搜索

[11474] 2017-06-19_重磅FreeBuf发布2017年度移动App安全漏洞与数据泄露现状报告

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-06-19_重磅FreeBuf发布2017年度移动App安全漏洞与数据泄露现状报告 重 磅   |   F r e e B u f 发 布 2 0 1 7 年 度 移 动 A p p 安 全 漏 洞 与 数 据 泄 露 现 状 报 告 F r e e B u f 研 究 院   F r e e B u f   2 0 1 7 - 0 6 - 1 9 近 1 0 年 来 ， 移 动 设 备 在 消 费 领 域 乃 至 此 后 企 业 领 域 的 扩 展 ， 从 速 度 和 数 量 来 看 都 是 相 当 惊 人 的 。 早 在 2 0 1 4 年 ， A N D R E E S S E N   H O R O W I T Z 分 析 师 B e n e d i c t   E v a n s 就 说 ： “ 移 动 正 在 啃 噬 这 个 世 界 （ 移 动 正 在 啃 噬 这 个 世 界 （ M o b i l e   i s   E a t i n g   t h e   W o r l d ） 。 ） 。 ” 这 从 来 就 不 是 夸 张 ， 全 球 范 围 内 移 动 设 备 的 数 量 早 就 在 多 年 前 超 越 了 世 界 人 口 总 和 。 从 2 0 0 7 年 苹 果 推 出 初 代 i P h o n e 革 新 智 能 手 机 至 今 短 短 1 0 年 ， 移 动 行 业 的 市 场 规 模 都 在 急 速 增 长 。 S t a t i s t a 的 数 据 显 示 ， 2 0 1 6 年 全 球 范 围 内 智 能 手 机 的 出 货 量 约 在 1 5 亿 台 左 右 ， 预 计 到 2 0 2 0 年 这 个 数 字 会 增 加 到 1 7 . 1 亿 ； 到 2 0 1 8 年 ， 全 球 手 机 用 户 总 数 将 达 到 2 5 . 3 亿 人 次 — — 其 中 1 / 4 都 来 自 中 国 。 仅 2 0 1 6 年 中 国 智 能 手 机 市 场 规 模 都 已 经 超 过 1 3 3 5 亿 美 元 。 与 许 多 技 术 由 上 至 下 ， 从 企 业 到 消 费 市 场 的 发 展 方 式 不 同 ， 移 动 技 术 始 于 消 费 用 户 领 域 。 这 就 一 定 程 度 意 味 着 移 动 设 备 和 软 件 前 期 对 于 安 全 的 不 重 视 ， 安 全 在 移 动 领 域 的 起 步 相 较 桌 面 和 其 他 传 统 领 域 也 明 显 更 晚 。
F r e e B u f 研 究 院 在 中 国 泰 尔 实 验 室 的 指 导 下 ， 辅 以 漏 洞 盒 子 、 启 明 星 辰 和 中 国 信 息 通 信 研 究 院 安 全 研 究 所 的 数 据 与 内 研 究 院 在 中 国 泰 尔 实 验 室 的 指 导 下 ， 辅 以 漏 洞 盒 子 、 启 明 星 辰 和 中 国 信 息 通 信 研 究 院 安 全 研 究 所 的 数 据 与 内 容 支 持 ， 从 第 三 方 移 动 容 支 持 ， 从 第 三 方 移 动 A p p 安 全 及 信 息 泄 露 的 角 度 共 同 撰 写 了 这 份 《 安 全 及 信 息 泄 露 的 角 度 共 同 撰 写 了 这 份 《 2 0 1 7 年 度 移 动 年 度 移 动 A p p 安 全 漏 洞 与 数 据 泄 露 现 状 报 安 全 漏 洞 与 数 据 泄 露 现 状 报 告 》 。 告 》 。 在 数 据 研 究 和 分 析 过 程 中 ， 我 们 选 择 了 金 融 、 购 物 、 医 疗 、 社 交 、 游 戏 、 娱 乐 、 交 通 与 出 行 、 生 活 服 务 等 八 个 分 类 的 8 9 2 款 A n d r o i d 平 台 的 流 行 A p p 作 为 样 本 ， 借 由 启 明 星 辰 的 应 用 自 动 化 安 全 测 试 平 台 ， 来 发 现 移 动 A p p 存 在 安 全 风 险 与 漏 洞 。 与 此 同 时 ， 我 们 以 企 业 组 织 的 移 动 A p p 开 发 者 、 项 目 管 理 人 员 和 安 全 专 家 为 对 象 ， 下 发 近 2 0 0 份 问 卷 ， 尝 试 解 读 造 成 移 动 A p p 安 全 漏 洞 和 问 题 的 根 源 — — 企 业 对 象 涵 盖 大 中 小 不 同 规 模 ； 另 外 也 针 对 移 动 A p p 普 通 用 户 下 发 近 3 0 0 份 问 卷 ， 了 解 应 用 安 全 在 普 通 用 户 中 的 需 求 和 位 置 。 这 份 报 告 旨 在 从 移 动 A p p 安 全 漏 洞 和 数 据 泄 露 的 角 度 来 窥 见 移 动 A p p 的 安 全 现 状 ， 以 及 移 动 领 域 的 开 发 者 和 安 全 专 家 在 A p p 安
