说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

深度解析:Android4.2系统“应用验证服务”

HTML文档下载 WORD文档下载 PDF文档下载
一直以来安全都是Android系统的最大难题,尽管Google想方设法进行改善却似乎一直徒劳无功。在Android 4.2系统中Google加入了全新的应用验证服务以提高系统安全性,但其检测效果却远远不如旗下的VirusTotal服务。

界面改动并不明显的Google Android 4.2系统在其内在却有着大幅改进,此前CSDN在《揭秘Android 4.2开发者的天堂与地狱》一文中也对Google这一最新系统进行了详尽的介绍。从Android 4.2发布到现在,人们争相体验并对其功能改进表示赞许,但被业界一直视为软肋的安全问题却在一定程度上被掩盖。

据悉,在Android 4.2系统中,Google加入了一个被称之为“应用验证服务”的安全系统服务(application verification service,这项全新的恶意软件扫描功能可以抵御具有危害性或潜在威胁的应用入侵。据Google Android团队成员Michael Morrissey在Google+中介绍,“现在使用Android 4.2系统的用户可以从Google Play上安装一个使用Google的选项作为应用验证。只要你安装了该项服务,无论你的移动设备是如何安装应用的,我们都将对应用程序进行验证以确保没有危害性的东西侵害系统。”

图:Michael Morrissey

话虽如此,但新安全系统验证服务是否真的有效?且该项服务主要针对恶意应用,那来自第三方的安全的应用程序是否也执行如此操作?为此,来自美国北卡罗来纳州立大学计算机科学副教授Xuxian Jiang特组织团队对Android 4.2该项应用验证服务进行了全面研究。

图:Xuxian Jiang

揭开Android 4.2应用验证服务的神秘面纱

尽管这项新服务是专为Google Play官方应用定制,但其工作流程设计却针对所有应用商店。用户可以通过“Settings(设置)”、“Security(安全)”和“Verify apps(验证应用)”等操作开启或关闭服务。

图:Android 4.2应用验证服务工作流程示意图

在服务开启时,当用户开始安装应用系统将会自动收集并向Google云端发送相关信息(比如设备的ID和IP地址),之后Google云端将会响应一个验证结果。如果应用是不安全的,用户的移动设备就会收到一个显示该款应用是恶意的或具有潜在威胁的警告提示,恶意应用将无法安装。对于具有潜在威胁的应用,系统会弹出一个继续还是终止的安装选项提示框。

图:是否开启应用验证服务

图:检测到具有潜在威胁的应用程序

图:检测到恶意的应用程序

Android:扶不起的阿斗?

无论Google Android开发团队对自己开发的服务如何地打包票,但实践是检验真理的唯一标准,Jiang团队收集了在研究社群中已被广泛分享的来自49个不同的恶意软件族的1260个样本,对包括Nexus 10平板电脑在内的Google最新的运行Android 4.2系统的设备进行使用验证检测,结果却是让人大跌眼镜,在1260个样本中,只有193个被检测出为恶意应用,检测率低于15.32%,这表明Google费尽心机研究开发的这项全新的安全验证服务的性能实在太低。

图:1260个恶意软件检测结果详细列表

Android 4.2败在Google自己手上?

尽管在实战之中Android 4.2的应用验证服务结果并不如人意,但Jiang团队并没有急着下结论,他们又进行了另外一组实验,将该项应用验证服务和现有的第三方杀毒引擎进行对比,即从每一个恶意软件家族挑选一个样本,并使用VirusTotal服务(Google于2012年9月新收购的安全公司)进行检测验证,但其结果依然令人很失望。

图:与其他10款常见的杀毒引擎的详细对比

在第二次实验中,Jiang团队使用了VirusTotal服务中常见的10款杀毒引擎,即Avast,AVG,TrendMicro,Symantec,BitDefender,ClamAV,F-Secure,Fortinet,Kaspersky和Kingsoft。将其安全检测结果与Android 4.2新应用验证服务结果进行对比。这些常见的杀毒引擎检测率在51.2%——100%之间,而Google的新服务检测率才是20.41%。应用验证服务毫无悬念地败给了这些常见的杀毒引擎。

图:Google新服务与其他10款常见的杀毒引擎平均检测率对比

这也表明,Google虽然信誓旦旦地表示要加强自家服务保护并兴师冲冲地收购了网络安全创业公司VirusTotal,但其结果却显而易见,Google并没有做出太多的改观,反而忽视了VirusTotal的优点所在。

