说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

深度解析:Android4.2系统“应用验证服务”

HTML文档下载 WORD文档下载 PDF文档下载
一直以来安全都是Android系统的最大难题,尽管Google想方设法进行改善却似乎一直徒劳无功。在Android 4.2系统中Google加入了全新的应用验证服务以提高系统安全性,但其检测效果却远远不如旗下的VirusTotal服务。

界面改动并不明显的Google Android 4.2系统在其内在却有着大幅改进,此前CSDN在《揭秘Android 4.2开发者的天堂与地狱》一文中也对Google这一最新系统进行了详尽的介绍。从Android 4.2发布到现在,人们争相体验并对其功能改进表示赞许,但被业界一直视为软肋的安全问题却在一定程度上被掩盖。

据悉,在Android 4.2系统中,Google加入了一个被称之为“应用验证服务”的安全系统服务(application verification service,这项全新的恶意软件扫描功能可以抵御具有危害性或潜在威胁的应用入侵。据Google Android团队成员Michael Morrissey在Google+中介绍,“现在使用Android 4.2系统的用户可以从Google Play上安装一个使用Google的选项作为应用验证。只要你安装了该项服务,无论你的移动设备是如何安装应用的,我们都将对应用程序进行验证以确保没有危害性的东西侵害系统。”

图:Michael Morrissey

话虽如此,但新安全系统验证服务是否真的有效?且该项服务主要针对恶意应用,那来自第三方的安全的应用程序是否也执行如此操作?为此,来自美国北卡罗来纳州立大学计算机科学副教授Xuxian Jiang特组织团队对Android 4.2该项应用验证服务进行了全面研究。

图:Xuxian Jiang

揭开Android 4.2应用验证服务的神秘面纱

尽管这项新服务是专为Google Play官方应用定制,但其工作流程设计却针对所有应用商店。用户可以通过“Settings(设置)”、“Security(安全)”和“Verify apps(验证应用)”等操作开启或关闭服务。

图:Android 4.2应用验证服务工作流程示意图

在服务开启时,当用户开始安装应用系统将会自动收集并向Google云端发送相关信息(比如设备的ID和IP地址),之后Google云端将会响应一个验证结果。如果应用是不安全的,用户的移动设备就会收到一个显示该款应用是恶意的或具有潜在威胁的警告提示,恶意应用将无法安装。对于具有潜在威胁的应用,系统会弹出一个继续还是终止的安装选项提示框。

图:是否开启应用验证服务

图:检测到具有潜在威胁的应用程序

图:检测到恶意的应用程序

Android:扶不起的阿斗?

无论Google Android开发团队对自己开发的服务如何地打包票,但实践是检验真理的唯一标准,Jiang团队收集了在研究社群中已被广泛分享的来自49个不同的恶意软件族的1260个样本,对包括Nexus 10平板电脑在内的Google最新的运行Android 4.2系统的设备进行使用验证检测,结果却是让人大跌眼镜,在1260个样本中,只有193个被检测出为恶意应用,检测率低于15.32%,这表明Google费尽心机研究开发的这项全新的安全验证服务的性能实在太低。

图:1260个恶意软件检测结果详细列表

Android 4.2败在Google自己手上?

尽管在实战之中Android 4.2的应用验证服务结果并不如人意,但Jiang团队并没有急着下结论,他们又进行了另外一组实验,将该项应用验证服务和现有的第三方杀毒引擎进行对比,即从每一个恶意软件家族挑选一个样本,并使用VirusTotal服务(Google于2012年9月新收购的安全公司)进行检测验证,但其结果依然令人很失望。

图:与其他10款常见的杀毒引擎的详细对比

在第二次实验中,Jiang团队使用了VirusTotal服务中常见的10款杀毒引擎,即Avast,AVG,TrendMicro,Symantec,BitDefender,ClamAV,F-Secure,Fortinet,Kaspersky和Kingsoft。将其安全检测结果与Android 4.2新应用验证服务结果进行对比。这些常见的杀毒引擎检测率在51.2%——100%之间,而Google的新服务检测率才是20.41%。应用验证服务毫无悬念地败给了这些常见的杀毒引擎。

图:Google新服务与其他10款常见的杀毒引擎平均检测率对比

这也表明,Google虽然信誓旦旦地表示要加强自家服务保护并兴师冲冲地收购了网络安全创业公司VirusTotal,但其结果却显而易见,Google并没有做出太多的改观,反而忽视了VirusTotal的优点所在。

安全之路,Google任重而道远

虽然Android 4.2的这项新的应用验证服务其安全检测结果并不理想,但这也已表明Google正在信守承诺不断地提高Android系统的安全性,尽管还需要很大的提高与改善。

这项应用验证服务主要基于SHA1值和包来确定应用是否恶意或存在潜在威胁,这样的机制是非常脆弱的。如果攻击者通过重新包装或变异等方式改变现有的恶意应用的校验和,这项功能服务将很容易被绕过。而为了更有效更准确地判断应用的危险性,应用验证服务需要收集更多的相关信息,这在一定程度上有侵犯用户隐私的嫌疑。

