Android又有新漏洞曝光 黑客可假冒正规应用

万达科技

周二发布的一份研究报告显示，谷歌Android操作系统存在一项安全漏洞，可以让黑客假冒受信任的正规应用，从而劫持用户的智能手机或平板电脑。

安全公司Bluebox Security在报告中表示，根本问题在于Android校验应用身份时采取的方式。

验证身份是网络世界中最根本的问题之一。例如，登录银行账号的人是否是该账号的所有者？某款应用是否真如其所宣称的那样？总部位于旧金山的Bluebox的主要业务是帮助企业保护其移动设备上的数据安全，因此该公司的员工正在研究和了解移动操作系统的架构。

每一款Android应用都有自己的数字签名，也就是ID卡。例如，Adobe公司在Android上有一个指定签名，而该公司开发的所有程序都有一个基于该签名的ID。但Bluebox却发现，当一款应用亮出Adobe ID时，Android不会却向Adobe核实该ID的真实性。

换句话说，网络犯罪分子可以利用假冒的Adobe签名来开发恶意软件，从而感染用户的系统。当然，该问题并不局限于Adobe：黑客还可以创建一个假冒谷歌钱包的恶意应用，然后访问用户的支付账号和财务数据。系统管理软件也会存在同样的问题，使得黑客能够控制整个系统。

Bluebox表示，该问题会影响到2010年1月发布的Android 2.1系统及更高版本，但最近的Android 4.4奇巧系统已经修复了与Adobe有关的漏洞。