首页 > 传媒 > 关键词  > 百度安全中心最新资讯  > 正文

百度安全韦韬:安卓生态患上安全白血病,如何治疗?

2016-05-30 15:38 · 稿源: 站长之家用户

5月24日至26日,2016中国网络安全年会在四川省成都市世纪城国际会议中心举行。本次会议邀请了政府部门、重要信息系统单位、基础电信企业、非经营性互连单位、科研和产业机构的领导和专家700余人参会,围绕“聚网络英才·筑安全生态”的主题进行深入交流和探讨。国际知名安全专家,百度首席安全科学家、百度安全实验室负责人韦韬博士,在25日的会议上,深刻的揭示了目前消费者广泛使用的安卓系统在生态上面临的严峻安全威胁;并呼吁手机厂商和安全厂商紧密协作,共同改变当前安卓生态上的安全错位。

安卓生态的安全白血病

安卓系统免费开源,已经在智能手机产业中占据主导地位。安卓系统也在高速演进,版本不断迭代,谷歌和各个安全公司也投入了大量资源对安卓的安全进行改善和监控,每年谷歌安卓安全团队的安卓安全报告都表示安卓安全情况令人乐观,但安全公司经常表达不同观点。韦韬及其团队在多个国际安全会议上展示过安卓的高危安全问题。比如,2014年Blackhat安全大会上,韦韬和张煜龙演示了如何通过安卓系统上广泛使用的各个主流广告平台在用户毫无知觉的情况下远程控制安卓手机,获得包括录音、录像等隐私信息;2015年Blackhat安全大会上,他们再次展示了如何攻破安卓手机上包括trustZone在内的层层防御获取用户指纹。

在本次大会上,韦韬从安卓内核漏洞出发,系统的阐述了安卓生态中的安全错位导致了整个生态进入了一种长期以来难以治愈的安全重症,韦韬将其称为生态安全白血病。安卓的生态安全白血病重要表现为,在用户实际使用的安卓设备中始终有很高比例(超过50%)可以被攻击者通过公开的内核漏洞利用(N-Day Exploit)获得内核控制权。

安卓绝大部分的安全机制依赖于内核的完整性。如果有内核漏洞,那么基础性的安全机制就会崩溃。当攻击者获得内核控制权时,可以轻易绕过App隔离机制以及绝大多数安卓系统安全机制,对用户的支付安全、指纹隐私等造成严重威胁。这使得应用开发厂商,特别是移动支付和移动金融厂商,面临着来自黑产盗号刷卡的严峻威胁。目前产业用于抵抗这种安全威胁的方式是trustZone(ARM处理器的一种安全隔离环境),但其实trustZone有一个致命弱点:大部分trustZone逻辑相信来自于内核的输入,而且无法区分输入源发自于真正的移动应用程序,还是获得了内核权限的恶意代码。而且随着厂商把越来越多的功能放进trustZone,也会将越来愈多的漏洞引入trustZone,这个后果甚至比内核漏洞更加严重。

安卓生态陷入安全白血病的缘由

安卓的开源政策,使得全世界不计其数的厂商自由定制ROM,加剧了安卓平台的风险。虽然安卓内核的漏洞较多,但这是引起安卓长期不安全的主要原因吗?

韦韬展示了iOS和安卓内核漏洞统计的对比数字。令人惊讶的是,iOS 的系统内核漏洞长期高于安卓。但大家普遍认为iPhone比安卓安全很多。这是为什么?是因为苹果修复漏洞采用的是快速强制升级的方式,用户无法选择升级中间版本,只能是比较新的,这样版本碎片的情况非常小。这样的后果是留给攻击者利用已知漏洞的时间窗口也很短,从而很好的保护了普通消费者用户的安全。而安卓出现系统漏洞时,整个产业链往往需要花很长的时间才能把修复补丁推送到用户手上的设备,甚至不少设备根本没有厂商提供的补丁。

韦韬分析指出,这种现象不是单纯的因为安卓产业链不想修复内核漏洞,而是很多复杂的原因造成的。主要原因有如下三条:

一、安卓的产业链过长。安卓生态系统产业链非常长,从硬件厂商,到谷歌,到手机厂商,再到运营商。每一个环节都有自己的开发、质控、验证等复杂流程,有时候还会相互冲突。这样要消耗大量的时间和人力,而且有时甚至导致安全补丁无法下发给用户;

二、安卓系统碎片化过于严重。安卓系统的碎片化是指世界上所有安卓用户实际使用的安卓版本、配置、驱动等等有着非常显著的差异。安卓系统碎片化已经成为了业界共识,由于系统的开源性,用户、开发者、OEM厂商、运营商都可以按照自己的想法对这只绿色机器人进行改造,这种“碎片化”的程度异常严重。在这种情况下,大多数手机设备厂商已经失去了为所有用户使用的安卓系统提供安全补丁的能力;

三、生态职能不匹配。其实最容易推进修复的是手机厂商,但大部分手机厂商自身的碎片化现象非常严重,导致了手机厂商没有足够的资源和精力去修复漏洞。而对于安全厂商来讲,修复漏洞也是一件很尴尬的事情。在正常情况下,安全厂商是没有系统授权的,除非先进行ROOT。即使ROOT,安全厂商仍然要面临不同手机品牌更加严重的碎片化挑战。

生态重症如何治疗?

