一些Android供應(yīng)商發(fā)現(xiàn)故意使用假冒的安全補(bǔ)丁欺騙客戶

及時(shí)的安全補(bǔ)丁程序和無(wú)縫的iOS軟件更新是許多Android客戶切換到iPhone的主要原因之一。但是，一項(xiàng)新的調(diào)查發(fā)現(xiàn)了一些潛在的干擾。

《連線》今天引述德國(guó)安全公司Security Research Lab的發(fā)現(xiàn)，發(fā)現(xiàn)許多Android供應(yīng)商通過(guò)更改設(shè)備上的安全更新日期而未實(shí)際安裝任何補(bǔ)丁來(lái)向客戶撒謊重要的操作系統(tǒng)安全補(bǔ)丁。

眾所周知，谷歌長(zhǎng)期以來(lái)一直在努力爭(zhēng)取OEM和運(yùn)營(yíng)商定期發(fā)布Android的安全補(bǔ)丁。

在花費(fèi)了兩年的時(shí)間分析Android更新之后，該公司發(fā)現(xiàn)許多Android OEM無(wú)法為用戶提供補(bǔ)丁程序，或者將其發(fā)布推遲了幾個(gè)月。

在某些情況下，供應(yīng)商會(huì)告訴用戶他們的手機(jī)固件是最新的，即使他們偷偷跳過(guò)了補(bǔ)丁程序。研究人員Karsten Nohl說(shuō)：“我們找到了幾家未安裝單個(gè)補(bǔ)丁程序但將補(bǔ)丁程序日期更改了幾個(gè)月的供應(yīng)商。”

“這是故意欺騙，而且不是很常見。”

通過(guò)安全研究實(shí)驗(yàn)室和Wired的Android安全補(bǔ)丁

聯(lián)發(fā)科和高通可以將某些缺失的補(bǔ)丁歸咎于帶有芯片的手機(jī)，前者平均缺少9.7個(gè)補(bǔ)丁，而后者平均缺少1.1個(gè)補(bǔ)丁。如果在這些芯片中發(fā)現(xiàn)了錯(cuò)誤，而不是在Android本身中發(fā)現(xiàn)了錯(cuò)誤，那么手機(jī)制造商將依靠芯片制造商來(lái)提供補(bǔ)丁。

Nohl補(bǔ)充說(shuō)：“教訓(xùn)是，如果您購(gòu)買更便宜的設(shè)備，則最終會(huì)導(dǎo)致該生態(tài)系統(tǒng)維護(hù)得不太好。”

谷歌回應(yīng)說(shuō)，安全研究實(shí)驗(yàn)室分析的某些智能手機(jī)可能不是經(jīng)過(guò)Android認(rèn)證的設(shè)備，但強(qiáng)調(diào)它正在與研究人員合作以進(jìn)一步調(diào)查他們的發(fā)現(xiàn)。

根據(jù)Android產(chǎn)品安全負(fù)責(zé)人Scott Roberts的說(shuō)法：

安全更新是用于保護(hù)Android設(shè)備和用戶的許多層之一。同樣重要的是內(nèi)置平臺(tái)保護(hù)(例如應(yīng)用程序沙箱)和安全服務(wù)(例如Google Play Protect)。這些安全層-結(jié)合Android生態(tài)系統(tǒng)的巨大多樣性-為研究人員做出了貢獻(xiàn)

Google聲稱，經(jīng)過(guò)Android認(rèn)證的現(xiàn)代設(shè)備具有安全功能，即使它們確實(shí)具有未修補(bǔ)的安全漏洞，也使它們難以被黑客入侵。

根據(jù)這家搜索巨頭的說(shuō)法，在某些情況下，設(shè)備上可能缺少安全補(bǔ)丁，因?yàn)樗麄兊墓?yīng)商可能已從手機(jī)中刪除了一個(gè)易受攻擊的功能，而不是對(duì)其進(jìn)行了補(bǔ)丁，或者手機(jī)最初沒(méi)有該功能。

安全研究實(shí)驗(yàn)室將在阿姆斯特丹的一次活動(dòng)中介紹他們的全部發(fā)現(xiàn)。