在此项安全系统服务中,Google并没有将VirusTotal整合进去,而从测试结果来看,VirusTotal的性能要远远高于这项独立的服务,对此也希望Google能够有所反省,不要因为暴殄天物而一失足成千古恨。

AWS会赢、OpenStack会消亡、Connected Cars可防僵尸攻击 谷歌以32亿美金收购iPod之父的创业公司Nest 物联网时代来临 微软2014,有你期待的吗? 映趣科技发布inWatch Z/inWatch X 后者采用全彩透明柔性屏 程序员没有天才:暴风影音首席架构师鲍金龙访谈 开放式创新改变世界——OpenStack生态系统将重新洗牌 Java 8最终发布日期敲定,即使有bug也要发布 Meteor PK Django,谁更适合开发实时Web应用? 学编程就像选家具:去宜家还是从种树开始? 前车之鉴 十二个年度最差设计网站汇集 冷暖交替,2014年编程兴衰趋势预测 诺基亚出Android手机,微软或将受惠 苹果不收购Nest的大猜想 Netflix开源S3一致性提升利器S3mper Fi 《近匠》第06期:UCloud——目标!完整云服务 小三上位:Windows Phone不容忽视的契机 “详解Visual Studio 2013”全国巡讲北京站:无忧开发iOS及Android应用 Chrome最新版:快速静音及在Win8中建Chrome OS系统 雅虎COO Henrique de Castro因业绩不佳被解雇 分析比特币背后的数据算法,抢占背后巨大市场先机 美食菜谱将会成创业风口的两大理由 Windows XP杀毒软件更新 将被延至2015年7月 小心,商家已经盯上你了 一软一硬 让你时刻保持清醒的可穿戴产品 寓教于乐 贝瓦依托移动平台打造中国式儿童“轻教育” 中科创达:CES2014上的中国红 SA:2014年移动互联网十大技术创新预测 回顾2013:HBase的提升与挑战 Google打造云中Hadoop便捷版,强势对抗AWS 【信息图】专业Web设计师和业余设计师的发展状况并不协调 先试后买:Agawi推新型广告服务AppGlimpse SQL语言嵌入C++!!!!! 无法向会话状态服务器发出会话状态请求。请确保已启动 ASP.NET State service,并且客户端和服务器端口保持相同。 鼠标移动到其上,如何显示提示的文字?请各位仁兄指点! 不通过声卡这样发出“嘟...”的响声? VLAN 怎么发电子邮件?? 请问哪里有WideString的定义? 问个关于域名注册的问题 为什么便宜的耳机用一段时间以后,就只有一边发声了?是什么原因?我想自己修,因为手头一大堆这种半报废的耳机 关于属性页的问题,请进 南京上空发现奇异天体 三名飞行员先后紧急报告 我装的weblogic610_win为什么在win2000下运行后打不开http://127.0.0.1:7001/console 有关route add问题 我装的weblogic610_win为什么在win2000下运行后打不开http://127.0.0.1:7001/console VC.NET中是否有支持odbc的类似DBGrid的数据表格控件? 大家推荐一下学习C#的书! htc文件在WEBSPHERE不能正常运行??? 大家在用c编程时,是怎样运用位运算的?(我c学得不好,请大家指教一下) 怎样从一个vlan的客户机访问到另一个vlan上的客户机,急 一个简单问题?关于查询方面的!请指点! htc文件在WEBSPHERE不能正常运行??? 有了Swing,还有必要使用AWT吗? 怎样将richtextbox中的内容存入sql server数据库? 哪位用VC做过拨号程序阿 紧急求援!!!pqmagic在Windows 2000 professional下的安装问题! 如何在PB中通过脚本将文本文件导入数据库中? 一玩3D游戏就退出,一上网就死机,本人用的是小影霸速配3000,何故? 舌尖的热恋(淡月儿) cbuilder5的工程用cbc6打开,编译的时候,出错。为什么?紧急求救!!!!!!!!!! 关于session的问题 如何读取相对路径的文件 我的这点程序怎么运行有错?(内付原码) 编译器错误信息: CS1519: 类、结构或接口成员声明中的标记“(”无效 请教关于VXWORKS的SDK转到LINUX上的方法 有多少人用Struts做过项目啊? 询问所有JSP的高手!!!(在线等) 怎样写一份解决方案 怎样做像qq那样的面板,有源码最好了 还是鼠标事件问题!大家快帮帮忙! 求和的问题 icmp是什么东西,怎么设置?如何打开或关闭它? 抢分啦~~~~ C/C++中有类似于汇编中的宏替换(&)吗? 关于VB的绘图闪烁 哪里有免费空间, 高手必看,微软专家也过来,可能是一个BUG 一个简单的问题! 询问所有ASP的高手!!!(在线等) 请问谁做过类似VC里的界面编辑器的软件 如何处理有"'"单引号的sql语句 菜鸟!!!!!!!!!!!想编一个象棋的程序看看我的思路 cn_robot(创造上帝的猪(CSDN封杀过没脸做人)),你进来!!! 亻谷的国语是怎样拼的呢? if you had lost of money what would you do?为题目的英语作文 I sent many Christmas cards to my friends.(变为一般疑问句) [] you [] many Christmas cards to [] []怎么看的出来是过去式啊》? birds的ds和students的S发音相同吗 欧盟成员国都是欧洲的国家吗 我以后究竟要做什么工作? birds怎么读 看到你发好多工亻的呀 请解释什么时候用do什么时候用does和什么时候用have什么时候用has birds与thirty的ir发音一不一样 欧洲大部分的欧盟国家是怎样领导这些27个成员国 “把它挂在墙上”这句话英文怎么翻译? 