搜索

[15829] 2020-09-09_1780个流行Android应用程序全都违反加密规则

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2020-09-09_1780个流行Android应用程序全都违反加密规则 1 7 8 0 个 流 行 A n d r o i d 应 用 程 序 全 都 违 反 加 密 规 则 k i r a z h o u   F r e e B u f   2 0 2 0 - 0 9 - 0 9 应 用 程 序 都 安 全 吗 ？ 哥 伦 比 亚 大 学 的 研 究 人 员 发 布 了 一 开 源 代 码 动 态 分 析 工 具 C r y l o g g e r ， 可 以 用 来 检 测 哪 些 A n d r o i d 应 用 程 序 存 在 加 密 漏 洞 。 测 试 了 G o o g l e   P l a y 商 店 中 1 7 8 0 个 流 行 的 A n d r o i d 应 用 程 序 后 ， 结 果 令 人 震 惊 ： 所 有 应 用 都 违 反 2 6 条 加 密 规 则 中 的 至 少 一 项 1 7 7 5 个 应 用 使 用 了 不 安 全 的 伪 随 机 数 生 成 器 （ P R N G ） 1 7 6 4 个 应 用 使 用 了 损 坏 的 哈 希 函 数 （ S H A 1 ， M D 2 ， M D 5 等 ） 1 0 7 6 个 应 用 程 序 使 用 C B C 操 作 模 式 （ 在 客 户 端 - 服 务 器 方 案 中 容 易 受 到 填 充 o r a c l e 攻 击 的 影 响 ） 8 2 0 个 应 用 程 序 使 用 静 态 对 称 加 密 密 钥 （ 硬 编 码 ） 关 于 关 于 C r y l o g g e r 每 个 测 试 过 的 应 用 程 序 都 有 一 个 运 行 在 C r y l o g g e r 中 的 加 密 库 ， 它 会 记 录 在 执 行 过 程 中 传 递 给 加 密 a p i 的 参 数 ， 然 后 使 用 加 密 规 则 列 表 离 线 检 查 它 们 的 合 法 性 和 安 全 性 。
加 密 是 安 全 系 统 的 基 础 组 成 部 分 ， 例 如 加 密 哈 希 函 数 和 加 密 算 法 可 以 保 证 网 络 的 完 整 性 和 机 密 性 等 属 性 。 而 以 上 这 些 应 用 程 序 并 没 有 遵 守 常 见 的 加 密 安 全 准 则 。 为 了 确 认 C r y l o g g e r 标 记 的 加 密 漏 洞 是 否 可 以 被 利 用 ， 研 究 人 员 对 测 试 的 2 8 个 应 用 程 序 进 行 了 人 工 逆 向 工 程 ， 发 现 其 中 1 4 个 容 易 受 到 攻 击 （ 部 分 需 要 提 升 权 限 才 能 有 效 利 用 ） 。 危 害 显 而 易 见 。 但 当 研 究 人 员 给 3 0 6 个 违 反 9 条 以 上 密 码 规 则 的 安 卓 应 用 程 序 的 开 发 者 发 了 通 知 邮 件 时 ， 却 只 有 1 8 名 开 发 者 回 复 ， 仅 8 名 开 发 者 在 第 一 封 邮 件 后 继 续 交 流 ， 并 提 供 了 有 用 的 反 馈 。 目 前 ， 研 究 人 员 选 择 不 透 露 易 受 攻 击 的 应 用 程 序 的 名 称 ， 避 免 给 攻 击 者 可 乘 之 机 ， 但 他 们 分 享 的 信 息 足 以 表 明 这 些 问 题 影 响 到 所 有 类 型 的 应 用 程 序 ： 从 媒 体 流 和 报 纸 应 用 程 序 到 文 件 和 密 码 管 理 器 、 身 份 验 证 应 用 程 序 、 消 息 传 递 应 用 程 序 等 等 。 参 考 来 源 参 考 来 源 h e l p n e t s e c u r i t y 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理