说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

深度解析:Android4.2系统“应用验证服务”

HTML文档下载 WORD文档下载 PDF文档下载
一直以来安全都是Android系统的最大难题,尽管Google想方设法进行改善却似乎一直徒劳无功。在Android 4.2系统中Google加入了全新的应用验证服务以提高系统安全性,但其检测效果却远远不如旗下的VirusTotal服务。

界面改动并不明显的Google Android 4.2系统在其内在却有着大幅改进,此前CSDN在《揭秘Android 4.2开发者的天堂与地狱》一文中也对Google这一最新系统进行了详尽的介绍。从Android 4.2发布到现在,人们争相体验并对其功能改进表示赞许,但被业界一直视为软肋的安全问题却在一定程度上被掩盖。

据悉,在Android 4.2系统中,Google加入了一个被称之为“应用验证服务”的安全系统服务(application verification service,这项全新的恶意软件扫描功能可以抵御具有危害性或潜在威胁的应用入侵。据Google Android团队成员Michael Morrissey在Google+中介绍,“现在使用Android 4.2系统的用户可以从Google Play上安装一个使用Google的选项作为应用验证。只要你安装了该项服务,无论你的移动设备是如何安装应用的,我们都将对应用程序进行验证以确保没有危害性的东西侵害系统。”

图:Michael Morrissey

话虽如此,但新安全系统验证服务是否真的有效?且该项服务主要针对恶意应用,那来自第三方的安全的应用程序是否也执行如此操作?为此,来自美国北卡罗来纳州立大学计算机科学副教授Xuxian Jiang特组织团队对Android 4.2该项应用验证服务进行了全面研究。

图:Xuxian Jiang

揭开Android 4.2应用验证服务的神秘面纱

尽管这项新服务是专为Google Play官方应用定制,但其工作流程设计却针对所有应用商店。用户可以通过“Settings(设置)”、“Security(安全)”和“Verify apps(验证应用)”等操作开启或关闭服务。

图:Android 4.2应用验证服务工作流程示意图

在服务开启时,当用户开始安装应用系统将会自动收集并向Google云端发送相关信息(比如设备的ID和IP地址),之后Google云端将会响应一个验证结果。如果应用是不安全的,用户的移动设备就会收到一个显示该款应用是恶意的或具有潜在威胁的警告提示,恶意应用将无法安装。对于具有潜在威胁的应用,系统会弹出一个继续还是终止的安装选项提示框。

图:是否开启应用验证服务

图:检测到具有潜在威胁的应用程序

图:检测到恶意的应用程序

Android:扶不起的阿斗?

无论Google Android开发团队对自己开发的服务如何地打包票,但实践是检验真理的唯一标准,Jiang团队收集了在研究社群中已被广泛分享的来自49个不同的恶意软件族的1260个样本,对包括Nexus 10平板电脑在内的Google最新的运行Android 4.2系统的设备进行使用验证检测,结果却是让人大跌眼镜,在1260个样本中,只有193个被检测出为恶意应用,检测率低于15.32%,这表明Google费尽心机研究开发的这项全新的安全验证服务的性能实在太低。

图:1260个恶意软件检测结果详细列表

Android 4.2败在Google自己手上?

尽管在实战之中Android 4.2的应用验证服务结果并不如人意,但Jiang团队并没有急着下结论,他们又进行了另外一组实验,将该项应用验证服务和现有的第三方杀毒引擎进行对比,即从每一个恶意软件家族挑选一个样本,并使用VirusTotal服务(Google于2012年9月新收购的安全公司)进行检测验证,但其结果依然令人很失望。

图:与其他10款常见的杀毒引擎的详细对比

在第二次实验中,Jiang团队使用了VirusTotal服务中常见的10款杀毒引擎,即Avast,AVG,TrendMicro,Symantec,BitDefender,ClamAV,F-Secure,Fortinet,Kaspersky和Kingsoft。将其安全检测结果与Android 4.2新应用验证服务结果进行对比。这些常见的杀毒引擎检测率在51.2%——100%之间,而Google的新服务检测率才是20.41%。应用验证服务毫无悬念地败给了这些常见的杀毒引擎。

