國外一群研究人員發(fā)現(xiàn)Android、Windows和iOS移動(dòng)操作系統(tǒng)中存在著一個(gè)共有的漏洞，他們相信黑客們可以利用這個(gè)漏洞輕松地竊取那些警惕性較差的用戶的個(gè)人信息。

那些研究人員中包括加州大學(xué)河濱分校伯恩斯工程學(xué)院的一位助理教授，他們演示了利用該漏洞入侵Android手機(jī)的過程。

研究人員們?cè)?款最流行的應(yīng)用上對(duì)入侵的方法進(jìn)行了測(cè)試，發(fā)現(xiàn)入侵其中6款應(yīng)用時(shí)的成功率在82%到92%之間。最容易被入侵的應(yīng)用包括Gmail、CHASE Bank和H&R Block。相比之下，最不容易被入侵的應(yīng)用是亞馬遜，成功率只有48%。

那些研究人員已于8月22日在圣地亞哥舉行的第23屆USENIX安全研討會(huì)上發(fā)表了題為《偷窺你的應(yīng)用：UI狀態(tài)推論和Android攻擊新方法》的報(bào)告。這份報(bào)告的作者包括：加州大學(xué)河濱分校伯恩斯工程學(xué)院計(jì)算機(jī)科學(xué)與工程系錢志云（Zhiyun Qian，音譯）、密西根大學(xué)助理教授莫雷毛（Z. Morley Mao）以及他帶的博士生陳奇（Qi Alfred Chen，音譯）。

研究人員們相信，他們使用的入侵方法在其他操作系統(tǒng)上同樣有效，因?yàn)檫@種入侵方法利用了Android系統(tǒng)中的一項(xiàng)關(guān)鍵功能，但是他們并未在其他操作系統(tǒng)上進(jìn)行測(cè)試。

他們之所以做這項(xiàng)研究主要是因?yàn)樗麄冋J(rèn)為由這么多開發(fā)員去開發(fā)這么多的應(yīng)用本身就存在安全隱患。當(dāng)用戶將一批應(yīng)用下載到自己的智能手機(jī)上的時(shí)候，那些應(yīng)用將在同一個(gè)基礎(chǔ)設(shè)施或操作系統(tǒng)上運(yùn)行。

錢志云說：“人們通常會(huì)認(rèn)為這些應(yīng)用彼此之間不能輕易互動(dòng)，但是我們證明了這一假設(shè)是不成立的，實(shí)際上一款應(yīng)用可以對(duì)另一款應(yīng)用造成巨大的影響，并給用戶帶來不利的后果。”

他們使用的攻擊方式會(huì)讓用戶去下載一個(gè)看似良性實(shí)乃惡性的應(yīng)用程序，比如管理手機(jī)背景圖片的應(yīng)用。一旦那個(gè)應(yīng)用被安裝到手機(jī)上，研究人員就能利用他們新發(fā)現(xiàn)的通道即某進(jìn)程的共享內(nèi)存統(tǒng)計(jì)數(shù)據(jù)發(fā)起攻擊。

研究人員們通過監(jiān)控共享內(nèi)存的變化將那些變化與各種“活動(dòng)轉(zhuǎn)變事件”比如用戶登錄Gmail或H&R Block等一一對(duì)應(yīng)起來，然后再利用其它的一些通道準(zhǔn)確地追蹤到目標(biāo)應(yīng)用正處于何種狀態(tài)。

這種攻擊方法有兩個(gè)關(guān)鍵點(diǎn)。一是攻擊必須在用戶登錄應(yīng)用或拍照的時(shí)候進(jìn)行；二是攻擊必須在用戶不知情的情況下進(jìn)行。研究人員們?cè)跍y(cè)試時(shí)小心謹(jǐn)慎地計(jì)算了發(fā)動(dòng)攻擊的時(shí)間。

錢志云說：“從設(shè)計(jì)上來說，Android運(yùn)行應(yīng)用被強(qiáng)占或攔截，但是你必須在特定的時(shí)間這樣做，那樣用戶就不會(huì)察覺到。”

他們制作了3個(gè)短片來演示攻擊的方法和過程。

研究人員們測(cè)試的7款應(yīng)用和對(duì)應(yīng)的入侵成功率分別為：Gmail（92%）、H&R Block（92%）、Newegg（86%）、WebMD（85%）、CHASE Bank（83%）、Hotels.com（83%）和Amazon（48%）。

亞馬遜是上述應(yīng)用中最難被攻破的應(yīng)用，因?yàn)樗膽?yīng)用允許某項(xiàng)活動(dòng)被轉(zhuǎn)變成其他任何活動(dòng)，這樣就增加了攻擊者猜對(duì)當(dāng)前活動(dòng)的難度。

當(dāng)被問及智能手機(jī)用戶應(yīng)該如何避免受到這個(gè)問題的困擾時(shí)，錢志云回答說：“最好的做法就是不要安裝不信任的應(yīng)用。”他說，以后在操作系統(tǒng)的設(shè)計(jì)上應(yīng)當(dāng)更小心地在安全和功能之間尋找一個(gè)平衡點(diǎn)。（林靖東）