公开内核漏洞利用已经成为安卓生态的白血病,破坏着整个生态的安全基础。那么面对病入膏肓的生态安全,该如何有效保护用户?生态病患如何治疗?

韦韬认为,生态病患必须要进行生态治疗,改变错位的生态格局。然而要改变生态,必须首先要有颠覆性技术变革,来支撑新的生态布局。

为此,韦韬带领百度安全实验室的移动安全专家们研究开发出了革命性的自适应内核热修复技术,并且已经为该技术申请了五项专利。这种技术无需实际内核编译所用的源码和配置,能够自动匹配目标安卓系统的漏洞进行在线热修复。这种技术极大的提升了厂商面对安卓高度碎片化的应对能力,而且也大大缩短了厂商推送内核安全补丁到最终用户的过程。根据统计,目前采用此技术可以修复市场中99.4%的安卓产品的内核漏洞。

在自适应内核热修复技术的支撑下,韦韬进一步建议手机厂商和安全厂商紧密合作,进行协同受控防护,重构安卓生态。这种合作是双方受益的,手机厂商可以为用户提供更加安全的产品,而安全厂商则可以为企业和行业用户提供更加专业的安全服务。设备厂商在安全可控的情况下,赋予安全厂商能够进行有效防御的权限,充分发挥安全厂商的能力和作用,双方共同合作有效应对安卓生态面临的严峻安全威胁。

最后,韦韬认为,目前安卓生态的安全问题非常严峻,传统的解决方案已经很难为安卓生态提供安全防护,自适应内核热修复技术可以提供一种技术上的解决方案,协同受控防护则提供一个生态联防的方向。但即使如此,业界仍然面对着巨大的工作量来修复安卓生态中海量的各色漏洞。韦韬呼吁,目前安全形势非常险峻,需要安卓产业界的同仁们一起努力,建立起健康的安卓新生态。百度也将开放自适应内核热修复技术专利给合作伙伴,共同建设一个安全的安卓新生态。

推广

特别声明:以上内容(如有图片或视频亦包括在内)均为站长传媒平台用户上传并发布,本平台仅提供信息存储服务,对本页面内容所引致的错误、不确或遗漏,概不负任何法律责任,相关信息仅供参考。站长之家将尽力确保所提供信息的准确性及可靠性,但不保证有关资料的准确性及可靠性,读者在使用前请进一步核实,并对任何自主决定的行为负责。任何单位或个人认为本页面内容可能涉嫌侵犯其知识产权或存在不实内容时,可及时向站长之家提出书面权利通知或不实情况说明,并提供身份证明、权属证明及详细侵权或不实情况证明(点击查看反馈联系地址)。本网站在收到上述法律文件后,将会依法依规核实信息,沟通删除相关内容或断开相关链接。

  • 相关推荐
  • 最重要的搜索阵地,百度想誓死守住

    AI搜索的东风刮过两年,百度终于下决心,对自家搜索引擎“动刀子”。 7月2日,百度宣布开启十年来最大一次搜索改版,正式将搜索框改版成支持千字输入的“智能框”,从“给链接”跨越到了“给答案”。另外靠着智能体,百度搜索也进入了“解决任务”的阶段,并集成了AI写作、AI图片/视频生成等一系列服务。 当然,这还不够。在阿里夸克、字节豆包等产品不断往自家�

  • 百度网盘上线知识问答功能:你的数据会自己“说话”了

    ,百度网盘宣布上线知识问答”功能,变成活的知识库”。 据了解,百度网盘通过AI技术整合用户在网盘中的数据,如学习资料、生活照片、办公文件等多源信息,形成结构化知识库。 它帮助用户快速查找”、问答”、创作”,实现知识的长期沉淀与高效复用。 从存储工具到知识中枢,百度网盘实现了从被动存储”到主动管理”的升级,构建你的第二大脑”。 它支持多模�

  • TDBC大会揭幕:百度智能云再造数据与AI新连接,激活大模型生命线

    中国通信标准化协会等机构联合主办的"TDBC2025可信数据库发展大会"在京召开。会上公布了上半年"可信数据库"评估测试结果,百度智能云向量数据库VectorDB成为国内首批完成测试的向量数据库产品。该测试覆盖稠密向量检索、多向量检索、标量向量融合检索三种场景,评估指标包括索引构建时间、QPS、延迟、资源占用等多个维度。百度智能云总架构师朱洁指出,超过50%的AI项目时间消耗在数据治理环节,提出构建"智能数据基座"实现数据统一管理,形成"Data+AI+App"闭环。百度智能云通过湖仓一体架构提升AI训练数据效率,智能调度CPU/GPU算力优化资源分配,预计到2028年多数生成式AI应用将直接基于企业数据平台构建。

