(zhōng)剛說完數懂“Android現在和(hé)競争對手一樣安全”。

友軍

用過 Google Pixel 的人都會注意到，Google 每公村個(gè)在月(yuè)都有一次安全推送的，而且不管你(nǐ)是知腦否想要更新，但其實這個(gè)安全補丁 Google 并不僅僅推送給自家爸但手機。

對于安全問(wèn)題，Google 現在會在每個(gè)月(yuè)的第一個得話(gè)周一發布一份安全補丁公告，公告中件線(zhōng)會列出已知漏洞的補丁。而同樣是媽銀這份補丁，各大廠商(shāng)一般會提前一個(gè)月(yu鐵山è)收到，目的是讓 OEM 和(hé)供應商(shā工長ng)，比如(rú)芯片廠，能夠在公告之前好修補漏洞。

這個(gè)設想是好的，并且如(rú)果友軍認真執行的話友人效果也不錯，比如(rú) Essential 手機，雖然銷量不好，但購紅是它可(kě)以與 Google Pixel 同一天推送安全更新。

然而前面提到了，其他廠商(shāng)并不都這麼幹的城一，具體各家差多少(shǎo)直接看圖吧：

Security 還指出，這一結果的背後芯片供應商(報公shāng)有很大責任，因為采用聯發科芯片的手林花機在獲得安全更新方面更顯糟糕：

這裡更新和(hé)芯片供應商(shāng)的關(guān)系會麗不是絕對的，比如(rú) PingWest 品玩煙城（微信号：wepingwest）這就有一台高通(tōng)骁龍 哥黑835 的手機，目前 Android 安全更新還停兵線留在 2017 年 12 月(yuè) 1 日。

在這一現象被揭露之後，Google 迅速就做林雪出了回應，承認了這項研究的重要性，并表示将湖冷會進行核實。而最終的結果，就是這次 Googl影我e I/O 上宣布的事情了。并且 Google 這兩年一直在推行的 Proj時雨ect Treble 正好能夠用上，利用這一機制，廠商(sh鐘費āng)制作安全補丁更容易，成本更低。

一邊用政策來約束廠商(shāng)，另一邊又拉低用戶身河抵觸心理，可(kě)以說是個(gè)非常棒的套路(lù)。但估計 用玩Kleidermacher 怎麼也想不到，在扶友軍的同睡鄉時，自家陣腳亂了。

自家

據老牌安全軟件賽門鐵克研究發現，有一些曾經報爸被發現過的惡意應用重登 Google Play 了，而且使用的方法非生很常簡單：改名。

這次發現的惡意應用程序有 7 個(gè)好飛，它們早在去年就被彙報給 Google 并下(xià)架過了，但現在呢筆，它們通(tōng)過更改包名稱重新以表情符号鍵盤、空間清理遠玩、計算器(qì)等類型登錄 Google Play。

這裡簡單介紹下(xià)這些惡意應用的表現，大家銀劇注意下(xià)：

安裝後會進入幾小時靜默期，以此避免被注意頂着 Google Play 圖習上标來索要管理員權限把自己的圖标改成 Google Play、Google 物慢地圖這些常見應用通(tōng)過提供内容來獲利，比如弟謝(rú)重定向網站(zhàn)，并且這個(gè)形式是雲端可(kě)控的都關。

相對來說，這一次惡意軟件的行為其實并不重要一文，更危險的是這次登錄 Google Play 的暗生形式，Google Play 安全流程中(zhōng)的問(wèn)題。

首先，Google Play 的審核機制可(kě)以說是漏洞百出。在應用上架 長好Google Play 前的過程中(zhōng)，安全測試成了擺刀光設，自動(dòng)檢測算法根本沒起作用，人子做工審核就像個(gè)宣傳稱号。據賽門鐵克表示，這些應用根本不能銀月提供正常功能，所以人工審核了什麼？

其次，在上架及用戶安裝後 Google 宣傳的防護也沒起作用。問海基于機器(qì)學習技術(shù)識别流氓軟件的 Google 房業Play Protect，據稱每天會掃描數十億樹信應用，一樣被繞過了。

最讓人無法接受的是，這些體系還是被繞過兩次，而第二次僅僅是通(tōng)過改名電化就饒過了。這難免不讓人聯想到 Google Play 的安全流程中(zhō你廠ng)是不是沒有“總結經驗”這一行為，所裡鄉謂的機器(qì)學習是不是學和(hé)做分開了。

而相對系統漏洞來說，惡意應用要讓用戶更加不适一些。畢竟大多數人的設備被窗關蓄意利用漏洞攻擊的可(kě)能性近乎為 0，但是裝錯個(g國白è)應用就直接中(zhōng)招了。

應用

提到安全問(wèn)題，很多人自然而然地就會聯想到流電老氓應用，然後就會想到“全家桶”，進而就會想到 Google 這幾年更光朋新了幾個(gè)管理措施，更進一步還會想到為什麼還壓制不住這多少些應用的泛濫。

其實，這事還得怨 Google，因為 Google 一懂信直沒想明白問(wèn)題的重點。

以 Android 8.0 為例，Google 雖然推出了一個(gè)後明公台控制特性，但是這個(gè)特性如(rú)果想完全正常使用有一個(gè些刀)前提條件，應用程序的封包 SDK 要達到 API 26（一個(g章爸è)不面向用戶的開發設定，和(hé) A錯數ndroid 版本同步更新，目前正式版最高 API 27，A就腦ndroid P 是 API 28）。直白點說，就讀短是應用是針對 Android 8.0 開發的。如(rú)果應用沒這哥自麼做，那麼結果就是新特性最多隻能發揮一小部分作用，但筆問并不會影響 App 的正常使用和(hé)濫用微司。

所以，控制權在應用開發者手裡。如(rú)果他們認為 Andro市些id 新機制非常棒，應該遵守，那就上新的 API。而如離微(rú)果産品部、推送服務商(shāng)覺微黃得組成全家桶賣相好，那麼就保持原樣。

PingWest 品玩（微信号：wepingwest）測試了幾個(gè理河) Google Play 中(zhōng)的應用低離後發現，其中(zhōng)最低的居然可(kě)以低到 API 18，甚至錢刀 Google 自家的某些應用也還停留在 API 24。而在 Google 視有Play 之外，騰訊新推出的 TIM，現在還在用 Android 4.0綠謝.3 時期的 API 15 玩得不亦樂(yuè)乎。

可(kě)見，在這種近乎君子(zǐ)協議的前提下(xià)，拿慢想指望廠商(shāng)跟上腳步、自我約束，這在短(duǎn姐從)期内無異于癡人說夢。

至于這種情況什麼時候能更進一步的改善，還拿就要看 Google 什麼時候能想明白強權的重要性。