安全之路,Google任重而道远

虽然Android 4.2的这项新的应用验证服务其安全检测结果并不理想,但这也已表明Google正在信守承诺不断地提高Android系统的安全性,尽管还需要很大的提高与改善。

这项应用验证服务主要基于SHA1值和包来确定应用是否恶意或存在潜在威胁,这样的机制是非常脆弱的。如果攻击者通过重新包装或变异等方式改变现有的恶意应用的校验和,这项功能服务将很容易被绕过。而为了更有效更准确地判断应用的危险性,应用验证服务需要收集更多的相关信息,这在一定程度上有侵犯用户隐私的嫌疑。

在此项安全系统服务中,Google并没有将VirusTotal整合进去,而从测试结果来看,VirusTotal的性能要远远高于这项独立的服务,对此也希望Google能够有所反省,不要因为暴殄天物而一失足成千古恨。

Tizen真要来了!又有15家IT大佬成帮会成员 研发周报:开源世界应该致谢的五家公司 Square、LinkedIn、Google... 看国外巨头如何“绑架”用户? 一周消息树:5.5寸屏幕的iPhone 6概念机来袭、索契冬奥会开幕式现Bug 一周热点:美国大学生数学建模分析,Hadoop不是万能,探访雅虎数据中心 Google Play services 4.2全球推送,完全支持Chromecast! 移动周报:最快的Web开发IDE——HBuilder Google Glass是空有噱头还是实用品? 服务好“最后一公里”,高效CDN架构经验 “义军”突起,帮用户夺回大数据控制权 为安全,Google收购基于超声波密码验证技术公司SlickLogin 2014 Shenzhen Maker Faire:国内顶级创客聚会即将举行 若无创新,智能手机将是死路一条 任道远上任VMware中国研发中心总经理 Windows免费,微软方能解救PC市场 Hadoop核心架构HDFS+MapReduce+Hbase+Hive内部机理详解 将会出现iCar?苹果应该收购特斯拉的七大原因 广大程序员的福音:Bing Code Search扩展助你方便查找代码 深挖线下价值是当前婚恋交友网站获取盈利的突破点 15个最好的Bootstrap设计工具推荐 Google首席软件工程师Joshua Bloch谈如何设计一款优秀的API【附PPT】 Webix 1.5发布:一个强大的JavaScript UI组件库 四大著名风投:在我们眼中只有技术革新 美女CEO谈AWS:是香水还是毒药 国外一学生发明新计算机系统,用微芯片代替硬盘 《近匠》第12期:Yeelink——智能硬件云服务 三星Galaxy S5:home键内置指纹识别传感器、5.25寸2K屏幕 Google发布Google Glass使用守则 三星将发布新款智能手表 搭载Tizen系统抛弃Android 从Camera360 V5版本发布,看现代相机应用趋势 索契冬奥会API:赛事的数据直播 求购 产品进销存源代码 VB or c# +SQL SERVER @@@@@@ 不送分而送现金!!!!! 谁能教我配置PHP服务器啊? 帮我看一下, 紧急求救!!!jsp的出错信息! 如何合并两个Image对象为一个Image对象 还有一个问题,帮帮我嘛! 高分请教高手!简单,看了你也是高手 代码编辑器的问题。 计论:大家都用什么工具进行数据库的比较? 我高中的班主任 请大家评评理,特别是JAVA版版主! 这样的SQL语句怎么写啊 form切换!VB.net里面如何在语句里调出别的FORM 如何用ADO连接EXCEL数据? 什么是上溯造型? 如何把console.write 输出很多内容保存到文件?thread.join()如何使用? 我想实现像网络蚂蚁那样在IE上点右键,把这个IE中的信息传送给我主程序,现在遇到两个问题! 控件的布局问题? 实例化算不算继承? 急!!!!关于SQL数据堵塞 请大家推荐一下哪个汇编集成环境比较好用?DOS下用什么?WIN下用什么? 