图:Google新服务与其他10款常见的杀毒引擎平均检测率对比

这也表明,Google虽然信誓旦旦地表示要加强自家服务保护并兴师冲冲地收购了网络安全创业公司VirusTotal,但其结果却显而易见,Google并没有做出太多的改观,反而忽视了VirusTotal的优点所在。

安全之路,Google任重而道远

虽然Android 4.2的这项新的应用验证服务其安全检测结果并不理想,但这也已表明Google正在信守承诺不断地提高Android系统的安全性,尽管还需要很大的提高与改善。

这项应用验证服务主要基于SHA1值和包来确定应用是否恶意或存在潜在威胁,这样的机制是非常脆弱的。如果攻击者通过重新包装或变异等方式改变现有的恶意应用的校验和,这项功能服务将很容易被绕过。而为了更有效更准确地判断应用的危险性,应用验证服务需要收集更多的相关信息,这在一定程度上有侵犯用户隐私的嫌疑。

在此项安全系统服务中,Google并没有将VirusTotal整合进去,而从测试结果来看,VirusTotal的性能要远远高于这项独立的服务,对此也希望Google能够有所反省,不要因为暴殄天物而一失足成千古恨。

ID爆发的物联网时代,我们该如何管理手中的数百个账户 取代Google Maps?苹果大幅优化Apple Maps用户体验 中交兴路系统架构师杨晓明:Hadoop+Storm+ HBase…,打造交通行业创新型服务 雨果·巴拉的第二春:我与小米的那些事儿 为什么Android Wear能统领智能手表领域? LinkedIn缘何抛弃Ruby,转投NodeJS怀抱 【OSTC讲师专访】九秒社团李明:开源对游戏产业的渗透与帮助 IBM 2014中国论坛:挖掘新互联网时代下“智慧企业”的发展之路 Facebook工程部副总裁Cory Ondrejka谈企业在早期所遇到的管理瓶颈 小团队管理工具选择:不需要大而全 《近匠》聚合CEO左磊:基础数据免费,API开放 IDC:HTML5与原生应用之争还将长存 不甘称臣,Google誓要击败Amazon 【OSTC讲师专访】腾讯追风(QcloudMna):开源移动加速SDK Google Go:一门为云而生的编程语言 3月26日:没有Larry Page,就没有今天的Google Hortonworks再获1亿美元融资,Hadoop领域三足鼎立 Intel收购Basis Science,欲拓展可穿戴设备市场 Facebook以20亿美元收购Oculus:虚拟现实将是未来计算平台又一大事件 基于NodeJS的14款Web框架 Hadoop导航:版本、生态圈及MapReduce模型 把黑匣子送上“云” 失联困境能否不再 看看全球十大电信巨头的大数据玩法 尹绪森:打开圈子拥抱变化,谈Spark玩家的自我修养 从Healthbook看苹果将如何颠覆移动医疗和健身追踪 Google可穿戴:详解Android Wear的十大功能 初创企业非技术人员的迷思 【OSTC讲师专访】王兴博:Genesis-3D,3D开源游戏引擎 Facebook发布开源项目Tweaks,让iOS应用开发更加便捷 移动开发创业团队再下一城!UCloud与飞流战略合作 【走进支付宝】即将开场,问题大征集! 哪里有卡通警察???? 如何实现在子窗口中加上listctrl等控件?谢谢! 哪里有好用的Win2000下用的五笔软件? 对IP数据包截获,过滤,TCP协议分析的朋友请留下email 高手请进!50分赠送!!!!!!!!!!!!!(运行正确即送分)! 一个关于dropdowndw的问题 普通PC是否有装UNIX的必要? 谁有好的加密算法介绍几个,在这里谢谢大家了! alter table--问题 请求帮助!help me!