搜索

[12581] 2018-04-13_HITB2018安卓厂商隐藏的事实：安全补丁的更新部署并不真实完整

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2018-04-13_HITB2018安卓厂商隐藏的事实：安全补丁的更新部署并不真实完整 H I T B 2 0 1 8   |   安 卓 厂 商 隐 藏 的 事 实 ： 安 全 补 丁 的 更 新 部 署 并 不 真 实 完 整 E l a i n e _ z   F r e e B u f   2 0 1 8 - 0 4 - 1 3 H I T B   A M S   2 0 1 8   安 全 会 议 安 全 会 议   4   月 月   1 2   日 至 日 至   4   月 月   1 3   日 在 荷 兰 阿 姆 斯 特 丹 举 办 。 来 自 德 国 安 全 研 究 实 验 室 的 的 研 究 日 在 荷 兰 阿 姆 斯 特 丹 举 办 。 来 自 德 国 安 全 研 究 实 验 室 的 的 研 究 员 ， 在 议 题 分 享 环 节 会 公 开 一 项 让 人 惊 讶 的 发 现 员 ， 在 议 题 分 享 环 节 会 公 开 一 项 让 人 惊 讶 的 发 现 — — 他 们 逆 向 分 析 了 数 百 款 安 卓 手 机 ， 发 现 许 多 安 卓 手 机 厂 商 他 们 逆 向 分 析 了 数 百 款 安 卓 手 机 ， 发 现 许 多 安 卓 手 机 厂 商 并 不 会 向 用 户 提 供 补 丁 程 序 ， 或 者 会 推 迟 补 丁 的 发 布 时 间 。 部 分 厂 商 深 知 会 在 跳 过 安 全 补 丁 的 事 实 之 下 ， 告 诉 并 不 会 向 用 户 提 供 补 丁 程 序 ， 或 者 会 推 迟 补 丁 的 发 布 时 间 。 部 分 厂 商 深 知 会 在 跳 过 安 全 补 丁 的 事 实 之 下 ， 告 诉 用 户 用 户 “ 现 在 的 固 件 已 经 是 最 新 状 态 现 在 的 固 件 已 经 是 最 新 状 态 ” 。 。   阿 姆 斯 特 丹 举 行 的   H a c k   i n   t h e   B o x   安 全 会 议 上 ， 研 究 人 员   K a r s t e n   N o h l   和   J a k o b   L e l l   详 细 展 示 了 他 们 在 过 去 两 年 中 对 数 千 部   A n d r o i d   手 机 操 作 系 统 代 码 进 行 逆 向 工 程 的 结 果 。 他 们 精 心 检 查 每 个 设 备 在 设 置 中 显 示 的 安 全 补 丁 ， 并 分 析 厂 商 声 称 的 情 况 与 实 际 的 差 距 （ “ 补 丁 差 距 补 丁 差 距 ” ） ： 显 然 ， 存 在 大 补 丁 差 距 的 手 机 很 容 易 受 到 众 多 已 知 黑 客 技 术 的 攻 击 。 我 们 发 现 漏 洞 修 复 版 本 声 明 与 设 备 上 安 装 的 实 际 修 补 程 序 之 间 存 在 差 距 。 在 最 糟 糕 的 情 况 下 ， 我 们 认 为 一 些   A n d r o i d   手 机 制 造 商 有 意 歪 曲 了 设 备 修 补 的 最 新 时 间 。 他 们 只 是 在 没 有 安 装 任 何 补 丁 的 情 况 下 更 改 修 复 日 期 ， 也 许 是 出 于 营 销 的 原 因 。 手 机 厂 商 故 意 的 欺 骗 行 为 手 机 厂 商 故 意 的 欺 骗 行 为 S R L   针 对   2 0 1 7   年 发 布 的   A n d r o i d   补 丁 ， 对 来 自 十 多 家 手 机 制 造 商 的   1 2 0 0   部 手 机 固 件 进 行 了 测 试 。 他 们 在 测 试 发 现 ， 除 了 像   P i x e l   和   P i x e l   2   设 备 之 外 ， 顶 级 厂 商 的 设 备 有 时 也 会 存 在 声 称 “ 补 丁 差 距 补 丁 差 距 ” ， ， 而 较 低 级 别 的 制 造 商 的 记 录 却 非 常 混 乱 。
N o h l   表 示 ， 厂 商 的 “ 补 丁 差 距 ” 的 欺 诈 问 题 比 供 应 商 忽 视 修 补 更 为 严 重 。   厂 商 通 过 修 改 补 丁 日 期 ， 带 给 用 户 的 只 是 虚 拟 的 安 全 感 。 普 通 用 户 几 乎 不 可 能 了 解 自 己 的 设 备 上 究 竟 真 实 安 装 了 哪 些 补 丁 。 为 了 解 决 补 丁 透 明 度 缺 失 的 问 题 ， S R L   L a b s   还 发 布 了 一 款 名 为   A n d r o i d   S n o o p S n i t c h   的 应 用 更 新 版 本 ， 可 以 检 查 手 机 固 件 代 码 获 取 安 全 更 新 的 实 际 情 况 。 四 个 梯 队 ： 厂 商 在 安 全 补 丁 上 的 诚 实 度 四 个 梯 队 ： 厂 商 在 安 全 补 丁 上 的 诚 实 度 在 为 每 个 手 机 厂 商 进 行 测 试 之 后 ， S R L   实 验 室 按 照   2 0 1 7   年 安 全 补 丁 的   厂 商 诚 实 度 厂 商 诚 实 度   将 其 分 为 三 类 。 主 要 的 安 卓 厂 商 品 牌 如 小 米 、 诺 基 亚   处 在 第 二 梯 队 ， 仅 平 均 缺 少   1   至   3   个 补 丁 ； 而 像   H T C   、 华 为 、 摩 托 罗 拉 和   L G   等 主 要 厂 商 缺 失 补 丁 约 为   3   至   4   个 ； 而 名 单 上 表 现 最 差 的 则 是   T C L   和 中 兴 ， 厂 商 声 称 已 经 安 装 了 ， 而 实 际 没 有 的 补 丁 超 过   4   个 。 同 时 ， S R L 也 指 出 这 个 问 题 发 生 的 原 因 也 可 能 在 于 芯 片 供 应 商 方 面 未 能 提 供 补 丁 。 在 三 星 的 手 机 上 ， 自 带 处 理 器 的 手 机 很 少 发 生 补 丁 跳 过 的 情 况 ， 而 使 用 联 发 科 芯 片 的 手 机 则 平 均 缺 少   9 . 7   个 补 丁 。 G o o g l e   对   S R L   的 研 究 表 示 赞 赏 ， 但 指 出 其 分 析 的 部 分 设 备 可 能 并 未 得 到   A n d r o i d   安 全 认 证 、 或 者 没 有 遵 从 该 公 司 的 安 全 标 准 。 但 由 于   G o o g l e   部 署 了 众 多 安 全 措 施 ， 他 们 认 为 某 些 未 打 补 丁 的 设 备 仍 然 难 以 被 破 解 。 他 们 表 示 自 己 会 与   S R L   展 开 深 入 调 查 合 作 。
* 参 考 来 源 ： w i r e d ， 本 文 编 译 整 理 E l a i n e ， 转 载 请 注 明 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理