澳门新葡萄京官网首页 1

北京时间7月8日消息,科技网站TechCrunch今天刊文称,Android存在迟迟不能发布补丁软件修正安全缺陷的问题,这与其生态链过于庞大,有大量第三方设备、元器件厂商存在有关。第三方设备、元器件厂商也可能引入安全缺陷。不过好在谷歌已经开始加强与第三方厂商的合作,以提高Android安全性。以下为文章全文:

对于 Android
手机来说,开启全盘加密,使用安全服务,禁用存在危险的功能者开发专门定制版
Android 也可以保证设备的安全性。不过 iPhone 实现安全性却更简单,iOS 8
之后的版本默认开启全盘加密,配备 Touch ID 的设备还拥有 Secure
Enclave,这些都保证了设备的安全性。

上周,一名安全研究人员在Android全盘加密功能中发现一处缺陷,利用它可以对设备解密。但高通声称,它曾在2014年11月和2015年2月向谷歌通报相关缺陷,谷歌在今年1月和5月发布了补丁软件,这意味着,在获悉存在缺陷一年多后,谷歌才发布了补丁软件。

Android
6.0上大家最不愿意看到的事情发生了,不得不说真是挺悲剧的。现在有外媒报道称,谷歌已经向所有厂商要求,Android
6.0的全盘加密(Full Disk
Encryption,即FDE)是要强制默认开启的。保护用户的安全,这本是好事,怎么是不愿意看到的呢?

同时,iOS
不允许原生文件系统访问,限制软件的功能的同时,可以安全的为软件提供沙盒机制。

谷歌这次发布补丁软件,正值美国联邦贸易委员会、美国联邦通信委员会宣布对谷歌和其他智能手机厂商发布补丁软件的速度展开调查之际。FCC称,Android中的Stagefright缺陷是促使它展开这次调查的缺陷之一。

澳门新葡萄京官网首页 2

来自:澳门新葡萄京官网首页,MacX.cn

由于美国上下对加密的关注,谷歌一年多后才发布补丁软件似乎是个令人瞩目的问题。要搞清楚用户5月份才获得补丁软件的原因,读者需要对Android设备复杂的供应链和Android确保庞大供应链安全的方法有所了解。

其实Android
5.0的时候,谷歌就已经考虑强制开启全盘加密功能了,不过最后他们只是选择在Nexus
6和Nexus 9这两款设备上开启,而开启之后无疑是悲剧的。

供应链的复杂性

默认开启“全盘加密”功能,将严重拖慢系统的读写性能。之前AnandTech对运行安卓5.0的Nexus
6进行测试后发现,开启了全盘加密随机读取性能下降了62.9%,随机写入性能下降了50.5%,有序读取性能的下降幅度达到了惊人的80.7%。

Android是一款开放源代码平台,因此有大量智能手机厂商生产Android手机。这些Android手机采用来自不同厂商的芯片、相机和其他元器件。

目前Android大多数机型上所配备的eMMC闪存并没有自带的加密标准,而且手机上的处理器也没有专门的模块用来处理数据的加密/解密功能。这些都是直接导致了Android
6.0在开启全盘加密后,机器性能会出现大幅下降。

Android经常被拿来与其最大对手iPhone进行比较,但这种比较是不恰当的。iPhone基本上就只是一款设备,苹果牢牢控制着其生产过程,Android运行在数千款设备上,谷歌对Android设备生产几乎没有任何控制力。

在安全和性能上,Android
6.0已经替你做出了选择,那就是安全,不管你是否愿意。

供应链的多样性是造成Android全盘加密功能缺陷的一个原因。安全研究人员盖尔·本尼亚米尼在Android全盘加密功能实现中发现数个问题,它们使黑客能解密配置高通芯片的安卓设备。利用该缺陷对设备解密是一个复杂过程,但问题的核心在于,配置高通芯片的Android设备在软件而非硬件中存储密钥。

【编辑推荐】

硬件-软件差别成为苹果与FBI大战解密iPhone的关键部分。由于苹果把密钥存储在硬件中,调查人员无法绕过苹果用来保护其设备安全的特性。如果苹果把密钥存储在软件中,调查人员能从设备中获取密码,而不用担心丢失设备上的所有数据。

新被发现的老缺陷

本尼亚米尼本周发表博文阐述了破解Android全盘加密功能的过程。他利用高通安全技术中的数个缺陷,获取了Android设备密码。本尼亚米尼向谷歌Android团队和高通通报了这一问题,并通过谷歌缺陷奖励项目获得一定报酬。

谷歌发言人表示,“我们对本尼亚米尼的发现表示感谢,并通过我们的相关项目向他支付了报酬。我们今年早些时候发布了修正这些缺陷的补丁软件。”谷歌今年早些时候发布了两款补丁软件,修正本尼亚米尼发现的缺陷。

但据高通称,自2014年以来,谷歌就应当知道该缺陷的存在。高通发言人表示,该公司早在2014年8月就发现了本尼亚米尼利用的缺陷,并于2014年11月和2015年2月向谷歌提供了补丁软件。但是,该缺陷却在Android中长期存在,直到被本尼亚米尼发现。

本尼亚米尼向TechCrunch表示,“很显然,虽然谷歌在内部修正了该缺陷,但设备厂商没有修正缺陷。”

这一缺陷迟迟没有得到修正的原因尚不十分清楚。一种可能是,在本尼亚米尼之前,Android团队没有意识到这一缺陷能被黑客所利用;另外一种可能性是,这是由Android安全机制所决定的。

谷歌应加强与设备厂商协调

不同于苹果在安全方面以硬件为中心的策略,Android安全策略契合谷歌在人工智能领域领头羊的地位:谷歌希望利用机器学习提高Android安全性。由于市场上Android设备类型众多,安全缺陷领域肯定会有漏网之鱼——因此Android希望强化对这些缺陷的发现,而非完全消除它们。

但本尼亚米尼指出,在特定条件下,黑客利用他发现的缺陷仍然能兴风作浪。不过这些条件相当苛刻,这意味着普通用户不会受到影响。安全公司Duo
Security估计,由于没有安装更新包,大量Android设备都会因该缺陷面临危险。

由于谷歌没有牢牢控制着Android设备中所有元器件的生产,设备厂商可能无意间给Android设备引入安全缺陷。正如本尼亚米尼指出,这可能导致执法机构绕开谷歌,要求设备厂商破解一款设备,“我认为,谷歌与设备厂商更密切的合作,有助于预防未来出现这类问题。我认为各方做得都很好,但协调存在问题”。

开放性是使Android独具特色和让用户满意的原因。本尼亚米尼称,“当然,如果谷歌制造自己的硬件,安全问题能得到更好的解决,但还会有大量第三方Android设备厂商存在。我的观点是,Android能发展到今天的部分原因是大量第三方设备和厂商。”

谷歌在与第三方设备厂商合作,提高Android安全性。昨天,谷歌发布了Nexus设备更新包,修正了数家第三方设备厂商存在的安全缺陷。研究人员在高通、英伟达和联发科提供的硬件中发现多处权限提升缺陷。但在谷歌发现更迅速地为众多类型设备发布补丁软件的方法前,Android在安全性方面将仍然稍逊一筹。