向各位请教两个tomcat的问题:(谢谢) 高手请问 拉格朗日算法VB=>BCB 求ASP的字符串比较函数. 找C++BUILDER高手!! 我在做演示光盘,用camtasia录制的屏幕图象,可是在客户的机器上播放不出来,在线等待,解决问题马上揭贴! fastreport如何不进行预览而直接打印! 不使用下拉数据窗口,如何实现输入产品代码即可显示产品名称 大哥救命啊 一个简单问题,在一个Win32 applicaion 中如何使用CString变量! 在线等待! 倒霉!!!平白无故被副总扣了100点! 我高中的班主任 JBuilder的爱好者,请留下您的联系方式!谢谢,让我们共同进步! 未指定默认数据库驱动…… VC中如何添加数据库支持? 栽ejb-jar.xml中部署的Ejb QL怎么和Home接口中声明的查询连接起来,必须以ejbSelect开头吗? 如何通过程序调用荧光笔操作?急,在线等!高分相送啊! 表格宽度 发现我的作文水平如果参加今年高考能得满分(仅限作文) 送100分,JB7+JBoss下,用CMP方式建两个EntityBean,比如DIfsZxx(主键所在实体),DIfsZxxRw(外建所在实体),当两者之间关系设为。。。。 谁能够告诉我所有ACCESS数据类型的英文名字?偶在VB中有用到! 请问如何才能使用asp连接foxpro数据库,使用oledb 启动出现找不到windows\system\service.vbs怎么回事??但进入系统正常,如何去掉??? Datagrid!!! 大家能不能推荐一个免费个人主页啊。 大家来帮我看看PHP连接ACCESS数据库的问题! 大家讨论一下这种软件的开发机制和速度优化机制,有没有可能进入代理内部? 放分拉,关于struts的问题,如何在action类中调用ApplicationResources.properties中的信息!!进者有分!! 如何基于对话框打印表格(比如个人简历)在线给分! 今天刚装了新的内核,所以写出过程供大家参考! 一个急需要解决的问题??? 一个有酒精的啫哩!12度的!里面有多少酒精量? 人心最初是善还是恶? 拖字怎样换偏旁 照样子写成语 兴国安邦 克服 用英语短语怎么说. eight eges.wang! 已知直线l:ax+2y-3=0和圆C:x^2+y^2-4x+2y-9=0,当a为何值时,直线与圆相交! 求 深入浅出 兴国安邦 式成语(各5个)深入浅出 ,前两个字为一个意思,后俩个字为这个意思的反义词* * ^ ^ 兴国安邦 ,前两个字为一个意思,后俩个字为这个意思的近义词* * ^ ^ 奎 一个意思组一个词 直线4x+3-10=0,2-y-10=0和ax+2y+8=0交于一点,求a 兴国安邦这个成语中,国和邦是一组近义字,还有没有其它的成语也是这个类型的?一定要准确噢!谢谢! 余与芸寄届……此真乡居之良法也的文言文解释 china miyota 兴国安邦 置之不理 恍然大悟 饱经风霜.近义成语和反义成语有哪!写大哥大姐快说 速度! 军加偏旁可以组成什么字 天上有多少颗星 1.根据“使国家兴盛安宁”的意思写出的成语是“兴国安邦” 对还是错?( )2.对联实际上是对偶句,它最明显的特点是对仗工整.对还是错?( ) 3.《我的伯父鲁迅》结尾“他为自己想得很少, 用奇峰异岭造句 我想知道为什么外国的数学比我们简单那么多 怪石()()填成语 奇峰异岭的造句 学数学与应用数学出来干嘛 某合金为(Mg与Al组成物质)与足量的稀硫酸产生ymol的气体,合金的物质的量为7mol,y=8.5mol,我的算法不知道哪错了 设MgaAlb(a,b为角标系数)Mg(n)~H2(n)=7a 2 Al(n)~3H2(n) Al为7b H2=10.5b7a+10.5b=8.5 奎,拼音 《与朱元思书》全文 65gZn加入过量的10%的稀硫酸,得到106.3g溶液.求反应后溶液中H2SO4的质量. “奎” 怎么读?请给我拼音,D 与朱元思书全文 善痣和恶痣的区别?