  • 百度搜索,跳出“框”外

    以AI为“黄金配方”,百度搜索已经悄然生长出了“肌肉”。用户侧最直观的感受是,曾经熟悉的搜索框变“大”了。 “大”从表面看是搜索框所能承载的内容和能调用的工具变多。例如,过去做旅行计划得靠“亲子出游”“漂流”“一天”等关键词堆砌,现在只要用自然语言提需求即可。

  • 领先OpenAI三个月,百度文库GenFlow领跑通用Agent领域,2.0版本8月上线

    百度文库即将在8月发布GenFlow2.0版本,该版本具备更强大的多模态能力,支持生成多种内容形态,大幅缩短任务交付时间。相比OpenAI同日发布的ChatGPT+Agent,百度文库早在4月就已上线GenFlow1.0,实现全场景覆盖和全链路调度。GenFlow基于MoE架构,在成本、性能和效率上占优,能快速生成PPT、研报等多样化内容,且依托百度14亿专业文档资源,内容质量更可靠。此外,GenFlow还能调用用户个人数据实现个性化定制,并提供内容后期编辑功能,灵活性更高。

  • AI日报:12306 MCP Server上线;百度推AI搜索助手Tizzy.ai;ChatGPT录音模式面向Plus用户开放

    【AI日报】今日AI领域重要动态:1)百度推出无广告智能搜索助手Tizzy.ai,整合影视资源与深度思考功能;2)12306开源火车票查询引擎上线,采用FastAPI架构实现秒级响应;3)ChatGPT向Plus用户全面开放录音功能,支持实时记录与内容总结;4)开源SaaS模板FireGEO助力快速构建现代化Web应用;5)国产工具ReadMeX可一键生成高质量GitHub文档;6)百度AI助手新增视频通话功能,支持方言识别;7)Jacky

  • 双第一!百度智能云领跑2025上半年大模型中标市场

    2025年上半年,全球AI产业迎来关键拐点,多模态理解、深度逻辑推理等核心能力实现重大突破。大模型加速渗透产业核心场景,推动AI从通用能力向深度行业应用转变。我国大模型项目呈现爆发式增长,中标项目累计1810个,金额突破64亿元。百度智能云表现突出,以48个中标项目和5.1亿元金额稳居"双第一",在金融、能源、政务等重点行业持续领先。行业趋势表明,大模型市场正从"通用竞争"迈向"行业深耕"阶段,技术实力与落地能力成为关键。百度智能云依托领先的大模型技术与全栈智能基础设施,助力企业高效部署应用AI,目前已有65%央企选择与其合作。在能源、交通、金融等领域,百度打造了多个行业标杆案例,显著提升业务效率。

  • 百度2026届校招正式启动!AI相关职位占比超90%:双批次双机会

    今天,百度正式启动了2026届校园招聘,将发放4000offer,覆盖四大职位类别,共有256个细分职位,分布于北京、上海、深圳、广州、成都、大连、杭州七大城市。 值得一提的是,此次2026届百度校园招聘中,AI相关职位占比超九成,共新增90个AI相关职位,覆盖多模态、跨模态、大模型架构等方向。

  • 百利好:金价持续调整,投资者该入局吗?

    近两年国际金价持续上涨,2024年在美联储降息周期、全球央行购金潮及地缘冲突升级推动下,全年涨幅超26%,创40次历史新高。2025年4月金价突破3500美元/盎司关口,较2024年初累计飙升近70%。近期金价在3280-3400美元区间震荡回落,但支撑金价的核心逻辑未变:美联储降息周期持续降低持有黄金成本;全球地缘风险频发推升避险需求。多数机构认为金价在3200美元上方仍有支撑。投资者需根据自身策略选择:短线交易需警惕政策转向风险,长期配置则可把握回调机会。建议选择提供专业风控工具的交易平台,如百利好环球配备的MT5交易系统及专业分析团队,帮助投资者在波动中精准把握机会。

  • 腾讯云自研操作系统TencentOS与中国金融认证中心达成合作,全面支持安全启动

    腾讯云操作系统TencentOS Server V4全面支持安全启动(Secure Boot)功能,通过与微软和中国金融认证中心(CFCA)合作,实现双轨并行的安全启动方案。该系统不仅获得微软签名认证,还基于CFCA国产根证书体系完成适配,构建从固件到操作系统的完整信任链。TencentOS团队严格遵循安全规范,对密钥实施严格保护,确保系统启动各环节安全验证,有效防御底层恶意软件攻击。该方案支持"开箱即用",无需额外配置即可在主流服务器和虚拟化平台运行,大幅提升部署效率与安全防护水平。

热文

  • 3 天
  • 7天