飚是什么意思 截至现在欧盟有几个成员国,哪些欧洲国家不是欧盟成员国 灯挂在墙上(翻译英文) 太飚了 什么意思 neither / so 倒装He bought nothing._____ _____ I. “钟表挂在墙上”用英文怎么说?快 飚速是什么是意思 飚速型什么意思 新概念英语如果从第一册学起,每篇课文会背诵默写,需要多久才能发觉进步,或者达到四级左右的水平. 位置决定影响,角度决定空间,高度决定视野,态度决定未来是什么广告语 飚歌是什么意思 冀教版英语七年级上册八年级上册单词和课后短语请把 冀教版 英语 单词和课后短语告诉我 有没有关于七年级下期的英语的三单元的词组 如何做单词辨音题 飚血 什么意思 七年级英语固定词组 There are lots of flowers and trees on ( )of the road.A.both sides B.every side C.all sides 弄客什么意思 英语翻译1.尽快2.校园剧3.出去吃饭4.喜欢结识朋友5.和其他年青人工作6.一份危险的工作7.株洲晚报 There are lot's of trees and flowers on ___ side of the road.A.both B.each C.every D.all. 内客什么意思 欧共体内部农业较发达的国家有哪些 晕倒,英语怎么讲 英译汉 关于so和neither的倒装句He likes English ,but he doesn`t like maths.______(我也是)用so或neither翻译后半句 hobby复数形式 你晕倒我就有机可乘了!英语怎么译? nor ,neither ,so 倒装句的谓语用什么一般是前面用什么后面就用什么,如:I am watching TV.So is she.My parents didn’t watch TV last night.Neither did I.但下面两句我不明 If you don’t want it,neither shall I.(为什么 加上一个字母,变成新单词 1、all( ) 2、far( ) 3、air( ) 4、way so ,neither 倒装He knows little about the thing,后面是So do I.还是Neither do I.little 是否定含义. 17岁学英语还来得及吗 加上一个字母,变成新单词(英语),far,air,way. 在so的完全倒装里 ,如果前后人称一样的话 so后面的句子就不用倒装 想问下那么neither呢这是so的特别的用法 还是neither 也是这样的 so与neither的区别和句子尽量补充完整! far加一个字母是什么单词 it's time the children went to bed 为何要用went呢? 短语翻译:stand empty 在late前加一个字母变新单词是什么?急 There are many tall b____ on both sides of the road stand短语都有什么呀,急求,麻烦哪位高人告诉我一些,麻烦了! what did you do yesterday evening?A.I PLAYED chess with my friend B.i am looking for my schoolbagc.i like walking to schoold.i want to buy a pencli 1.bro(th)er o(th)er 2.cinem(a) grandp(a) 3.w(or)k m(or)ning4.s(e)ldom n(e)ver 5.beg(i)n sc(i)entist括号阔的地方时需要辨音的地方.请按照数字选择“V” 或者 "×" 类似于 stand by me 这种简单的英语小短句. we played football with our friends yesterday用every day改写 英语翻译Cratesicleia 就这个,百度找遍了,都没有.有没有哪位知道的,拜拖了.读音是男名还女名啊? 七年级英语中值得特别注意的几个介词短语有哪些?lg:在树上、在墙上、在.的前面、在.的后面等. hobby 是可数名词吗 请问亻+仚是汉字还是亻+屳是汉字呀?知道有个姓念nao第三声;也知道有字古译同仙,读xian第一声......更想知道的是亻+屳是不是汉字 What would you do if you had much money?(改为同义句)()()you had much money?Did you use computers to make the foreign language easy to learn?(改为同义句)()computers ()to help you learn the foreign language()?We will be ha 英语翻译Rain ,Rain ,go away come again some other day little Johnny wants to play Rain ,Rain ,go away Rain ,Rain ,go away come again some other day little Johnny wants to play Rain ,Rain ,go away
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn 说三道四技术文摘