站长之家首页 > 传媒 > 百度安全最新资讯 > 正文

2016BlackHat:百度安全韦韬剖析安卓生态“白血病”

2016-08-05 16:39 · 稿源:站长之家用户投稿

美国拉斯维加斯当地时间8月3日,2016BlackHat黑帽技术大会在美国拉斯维加斯举行。来自百度安全事业部的X-lab(百度安全实验室)的张煜龙和韦韬共同入选BlackHat大会的Pebble Hall of Fame荣誉殿堂。同时,韦韬博士作为百度国际著名安全专家,百度首席安全科学家,受BlackHat大会邀请上台演讲。韦韬博士围绕N-Day漏洞,对安卓系统的历史性安全顽疾进行了深刻解读,并呼吁手机厂商和安全厂商紧密协作,共同改变当前安卓生态上的安全错位。

发现巨大安全漏洞 张煜龙和韦韬入选世界黑客荣誉殿堂

BlackHat名人堂是世界所有黑客心中的荣耀之巅,张煜龙与韦韬能够双双入选,是因为他们发现了一个能够让攻击者完全控制所有(几百万)包括Pebble智能手表在内的基于ARM Cortex-M的智能设备及物联网设备,进而对受害者生活工作的隐私数据进行窃取和控制的安全漏洞,同时提交了应对该漏洞的防护方案。这项发现对于现阶段的互联网信息安全发展意义重大。张煜龙与韦韬表示,将在10月丹佛的Virus Bulletin会议上详细阐述这个肯能会影响数百万智能设备用户的安全问题。

韦韬博士受邀演讲:安卓系统历史顽疾存重大隐患

在韦韬博士眼中,那些未被发现的 0-Day 漏洞固然无坚不摧,但是在真实的世界中,他们却不是最普遍的“凶器”,反而是那些已经爆出很久而未被多数厂商修复的“旧漏洞”。那些被曝光出来数周甚至几个月的 Android 漏洞,往往已经拥有了清晰并且稳定的利用代码。但是处于种种原因,厂商并不会在第一时间修复。具体的原因包括修复程序繁琐、耗时太长、机型适配繁杂,或者干脆觉得不需要把精力过多地放在安全上。

在本次大会上,韦韬从安卓内核漏洞出发,系统的阐述了安卓生态中的安全错位导致了整个生态进入了一种长期以来难以治愈的安全重症,韦韬将其称为生态安全白血病。安卓的生态安全白血病重要表现为,在用户实际使用的安卓设备中,始终有很高比例的已公开内核漏洞,可以被攻击者利用并获得内核控制权。

但在安卓平台中,绝大部分的安全机制依赖于安卓内核的完整性。如果有内核漏洞,那么基础性的安全机制就会崩溃。当攻击者获得内核控制权时,可以轻易绕过App隔离机制以及绝大多数安卓系统安全机制,对用户的支付安全、指纹隐私等造成严重威胁。这使得应用开发厂商,特别是移动支付和移动金融厂商,面临着来自黑产盗号刷卡的严峻威胁。

以开放姿态加强合作 共同攻克安卓生态“白血病”

韦韬认为,公开内核漏洞利用已经成为安卓生态的白血病,破坏着整个生态的安全基础。生态病患必须要进行生态治疗,改变错位的生态格局。然而要改变生态,必须首先要有颠覆性技术变革,来支撑新的生态布局。

为此,韦韬带领百度安全实验室的移动安全专家们研究开发出了革命性的自适应内核热修复技术,并且已经为该技术申请了五项专利。这种技术无需实际内核编译所用的源码和配置,能够自动匹配目标安卓系统的漏洞进行在线热修复。这种技术极大的提升了厂商面对安卓高度碎片化的应对能力,而且也大大缩短了厂商推送内核安全补丁到最终用户的过程。根据统计,目前采用此技术可以修复市场中99.4%的安卓产品的内核漏洞。

在自适应内核热修复技术的支撑下,韦韬进一步建议手机厂商和安全厂商紧密合作,进行协同受控防护,重构安卓生态。这种合作是双方受益的,手机厂商可以为用户提供更加安全的产品,而安全厂商则可以为企业和行业用户提供更加专业的安全服务。设备厂商在安全可控的情况下,赋予安全厂商能够进行有效防御的权限,充分发挥安全厂商的能力和作用,双方共同合作有效应对安卓生态面临的严峻安全威胁。

免责声明:“站长之家”的传媒资讯页面文章、图片、音频、视频等稿件均为自媒体人、第三方机构发布或转载。如稿件涉及版权等问题,请与我们联系删除或处理。稿件内容仅为传递更多信息之目的,不代表本网观点,亦不代表本网站赞同其观点或证实其内容的真实性,更不对您的投资构成建议。我们不鼓励任何形式的投资行为、购买使用行为。

