復旦大學(xué)計算機科學(xué)技術(shù)學(xué)院日前發(fā)布的報告表明，由于各個(gè)應用商城運營(yíng)方缺乏有力的程序安全審查機制與檢測手段，以獲取用戶(hù)隱私信息為目的的程序大量涌現，有可能導致大量用戶(hù)隱私泄露。該研究團隊抽查安卓系統七個(gè)應用商城300余款應用，58%存在泄露用戶(hù)隱私的行為，其中25%的程序還將泄露的信息進(jìn)行了加密發(fā)送，使得在進(jìn)行安全性審查時(shí)，確認其內容和傳送目的地變得非常困難。一些泄露用戶(hù)隱私的應用甚至連“騰訊手機管家”、“360手機衛士”等殺毒軟件都無(wú)法查出。
專(zhuān)家表示，安卓系統版本過(guò)多、應用開(kāi)發(fā)門(mén)檻低、應用市場(chǎng)混亂、刷機市場(chǎng)暗藏風(fēng)險、惡意軟件形成聯(lián)盟，在這些因素的影響下，移動(dòng)安全已面臨巨大威脅。
安全領(lǐng)域頻頻淪陷
作為開(kāi)源、免費策略的成果，安卓系統在近幾年以驚人的速度占領(lǐng)市場(chǎng)，成為智能手機市場(chǎng)老大。然而在安卓系統普及的同時(shí)，一系列的困擾也隨之而來(lái)：通知欄廣告轟炸、惡意軟件、后臺扣費甚至信息泄露層出不窮。安卓系統在安全領(lǐng)域頻頻淪陷，使安卓輝煌的成績(jì)單蒙上了一層陰影。
在天津某事業(yè)單位工作的阿鵬在一年前購買(mǎi)了一部安卓手機，購買(mǎi)之后他從來(lái)沒(méi)有刷過(guò)機，也幾乎沒(méi)有下載過(guò)什么軟件。前些天他突發(fā)奇想下了一堆軟件嘗鮮，結果當場(chǎng)“中招”——第二天他的包月流量就宣布告罄。而在他身邊，安卓用戶(hù)出現各種各樣問(wèn)題的并不鮮見(jiàn)。
艾媒咨詢(xún)發(fā)布的數據顯示，2012第二季度，谷歌公司的安卓系統在我國操作系統中占比達到63.1%，諾基亞塞班系統占比19.9%，蘋(píng)果公司的iOS操作系統占比11.7%。有預測認為，2012年將有1.4億臺移動(dòng)互聯(lián)網(wǎng)終端投放中國市場(chǎng)，其中搭載安卓系統的超過(guò)總數2/3。
網(wǎng)秦手機安全專(zhuān)家鄒仕洪告訴記者，由于安卓系統采取了開(kāi)源+免費的策略，使得手機廠(chǎng)商使用安卓系統門(mén)檻很低，導致安卓系統在中低端手機市場(chǎng)出貨量極大，市場(chǎng)占有率快速提高。同時(shí)在市場(chǎng)競爭中，塞班衰落，WP8尚未發(fā)力，IOS不開(kāi)放，手機廠(chǎng)商沒(méi)有太多選擇，安卓系統得以獨步天下。
南開(kāi)大學(xué)信息安全系主任賈紅福認為，安卓系統的開(kāi)放性是一把雙刃劍，一方面可以為用戶(hù)提供更靈活的界面和操作，提升用戶(hù)體驗，快速占領(lǐng)市場(chǎng)，另一方面也帶來(lái)了惡意軟件失控、信息安全難以保證的問(wèn)題。
在安卓惡意軟件方面，網(wǎng)秦公司提供的數據顯示，僅僅在今年6月，就查殺到安卓平臺手機惡意軟件5582款，數量為當月查殺塞班惡意軟件數的十倍，其中有15款?lèi)阂廛浖腥境^(guò)10萬(wàn)部手機。360公司的數據顯示，已經(jīng)有超過(guò)五萬(wàn)款安卓應用捆綁了通知欄廣告插件。
業(yè)內人士認為，惡意軟件推廣領(lǐng)域已經(jīng)形成聯(lián)盟。由于很多惡意軟件本身就有強制推廣的能力，聯(lián)盟會(huì )接受其他惡意軟件開(kāi)發(fā)者的委托，對新的惡意軟件進(jìn)行流氓推廣。惡意軟件與垃圾短信相互結合，并與非法SP相勾結，可以在后臺完成訂購S(chǎng)P服務(wù)吸費的全過(guò)程，產(chǎn)業(yè)鏈條非常巨大。
信息泄露風(fēng)險最大
專(zhuān)家表示，安卓系統最大的風(fēng)險不在于扣費或者惡意廣告，而是在于信息安全難以保證，這種信息安全隱患是廠(chǎng)商、應用商城、手機應用多個(gè)層面的。
據賈紅福介紹，安卓系統是谷歌公司開(kāi)發(fā)的一種開(kāi)源操作系統，安卓系統內核層面的安全是由谷歌來(lái)維護的。谷歌擁有世界上技術(shù)最強大的工程師團隊，應該說(shuō)在內核層面上安全是有保障的；從手機廠(chǎng)商層面來(lái)講，眾多手機廠(chǎng)商均可基于安卓?jì)群恕岸渭庸ぁ�，更改界面，植入應用，操作系統的外延掌握在各家廠(chǎng)商手里。由于缺乏統一的規范和安全標準，在完全依靠廠(chǎng)商自律的情況下，在技術(shù)層面上講是有一定風(fēng)險的。
