用一个漏洞利用工具拿下10亿设备这种事,绝不可能发生在安卓世界。
移动支付机构Square安全主管,著名安全研究员迪诺·戴·佐维(Dino Dai Zovi)在亚洲黑帽大会上表示,安卓的多样性及其漏洞满布的生态系统,不仅不是弱点,反而是其强项。因为,正是其多样性,导致黑客罪犯们更难以下手。
迪诺·戴·佐维
由于要在各种各样的手机和平板上安装使用,安卓的变种简直数不胜数。
所有调查的设备中,大约1/3跑的是2013年发布的安卓4.4(KitKat),还有1/3则是2014年发布的安卓5(Lollipop)。
这就有问题了:这些老旧操作系统都有几十个危险漏洞没补上,且大多数制造商都疏于更新或直接拒绝更新他们的安卓系统。
不过,佐维倒是认为,这一分散的异构的生态系统,为数量庞大的未修复设备带来了安全——因为想利用类似Stagefright一类的高危漏洞就得针对每一款设备定制工具和策略。
安卓“碎片”
“App验证之类的安卓安全特性,还有谷歌Play商店的应用检测,都让安卓成为一个更加安全的系统。”
安卓漏洞常被发现是影响甚广的类型。反复出现的StageFright威胁是首个以影响范围高达10亿台设备而著称的漏洞,其攻击手段简单而后果极其严重,以至于谷歌迅速展开了修复工作。
佐维并没有让那些说Stagefright爱好者面临世界末日的人收回前言,但他强烈建议视漏洞为猛虎的人需要考量一下,为那么多种”安卓平台”开发”漏洞利用工具包”的高昂代价,然后再放出漏洞威胁论。
安卓最新版本Lollipop和Marshmallow里已经包含了最佳安卓安全特性,且对载入的应用增加了安全核查,通过产生警告标志来避免用户无意中破坏了自己设备的安全性。这些警告能帮助那些意外使用了盗版App或从非谷歌Play源下载的代码的人。
佐维在大会上引用了乔治亚科技大学2013年发布的一份研究报告,其中指出,安卓设备只有0.0009%宿有恶意软件。
真正被感染的设备数量真的是超级少!