  • 大家在看
  • 相关推荐
  • 取代/Chrome OS!谷歌新系统Fuchsia OS即将杀青

    作为取代安卓、Chrome OS的系统,谷歌已经基本完成了新系统Fuchsia OS研发工作。

  • 百度推出电子出入证、社区AI测温系统等多款防疫AI产品

    3月6日消息,近日,百度推出电子出入证、社区AI测温系统、“ 8 合1”小程序等多款AI产品。其中,社区防疫电子出入证,只需要用手机百度或者微信扫一扫二维码,填写住户信息后就可以自动生成当天的动态通行证;AI测温系统可以让居民不用停留即走即测;综合性社区防疫小程序,拥有疫情地图、同乘查询、智能自测、发热门诊、心理咨询、防护手册、问题上报、免费问诊等八大模块。

  • 百度的「U计划」

    回顾百度的20年,李彦宏似乎一直在与过往的自己战斗。对于一家巨无霸公司来讲,每一次深蹲都是为了更有力量的起跳,一次次的“干掉”自己、重获新生。李彦宏就是这样,喜欢跟自己过不去。

  • 百度地图推出安全复工聚合页,出行、生活、住宿信息“一步到位”

    在中国疫情防控形势持续向好之际,各地逐渐踏上复工复产的有序节奏,面对坚守疫情防控和有序复工的双重考验,百度地图近日上线以“安全复工”为主题的功能聚合页,从出行、生活、就医、住宿、云旅游等各个方面,提供实时有效的防疫信息,助力公众安全复工。用户只需打开百度地图,喊出“小度小度,安全复工”便可进入。在“安全出行”方面,无论用户日常习惯驾车、打车还是乘公交,都能在聚合页中获取相应的出行信息。当驾车用户使

  • 安全防疫别担心,百度地图复工地图、疫情小区面面俱到

    近日,由于疫情下百度地图加班加点推出的迁徙大数据平台、疫情小区地图、发热门诊地图、地铁客流量查询等一系列为用户“操心”的功能便得到了中国信息通信研究院的“点赞”认可。在其发布的《疫情防控中的数据与智能应用研究报告(1.0版)》(以下简称《报告》)中指出,百度地图为公众及时播报疫情相关动态,推出了利于疫情防控的出行指南。从宅家到复工,从疫情蔓延到形势好转,你发现没?百度地图其实一直都在。例如《报告》中提到,

  • 百度搜索劲风算法

    百度劲风算法旨在控制恶意构造聚合页的问题对搜索用户的影响,保障搜索用户的体验、保证搜索结果公平,惩罚部分网站及智能小程序通过恶意构造聚合页面内容来获取搜索排名的行为。聚合页,是指页面并无文章主体内容,而是多个页面的索引链接围绕在特定主题下的信息整合页。

  • OPPO Watch为何弃WearOS而选择定制系统?看这几点就明白了

    3 月 9 日,OPPO首款智能手表产品——OPPO Watch已发布 3 天,但惊喜仍然在继续。OPPO官方微博账号“OPPO健康”发布了一张海报,正式对外公开了OPPO Watch采用的系统为基于Android8. 1 深度定制的ColorOS Watch,而非业界普遍沿用的WearOS。事实上,关于OPPO Watch采用的系统,网上也早有数码大V进行了爆料。对于智能手表究竟是使用安卓系统好,还是WearOS更好,微博博主@一雪 的发言代表了很大一部分网友的观点:“OPPO手表采用安

  • 百度网盘一举拿下两项ISO国际顶尖标准安全认证

    百度网盘官方微博今天对外宣布,该平台于 3 月 5 日一举拿下ISO/IEC27001 与ISO/IEC27018 两项国际顶尖标准的安全认证。

  • 致远互联携华为云、企业微信、百度AI等共建协同生态 加速布局数智化

    当数智化产业浪潮来袭,企业的商业模式和运营模式都将发生重大变化,企业唯有向数智化转型升级才能把握新的发展机遇。而要向数智化转型升级,以前的单点升级固然不奏效,一站式数智化升级备受推崇。而要满足企业一站式数智化升级新需求,云服务厂商必须打造协同生态联盟,汇聚各行各业伙伴的智慧和力量,才能满足企业的数智化需求。2 月 28 日,在致远互联在线召开的“ 2020 协同生态伙伴大会”上, 致远互联基于对行业的洞察以及?

  • 百度成立百度健康(北京)科技有限公司,注册资本 3000 万元

    据天眼查数据显示,百度健康(北京)科技有限公司于 3 月 12 日成立,注册资本 3000 万元,由北京百度网讯科技有限公司全资控股,经营范围包括医疗器械 I、II 类、健康管理、健康咨询、心理咨询、零售药品及销售第三类医疗器械等。

  • 公共交通出行“安全指南”来了!北京地铁、公交客流量用百度地图可查

    随着新的一周到来,北京市众多企业或实行轮岗轮休、或缩短工时,有序复工正在逐步进行中,近期早晚高峰的车流量、人流量也随着复工开始回升。为营造更加安全的通勤环境,百度地图合作北京市交通委,继2月上线地铁客流量查询服务后,又于近日推出了公交客流量查询服务。用户通过百度地图即可随时查看北京市任意一条公交、地铁线路车厢内的客流量,判断是否拥挤,进而规划好自己的行程。(百度地图公交、地铁客流量查询服务)用户使用?