全 开 发 方 面 的 不 足 ， 并 期 望 以 此 帮 助 开 发 者 和 安 全 专 家 ， 以 及 项 目 管 理 人 员 在 进 行 相 关 A p p 安 全 决 策 时 给 出 参 考 和 指 引 。 值 得 一 提 的 是 ， 虽 然 这 份 报 告 并 不 专 注 于 企 业 级 A p p 的 安 全 问 题 可 能 对 企 业 安 全 造 成 的 危 害 ， 而 更 多 将 注 意 力 集 中 在 消 费 类 移 动 A p p 的 漏 洞 、 数 据 泄 露 、 仿 冒 等 安 全 风 险 的 层 面 ， 但 B Y O D 工 作 方 式 也 能 够 让 这 类 移 动 A p p 对 企 业 安 全 造 成 影 响 ； 且 报 告 对 于 企 业 级 A p p 开 发 亦 有 一 定 的 参 考 价 值 。 在 《 中 华 人 民 共 和 国 网 络 安 全 法 》 于 6 月 1 日 起 开 始 施 行 的 当 下 ， 相 关 移 动 A p p 开 发 与 安 全 的 企 业 组 织 有 义 务 “ 防 止 网 络 数 据 泄 露 或 被 窃 取 、 篡 改 ” 。 无 论 从 安 全 问 题 造 成 的 用 户 和 企 业 直 接 损 失 ， 挽 救 企 业 信 誉 的 角 度 ， 还 是 按 照 相 应 规 范 进 行 A p p 开 发 、 遵 守 《 网 络 安 全 法 》 的 角 度 来 看 ， 移 动 A p p 漏 洞 、 数 据 泄 露 和 其 他 安 全 问 题 都 应 该 成 为 企 业 组 织 、 开 发 者 和 安 全 专 家 重 视 的 问 题 。 报 告 报 告 K e y   F i n d i n g s •   过 往 1 0 年 移 动 A p p 在 数 量 和 规 模 上 的 爆 发 ， 为 攻 防 双 方 开 辟 了 新 战 场 ； •   移 动 A p p 更 出 色 的 安 全 性 可 以 成 为 吸 引 和 留 住 用 户 的 差 异 化 竞 争 要 素 ； •   用 户 对 于 移 动 A p p 安 全 普 遍 更 为 乐 观 ， 而 开 发 者 则 恰 好 相 反 ； •   6 5 % 接 受 测 试 的 移 动 A p p 至 少 存 在 1 个 高 危 漏 洞 ， 平 均 每 个 A p p 就 有 7 . 3 2 个 漏 洞 ； •   娱 乐 类 移 动 A p p 成 安 全 漏 洞 重 灾 区 ， 每 1 0 个 娱 乐 类 移 动 A p p 就 有 9 个 至 少 包 含 一 个 高 危 漏 洞 ； •   社 交 类 A p p 被 仿 冒 的 几 率 相 较 其 它 类 别 平 均 高 出 1 0 倍 以 上 ， 仅 社 交 类 A p p 被 仿 冒 占 比 达 到 测 试 中 所 有 仿 冒 移 动 A p p 的 近 六 成 ； •   多 达 8 8 % 的 金 融 类 A p p 都 存 在 内 存 敏 感 数 据 泄 露 问 题 ； •   移 动 A p p 安 全 问 题 的 主 要 原 因 在 于 开 发 和 安 全 的 分 化 ： 6 9 % 的 开 发 者 认 为 安 全 是 其 他 人 的 工 作 ； •   在 开 发 者 看 来 ， 强 制 合 规 仍 是 移 动 A p p 安 全 的 最 大 驱 动 力 ， 这 或 为 造 成 当 前 移 动 A p p 安 全 问 题 的 一 大 原 因 。