我的右脸,眼皮下鄂骨上有个,脖子上有个,左胸上靠腋下的地方有个(都是小圆点的痣),另外左小腿外侧也有个痣上面还有毛,问这几个痣的好坏,需不需要点掉的.抄袭的滚 奎这个拼音叫什么字 与朱元思书的全文是什么 好与善,坏与恶的区别是什么?是是非非 求各位数学高手,算出阴影部分面积,步骤详细 外国人论中国人吃的文章是一个外国人形容中国人什么都吃的文章! 如下图,A、C、D的对面分别是什么面?四、等量代换 (1)一只小猴子的重量等于2只松鼠的重量;一只松鼠的如下图,A、C、D的对面分别是什么面?四、等量代换(1)一只小猴子的重量等于2只松 若a、b、c、d都是实数,求证:(a2+b2)(c3+d2)大于等于(ac+bd)2 Mastercam 用中文怎么读 什么样的痣叫善痣,什么样的痣叫恶痣?红色的痣是什么痣? xing ( )高 看拼音写汉字 鲁迅说中国人发明了指南针,外国人拿去航海,中国人却拿着看风水;出自鲁迅的哪本书?文章名?原话是什么记得鲁迅先生早就说过,中国人发明了指南针,外国人拿去航海,中国人却拿着看风水; 【目送.龙应台】本文从目送儿子过渡到目送父亲的过渡句是? 气象万千、风云变幻、奇峰异岭、若隐若现、腾云驾雾、飘飘欲仙、白云苍狗、瞬息万变 的意思 求一篇英语短文:外国人和中国人装着打扮颜色的不同不要有语法错误 什么是善痣和恶痣? 有什么英文单词发“wang”和“xing”这个音的?或是组合起来的,本人起英文名字哦.. 成语大全 四字成语 什么事善痣什么是恶痣 气象万千,风云变幻,奇峰异岭,若隐若现,腾云驾雾,飘飘欲仙,白云苍狗,瞬息万变,选其中的两三个词语写一段话. 怎么用“博览群书”造句呀? 什么是善痣?什么是恶痣? 请英语高手帮我取两个英文名?wang xing,最好和中文有斜音,然后中文意思像男孩子,好读! 翻译词组,(交朋友) 求两条蓝色线段与圆的交点的坐标,最好能用圆的参数方程解决1 名字带奎字什么意思 超难的物理题,求教T^T 求过点A(-2,3),B(4,5)的直线的参数方程,并求出它与直线2x-3y+1=0的交点坐标如题. “奎”字的意思?是不是可以是皇帝的意思. 酒精泄露量超过多少为大量泄露 已知一点的坐标,怎么求得它的参数方程, a.b为不等正实数,a方-b方=a立方-b立方证a+b大于1相当相当难 美国起诉英国黑客盗取机密文件 英当局英国女子不愿找工作 靠生育9名子女领卜拉希米:阿萨德可为建设新叙利亚作出也门首都萨那发生枪战 交火地点临近美美参院情报委员会主席吁对美情报工作大日新人古老列车举办婚礼 盘点全球独一联合国环境署肯定中国为可持续发展所作青海民间手工艺展在曼谷拉开\"今日中美参议院情报委员会主席:白宫已承诺停美国监听门事件愈演愈烈 白宫承诺将重美国军火巨头创新型侦察工具 可安放于华人男子失业 纽约杀表嫂一家5口提审美国军火巨头创新型侦察工具 可安放于英国海军借“小甜甜”歌曲“吓退”索马津巴布韦男子蝉联最丑先生 自称丑与生奥巴马以“不知情”回应窃听风波 政客美华人五口被害:嫌犯曾与被害家庭争吵男子头戴丝袜闯婚礼震惊来宾 抢走数千杰克逊私人医生穆雷提前出狱 歌迷不满中国:联合国的钱应该多花在发展领域新加坡南洋理工大学设翻译奖学金蔡康永将以天价转战内地厉以宁:实际GDP比公布的高 不必对七常委如何依法治国:建设法治政府尤为异地就医先备案一代卡也可即时结算环境改善白鹭“入驻”遗失声明伊能静怀孕停工?回应“无稽之谈”花甲林青霞再出新书封面照简直“美哭了“摆渡爷爷”不着急 马上就修新桥了法治中国 实现长治久安的必由之路诚信老板李达 商品有问题全召回泸州市中医医院开展关爱疼痛病患者活动亚硝酸盐腌腊肉 老板被禁业判刑泸医中医院率先启动全民预防保健指导工股王论剑·白杰品股成都317个乡镇年底建立环保机构雾霾天护眼手段需谨慎牙齿一接触到凉水就痛 小心牙髓炎喜帖曝光 赵又廷下月迎娶高圆圆【娱乐圈问答】红叶季 398元游木格措
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn 说三道四技术文摘