回答正确一定给分 哪里有卡通警察???? int64@163.com 我在一个.CPP文件中定义了一种ENUM类型,我怎样在其他的.CPP中定义此ENUM类型的变量? 小问题 Crystal reports的问题 a question about sqlserver + delphi 有关数据库的设计 请问谁有360度可以许多张图片旋转的代码。 各位大虾,kde下的KDevelop怎么用,尤其是C++编程? 急!急!急!急!急!急!急!急! 我该如何调试一个进程外的exe组件呢?我该如何调试一个进程外的exe组件呢? 打包的问题? 如何在一个MFC程序中取得theApp的指针?? vb与ACCESS200以上版本的兼容性问题 怎么做到的录像? 能不能在基于对话框的程序里实现串行化? MS专家请进:行锁定问题 怎样得到一个文件的扩展名 我在VB中引用了"Microsoft DAO2.5/3.5 compatibility Library",请问在做安装程序时要添加什么DLL和库文件? 高手请进!35分赠送!!!!!!!!!!!!!(运行正确即送分)! sos sos sos 求一源程序或者代码,或者详细制作方法 求教:用java怎样写,内详。 那位兄弟介绍一下国外的找工作情况 在我的主程序中调用ActiveX DLL的问题。 急救:ucdos98,如有请发给我,guicheng.wang@hisensecom.com 高分感激!!! 一个简单的问题? 买了个内置硬猫,装上驱动后机器慢得要命,好象一直在等待什么,而此时system进程占用cpu为99%。 关于专用打印机指令问题!!! 候捷和候俊杰是什么关系?? Crystal Reports的问题 什么是命名空间? 请问怎样订阅google上的新闻组?? 浏览器中的时间选择 谁知道程序员大本营2001光盘那个EXE文件的制作方法吗? 为什么没有actionscript的论坛?那个可是前沿啊/ 错误类型:Microsoft JET Database Engine (0x80040E09)是什么错误啊?请大虾们帮忙! 紧急:请问怎样在windows me中添加、设置并使用传真机 有谁有字节序转换的c代码?现在我要将网络字节序和主机字节序相互转换,但又不能调用api,不知那位大侠可以帮忙?先谢了! 用.NET制作安装盘的一些问题 有谁有字节序转换的c代码?现在我要将网络字节序和主机字节序相互转换,但又不能调用api,不知那位大侠可以帮忙?先谢了! 不能访问asp文件了?? 能做到让页面不刷新吗? 什么是绝压,什么是差压 养鸡场的母鸡产的蛋不能孵出小鸡,原因可能是? 母鸡如何受精孵出小鸡的?小时候在乡下看见过母鸡孵小鸡,但就是搞不懂母鸡怎样受精的,我从没见过鸡交配?请高人了却我好几年的疑惑 谁知道真空度、表压、绝压的区别 母鸡从来没有跟公鸡接触过,母鸡生出的蛋能孵出小鸡吗? 母鸡孵化鸡蛋,有的蛋可以孵化成小鸡,有的不行.请问公鸡是怎样使母鸡受精的? 差压的含义是什么? 为什么公鸡不在时!母鸡能生蛋却孵不出小鸡来. 寻,尺,丈,里都是古代的长度单位,请按由小到大的顺序排例 1.74Mpa(表压)是多少绝对大气压? 自然环境描写如何起到暗示社会环境的作用?从资料上看到自然环境描写的作用之一是“暗示社会环境,揭示社会本质特征”.我不太理解这一点,谁能给我举一个例子? 长度单位寻,丈,尺,寸从大到小排列是 谁能用最通俗易懂的语言阐述表压 绝压 大气压 真空度之间的关系 语文阅读中自然环境描写和景物描写的具体区别? 质量为m的物体从静止开始自由下落,不计空气阻力,在t秒内重力对物体做功的平均功率是? 请问麦式真空表测出来的绝压跟当地的大气压有什么关系?麦式真空表测出来的绝压跟大气压有关系莫? 点击 我为少男少女们歌唱 第三节中,诗人把“快乐或者好的思想”比作 和 ;这两者的相似点是 我等十分钟 物体从高处自由若不计空气阻力则重力做功的功率将如何变化 为什么母鸡孵蛋可以孵出小鸡?