2 0 0 7 年 A n d r o i d 系 统 出 现 至 今 ， 移 动 A p p 安 全 走 过 了 几 个 时 代 。 2 0 1 2 - 2 0 1 4 年 间 ， 安 全 加 固 服 务 开 始 崭 露 头 角 。 不 过 彼 时 的 安 全 加 固 只 解 决 了 客 户 端 和 代 码 安 全 问 题 ， 对 隐 私 、 业 务 、 通 信 安 全 而 言 并 没 有 很 大 的 帮 助 ； 到 2 0 1 5 年 开 始 有 了 移 动 A p p 安 全 检 测 服 务 ， 这 个 阶 段 的 安 全 加 固 引 入 了 自 动 化 审 计 ， 对 通 信 安 全 有 了 一 定 的 帮 助 ， 但 隐 私 安 全 和 业 务 安 全 也 依 旧 是 问 题 。 就 安 全 部 分 ， 移 动 A p p 安 全 加 固 现 如 今 的 发 展 阶 段 引 入 了 “ 安 全 生 态 链 ” ， 所 以 顺 势 出 现 了 融 入 到 整 个 A p p 开 发 上 线 周 期 链 中 的 全 套 安 全 服 务 。 这 个 生 态 链 包 含 了 安 全 S D K 组 件 、 安 全 编 译 器 、 安 全 检 测 与 风 险 评 估 、 安 全 加 固 、 渠 道 检 测 和 智 能 云 更 新 。 该 生 态 链 对 行 业 而 言 是 有 价 值 的 。 如 报 告 中 提 到 的 内 存 敏 感 数 据 即 贯 穿 移 动 应 用 产 品 的 整 个 生 命 周 期 ， 仅 仅 采 取 单 一 的 A p p 加 固 解 决 方 案 并 不 能 完 全 杜 绝 敏 感 信 息 泄 露 问 题 。 这 个 “ 生 态 链 ” 的 本 质 在 于 将 安 全 融 入 到 开 发 周 期 中 ， 试 图 解 决 开 发 和 安 全 分 割 的 现 状 。 不 过 ， 这 仍 是 需 要 开 发 团 队 或 项 目 管 理 人
员 ， 以 及 配 套 的 安 全 专 家 真 正 建 立 起 足 够 的 安 全 意 识 并 跨 出 一 步 ， 做 出 配 合 方 能 见 效 的 。   本 次 报 告 从 移 动 A p p 安 全 漏 洞 、 A p p 仿 冒 、 数 据 泄 露 等 安 全 问 题 入 手 ， 以 统 计 和 测 试 数 据 为 依 托 ， 对 这 些 安 全 问 题 的 现 状 进 行 解 读 和 分 析 ， 期 望 从 A n d r o i d 平 台 移 动 消 费 类 A p p 客 户 端 安 全 问 题 的 角 度 ， 对 移 动 安 全 进 行 管 中 窥 豹 ， 并 让 所 有 读 者 了 解 移 动 A p p 安 全 问 题 的 紧 迫 性 。 出 品 出 品 F r e e B u f 研 究 院 指 导 单 位 指 导 单 位 中 国 泰 尔 实 验 室 内 容 及 数 据 支 持 内 容 及 数 据 支 持 漏 洞 盒 子 启 明 星 辰 中 国 泰 尔 实 验 室 中 国 信 息 通 信 研 究 院 安 全 研 究 所 关 于 关 于 F r e e B u f 研 究 院 研 究 院 F r e e B u f . C O M 是 斗 象 科 技 旗 下 、 国 内 领 先 的 互 联 网 安 全 新 媒 体 ， 每 日 发 布 最 专 业 的 安 全 资 讯 、 技 术 剖 析 ， 分 享 国 内 外 最 新 安 全 资 源 ， 是 最 受 安 全 从 业 者 与 爱 好 者 关 注 的 网 络 安 全 网 站 与 社 区 。 F r e e B u f 研 究 院 则 集 结 了 行 业 内 经 验 丰 富 的 安 全 专 家 和 分 析 师 ， 常 年 对 信 息 安 全 技 术 、 行 业 动 态 保 持 追 踪 ， 呈 现 最 专 业 的 安 全 行 业 现 状 和 趋 势 分 析 。 关 于 启 明 星 辰 关 于 启 明 星 辰 启 明 星 辰 信 息 技 术 有 限 公 司 成 立 于 1 9 9 6 年 ， 由 留 美 博 士 严 望 佳 女 士 创 建 ， 是 一 家 拥 有 自 主 知 识 产 权 的 网 络 安 全 高 科 技 企 业 。 作 为 与 国 际 接 轨 、 勇 于 创 新 的 先 行 者 ， 启 明 星 辰 公 司 致 力 于 提 供 具 有 国 际 竞 争 力 的 自 主 创 新 的 安 全 产 品 和 最 佳 实 践 服 务 ， 帮 助 客 户 全 面 提 升 其 I T 基 础 设 施 的 安 全 性 和 生 产 效 能 。 < 点 击 阅 读 原 文 下 载 完 整 版 报 告 > *   F r e e B u f 研 究 院 荣 誉 出 品 ， 未 经 许 可 禁 止 转 载 研 究 院 荣 誉 出 品 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理