賈紅福解釋說(shuō)，由于植入應用一般都在底層，用戶(hù)很難刪除。如果廠(chǎng)商有意竊取用戶(hù)信息，可以說(shuō)完全沒(méi)有技術(shù)障礙。這是一個(gè)黑箱，我們不知道廠(chǎng)商有沒(méi)有竊取我們的信息，也不知道收集了多少信息，只能說(shuō)不排除這個(gè)可能。
南開(kāi)大學(xué)信息技術(shù)科學(xué)學(xué)院副教授史廣順認為，目前安卓平臺最大的問(wèn)題出在應用層面。調查數據顯示，約有五成的手機用戶(hù)通過(guò)PC端助手安裝手機應用。安裝手機應用時(shí)，都要用戶(hù)開(kāi)“調試模式”。如果不開(kāi)“調試模式”，用戶(hù)無(wú)法讓手機與PC連接，如果開(kāi)了“調試模式”，手機里的日志信息、用戶(hù)賬號、訪(fǎng)問(wèn)歷史和書(shū)簽、日歷和行程、通話(huà)記錄、各類(lèi)傳感器數據、本地文件等所有信息都向應用商城敞開(kāi)，存在很大的風(fēng)險。
現在市面上有上百家安卓軟件應用商店，著(zhù)名的就有三十四家，難保這些應用商城都能做好自律。不僅如此，應用商城對應用安全的掌控目前也處于混亂狀態(tài)。由于追求規模，注重下載量，導致一些應用商城對應用的審查并不嚴格，許多惡意軟件都是通過(guò)應用商城擴散的。
網(wǎng)秦工作人員王瑛告訴記者，在惡意軟件的作用下，竊取位置信息甚至通話(huà)內容并非難事。網(wǎng)秦所截獲的“X臥底”是典型的手機竊聽(tīng)軟件，這類(lèi)竊聽(tīng)軟件利用了手機的三方通話(huà)功能，在誘騙用戶(hù)安裝后，每次啟動(dòng)時(shí)可由黑客在通話(huà)時(shí)插入一則波段，實(shí)際置于同一通話(huà)環(huán)境之中，其中可以隨意聽(tīng)取通話(huà)信息。網(wǎng)秦在上半年截獲的隱私竊取類(lèi)惡意軟件中，有超過(guò)43%的惡意軟件可通過(guò)GPS等方式實(shí)現對目標手機的跟蹤定位。
高度重視安卓系統隱患
史廣順認為，由于移動(dòng)互聯(lián)網(wǎng)功能的增強，智能手機上的個(gè)人信息往往比電腦上還要多，可是人們對手機信息安全的重視程度卻遠遠不如電腦。
竊取信息如此便利，意味著(zhù)手機上的政治、經(jīng)濟、科技、軍事機密都可以毫無(wú)障礙地竊取，不僅僅是在侵犯公民的隱私權，更有可能威脅國家的信息安全。
中央財經(jīng)大學(xué)民生經(jīng)濟研究中心主任李永壯認為，在安卓系統占據了過(guò)半智能機市場(chǎng)的情況下，不可以對其安全隱患視而不見(jiàn)。應該將移動(dòng)互聯(lián)安全問(wèn)題上升到國家信息安全的高度，切實(shí)保護好民眾的信息和財產(chǎn)安全。
據悉，工信部已于2012年6月初發(fā)布《關(guān)于加強移動(dòng)智能終端進(jìn)網(wǎng)管理的通知》(征求意見(jiàn)稿)，該通知主要針對終端設備的制造商進(jìn)行約束，但未對應用程序的開(kāi)發(fā)者、安卓系統應用商城平臺的運營(yíng)商進(jìn)行相應監管。
賈紅福表示，在移動(dòng)互聯(lián)安全方面，技術(shù)審查存在真空，技術(shù)標準也沒(méi)有出臺，更缺乏相應的法規來(lái)保障用戶(hù)的信息安全。用戶(hù)手機中的個(gè)人信息，對于手機廠(chǎng)商、應用商店和應用開(kāi)發(fā)者都有巨大的商業(yè)價(jià)值，而目前對信息安全的把控，完全靠各個(gè)環(huán)節的自律。指望所有環(huán)節都高度自律在現實(shí)中是不可能實(shí)現的，必須制定相應的法規和制度。
史廣順建議，針對手機廠(chǎng)商，應在系統架構、內置應用、信息收集等方面制定統一的技術(shù)標準；針對應用商城混亂發(fā)展的局面，應加強規范，制定應用審查技術(shù)標準，防止惡意應用進(jìn)駐應用商城傳播，并對違規應用商城進(jìn)行打擊；對于惡意應用開(kāi)發(fā)者和個(gè)人信息竊取者，應制定相應懲處法規，加大打擊力度。同時(shí)，對于對國家安全較為重要的信息，更應加大保護力度。