人却不行?母鸡是怎么孵出小鸡来的? 现代文品读文言诗文点击 我为少男少女们歌唱2009年版 寻,里,尺,丈大小排列帮帮忙 是不是所有的鸡蛋都能孵出小鸡? 初一语文题:仿照《我为少男少女们歌唱》写一节诗.我为少男少女们歌唱.我歌唱早晨,我歌唱希望,我歌唱那些属于未来的事物,我歌唱我歌唱正在生长的力量.我的歌呵,你飞吧,飞到年轻人的 “寻、尺、丈、里”的单位排序按照古文中的顺序从小到大排列. 城市的鸡蛋达到一定温度可以孵出小鸡来吗?要孵多少天? 青春的梦想诗歌(仿照我为少男少女们歌唱) 我为少男少女歌唱 少男少女有什么含义 是升华要的温度高还是熔化要的温度高?如果升华要的温度高,那钨丝的熔点是3000摄氏度以上,日光灯的温度在2000摄氏度左右,为什么钨丝却能够升华?如果升华要的温度低,那他应该连熔化的温 语文阅读题经常问表现手法,或者写作手法,请问有哪些,各表达什么作用? 主要内容 普通家庭怎么把鸡蛋孵成小鸡 我为少男少女们歌唱的内容和来源是什么 我为少男少女们歌唱 里的少男少女有什么深层的含义 表压在1公斤和2公斤的压力下天然气中C5的露点?二楼的,请问您是在哪里找的?可以的话,给个根据好吗? 1.概括第二节所表达的意思______________________________________________________2.诗首句说“我为少男少女们歌唱”,可接着说“我歌唱早晨……歌唱那些正在生长的力量”,这样写是否突兀?为什么?________ 单位长度怎么数怎么数?就是这个.数单位长度、要不要算起点和终点.还是数起点不数终点还是数终点不数起点? 除氧器安全阀压力是表压还是绝压 描写一种大自然的声音大自然的声音丰富多彩,但要将其描绘得生动传神.还需要妙笔生花.比如"蝈蝈在窃窃私语" 根据鸡蛋的外形如何判断孵化后的小鸡是公鸡还是母鸡 燃气热水器夏季模式时有煤气味刺眼,是燃气没烧尽吗?自已可以调吗?燃烧时是中间大火两边没什么火 《我为少男少女们歌唱》作者为什么说他变年轻了? 我为少男少女歌唱我为少男少女们歌唱.我歌唱早晨,我歌唱希望,我歌唱那些属于未来的事物 我歌唱正在生长的力量.我的歌呵,你飞吧,飞到年轻人的心中 去找你停留的地方.所有使我像草一样 描写年轻人啊,学生的古诗,就是写什么朝气蓬勃的精神啊什么的,也可以是适合中学生朗诵的古诗就是相当于少壮不努力,老大徒伤悲那种的 要押韵点的,还有,一定要是古诗! 家用自吸泵的电容怎么接就是线圈的三根线、和电容还有220V外线怎么接 最大的数字单位是兆吗? 若将诗歌我为少男少女们歌唱改为我为青少年歌唱好不好?为什么? 生活在黄土高原上的人们为什么大多居住在窑洞呢 怎么辨别母鸡生出的蛋是孵小鸡的 阅读小诗,《青年人》青年人青年人,珍重的描写吧,时间正翻着书页,请你着笔!1.诗中“描写”“着笔”用的好不好,为什么?2.本是所要表达的主旨是什么? 港华燃气的天然气硫份是多少 兆是什么单位,数字后面有几个0?要正确的,不要胡编 语文中环境描写中的社会环境描写有什么作用 石油硫含量的标准是什么我说的是石油啊,哥哥! 兆后面的数字单位是什么?如题··· 描写天气阴沉的句子句子一定要好,必须要描写天气阴沉 刚生出来的小鸡蛋,母鸡不在旁边可不可以孵出小鸡?可以的话请说怎么孵.意思是母鸡不在小鸡蛋的身边,,我只有小鸡蛋,,怎么让它孵出小鸡? 天然气或液化气的总硫含量单位由mg/m3如何转换成ppm,可现在又不让用ppm,应换成什么呀! 压力变送器的表压和绝压到底是什么样的概念呢? 母鸡孵鸡蛋可以孵出小鸡来,我去孵鸡蛋,能不能孵出小鸡来? 鸡蛋放在冰箱里还能孵出小鸡吗?(受精过的)
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn 说三道四技术文摘