十億支智慧型手機？根據Google在上屆Google I/O期間公佈的數字，這是去年5月啟動的Android智慧型手機數量為9億。據專門從事電腦安全的美國新創公司 Bluebox 稱，99% 的 Android 手機都受到自 1.6 版（Donut）以來所有版本的 Google 作業系統中都存在的嚴重安全漏洞的影響。
“影響巨大”
Android 主金鑰中存在安全漏洞，允許惡意者修改 Android 應用程式套件（著名的 APK）的程式碼，而無需更改應用程式的加密簽章。換句話說，這使得任何應用程式都可以轉化為特洛伊木馬或其他惡意軟體。如果沒有應用程式商店、手機或用戶能夠注意到它。「影響是巨大的！ »Bluebox 的技術總監 Jeff Forristal 在其公司部落格上寫道。
特別是當我們將由分配了特權的智慧型手機製造商或第三方發行商開發的應用程式所代表的潛在風險倍增應用於每個個人或商業情況時，這些影響會倍增。
災難場景
因此，我們可以想像一個惡意應用程序，儘管被認為是有效且不危險的，但它會訪問智慧型手機上包含的所有數據，無論生成和存儲這些數據的是哪個應用程式：短信、電子郵件、聯繫人、文件、密碼等。例如，殭屍智慧型手機就像殭屍電腦一樣，其相機可以隨時啟動，可以在用戶不知情的情況下記錄通話，甚至可以單獨撥打高價號碼。傑夫·福里斯塔爾甚至描述了一個殭屍實體，它會組成一個不斷移動的殭屍網絡，因此難以檢測。
Google Play 可能倖免
所有技術細節尚未向公眾或安全專家透露。去年二月，只有Google收到有關此缺陷存在的警告。
其他安全專家認為這項發現是合理的，儘管他們表示其影響可能沒有傑夫·福里斯塔爾所描繪的那麼令人擔憂。 F-Secure 的 Sean Sullivan 就是這種情況，他認為 Google Play 作為主要的應用程式下載亭，可以而且也許已經可以控制這個問題。“與 Google Play 的交互將使 Google 能夠識別經過更改的應用程式”，他向我們的英國同事解釋道詢問者報。
Google Play 確實配備了許多工具，包括其保鑣，用於掃描應用程式是否存在惡意軟體。另一方面，情況並非如此其他線上應用程式商店，這是許多污染的原因。
謹慎行事，但不要懷疑
在這種情況下，在等待了解有關此缺陷的更多資訊時，傑夫·福里斯塔爾呼籲謹慎行事，並建議公司密切監控個人設備在專業環境中的使用。 BYOD 確實是公司安全問題的主要來源之一，無論是 VSE/SME 還是大型帳戶。
要了解更多信息，您必須等待 Jeff Forristal 的會議，題為Android：一個root即可擁有所有這些，將於 7 月 27 日至 1 日舉行的下一次黑帽會議期間舉行是明年八月，在拉斯維加斯。如果這個缺陷的潛在危害看起來非常真實，那麼目前還沒有證據表明它已被使用。無需更多懷疑地審視您的 Android 智慧型手機。
另請閱讀：
Marc Rogers (Lookout)：“Android 和 iOS 的安全性相當”– 31/05/2013
Orange 與 Lookout 合作保護 Android 手機– 2012 年 4 月 12 日
資料來源：
Bluebox 部落格
詢問者報