  • 百度字节跳动再交锋 百度推出“有驾”App主打专业汽车资讯

    近期有媒体报道百度推出一款汽车垂直领域资讯类产品“有驾”,正式进军汽车资讯平台。此举引发汽车资讯圈人士广泛关注。

  • “移植”手柄 鲨3 Pro搭载机械按键:21mm键、1.5mm键程

    2 月 28 日,黑鲨官方继续保持密集爆料模式,宣布了即将发布的黑鲨游戏手机 3 的一系列卖点,最新的消息是,腾讯黑鲨游戏手机 3 将搭载实体机械按键。

  • 师兄怎么恢复微信聊天记录?数据恢复专家

    卓师兄怎么恢复微信聊天记录?安卓数据恢复专家~微信不仅被作为即时通讯工具,还将其视为表达情感和维系社交的互动平台。微信可以说取得相当大的成功了,很多人留言说不知道怎么恢复微信聊天记录,小编总结了几个恢复方法,下面一起来看看吧!还有粉丝问一些玩笑使用的实用技巧,在这里小编就一起说道说道吧~我们平时在跟微信好友聊天过程中,涉及到时间、会议等情况,怕自己忘记的话,可以直接长按对方发来的消息,然后给这个消息设

  • 云顶之弈手游版谷歌官方下载地址 云顶之弈手游版在哪下载?

    云顶之弈手游3月20日正式上线了,很多玩家都想去玩国际服,下面就来为大家分享一下云顶之弈手游国际服的下载地址。

  • 百度:近30天日均超3.5亿人次在百度搜索和浏览教育相关知识内容

    3月16日消息,百度发布的教育搜索大数据显示,近 30 天,日均超3. 5 亿人次在百度搜索、浏览教育相关的知识内容,同比上涨86%,知识类视频日均播放量达1. 5 亿,教育类智能小程序用户时长环比上涨30%。此外,搜索大数据显示,近 30 天,百度文库内小学、初中教育相关内容浏览量超 17 亿,语文成为最大的“流量主”;“儿童电子产品”相关内容的搜索热度近 30 天环比上涨200%。

  • 何一:生态制胜,币与用户新链接

    果味财经「Star time」188期,主题为「生态制胜:币安与用户新链接」AMA,嘉宾是全球交易巨头币安Binance联合创始人,CMO,何一。果味财经晓羽Lily:在过去3年以来,币安Binance有几个重大发展节点,我认为是十分明显的。第一个是2017年币安Binance的诞生, BNB作为平台币,首次向全球金融世界,展示数字资产交易平台的综合市值;第二个是2017年至今,在区块链赋能上取得巨大成功;第三个是2019年,币安Binance的BNB点燃市场,2019年

  • 福特汽车完备的被动安全系统安全有保障

    在过去的2019年,福特汽车用多款新车型以及新技术向消费者提交了一份满意的答卷。在新的一年,福特汽车又描绘出新的智能场景。今年年初,福特汽车通过实车展示和互动体验等多种方式,打破了很多人认为福特只关注汽车制造的看法。而无人驾驶,机器人送货等只是福特未来发展的一小部分。未来,福特汽车将通过前瞻技术,向智能世界迈进。作为福特智能车型的代表作之一,新锐界豪华系列将凭借全新豪华设计、丰富前瞻科技和超凡驾驭体验

  • 再见!百度搜索正式下线熊掌ID业务

    近日,百度熊掌ID官方发布公告称:站点品牌曝光功能即日起因业务调整下线。后续我们将通过算法挖掘优质站点进行站点名称展示,并逐步开放申请入口,请您持续提升网站内容质量,以便获得相应权益。

  • 与WazirX宣布设立5000万美元“印度区块链发展基金”,支持印度创业生态系统发展

    2020年3月17日,全球领先区块链生态系统币安(Binance),与印度最受信任度的比特币交易平台WazirX,今日共同宣布推出“印度区块链发展资金”计划,以支持印度区块链初创企业的发展。2019年,币安收购了WazirX,以推动区块链技术在印度的广泛应用和普及。今天,我们高兴地宣布,币安与WazirX联合设立了5000万美元的“印度区块链发展基金”(由BNB、BUSD及WRX数字资产支持),用于孵化、投资于着力通过区块链技术解决行业及社会问题的区

  • 参与评论
文明上网理性发言,请遵守新闻评论服务协议