起航学习网

- 让每个人都能学到最前沿新知识、新技能!
起航学习网
当前位置: 起航学习网 > 人在职场 > 移动数据窃取:共享应用库带来的风险

移动数据窃取:共享应用库带来的风险

时间:2021-05-02 15:44:32来源:深圳软件开发测试培训学校 作者:软件开发测试培训网 已有: 名学员访问该课程

前言: 研究人员表示很多移动应用使用的共享第三方库可能通过“库内串通”增加移动数据被盗的风险。 英国剑桥大学罗宾

研究人员表示很多移动应用使用的共享第三方库可能通过“库内串通”增加移动数据被盗的风险。

英国剑桥大学罗宾逊学院教授Alastair Beresford以及牛津大学博士生Vincent Taylor及副教授Ivan Martinovic在论文《Intra-Library Collusion: A Potential Privacy Nightmare on Smartphones》中详细谈到了这个问题。

根据研究人员介绍,这个问题经常被忽视,因为移动安全“通常会分别检查应用和第三方库”,但是,他们声称如果这些共享库被同时用于移动数据盗窃,可能会造成更大损失。

“这种攻击,我们称之为库内串通,当单个库嵌入到设备的多个应用就可能发生这种攻击,它可利用组合权限来窃取敏感用户数据,”研究人员写道,“库内串通攻击的存在是因为,如果库包含与主机应用及流行库相同权限,则可能被设备中多个应用使用。”

该研究小组共研究3万部智能手机,他们发现由于不同应用被授予不同权限,恶意攻击者可整合每个应用的权限,以构建用户配置文件或执行移动数据窃取。

应用安全软件供应商Checkmarx公司应用安全战略全球主管Matthew Rose称,恶意攻击者可使用多种方法来感染共享库。

“通常来看,第三方库由维护代码库的人员来维护。由于这些库有很多贡献者,有时候很难让一个人来负责整个库代码,而这可能会允许被插入恶意代码,”Rose指出,“还存在另一个问题,这些库可能继承其他代码库的功能,所以在风险和对现有第三方库的利用方面存在相互作用。”

研究人员表示,广告库可能获得额外权限,这使得这种攻击更加危险,因为这些库可未经用户同意下跟踪用户。

该研究侧重于Android系统,这是由于Android设备安装的应用列表数据可用,但该研究小组指出他们认为在iOS上也同样是如此,因为iOS系统存在相似的访问控制和应用部署。

截至发稿时,谷歌和苹果公司都没有对此发表任何评论。

移动数据盗窃和权限变化

不幸的是,研究人员并没有简单的解决方案来缓解库内串通导致的移动数据盗窃风险。这些研究人员指出有一种方法可限制授予这些库的权限,但这样做可能会影响开发人员通过其应用获利的能力,这会对“进入市场的新应用开发人员造成威慑,而最终也可能会让用户受到影响”。

此外,该研究小组建议,运营应用商店的企业或者国家机构可指定政策或法律来检测和删除恶意的第三方库,但每种方法都有各自的问题。检测很困难,因为应用可能有合法的理由将数据发送到设备外,并且,这种执法可能无法超出应用程序的范围。

Fidelis Cybersecurity公司威胁情报经理John Bambenek称:“恶意库可能不会被发现,但还有更简单的窃取移动数据的方法。”

“为了执行这种攻击,恶意攻击者需要创建一个库,由多个应用程序使用。随后他们会说服用户下载具有很多权限的应用,”Bambenek称,“在现实世界中,恶意攻击者首先会让受害者安装具有很多权限的应用,因为这样更直接和更容易。不过,我认为在短期内这种攻击不会被武器化。”

Rose称,更重要的问题是“人们在安装移动应用时需要知道它需要什么权限”。

“这个应用真的需要访问你的文件系统、地理位置或相机吗?请想一下该移动应用的预期用途是什么,并问自己是否需要比实际更多的权限,”Rose说,“如果权限请求与你的预期不符,则不要安装或者授予权限。”

Bambenek认为开发人员也需要谨慎小心,确保不会出现其应用通过超越权限尝试窃取移动数据。

“移动开发人员以及一般开发人员都需要关注编码安全性,以及最低权限,”Bambenek称,“开发人员应该采用这种开发模式,即编写只进行必要操作的代码,这样会非常有帮助。”

软件开发测试人才四大魅力元素

——就业竞争小

——高薪没商量

——就业质量高

——无性别歧视

套用狄更斯那句话说:对于急需软件开发测试人员的企业来说,这是一个最坏的时代,但对软件开发测试人才来说,这是一个最好的时代。“随着软件市场的成熟,人们对软件作用的期望值也越来越高,软件的质量和功能可靠性也正逐渐成为人们关注的焦点。”

文章出自:http://www.epx365.cn/jyzn/202179471.html

文章标题:移动数据窃取:共享应用库带来的风险



免责声明:本站文章均由入驻起航学习网的会员所发或者网络转载,所述观点仅代表作者本人,不代表起航学习网立场。如有侵权或者其他问题,请联系举报,必删。侵权投诉

(责任编辑:深圳学历教育网)
顶一下
(0)
0%
踩一下
(0)
0%
------分隔线----------------------------
------分隔线----------------------------
发表评论
请自觉遵守互联网相关的政策法规,严禁发布色情、暴力、反动的言论。
评价:
表情:
用户名: 验证码:点击我更换图片
培训学校
IT培训网 访问该机构站点 报名留言 加为好友 用户等级:注册会员 用户级别:10 机构名称:IT培训网 联 系 人:罗老师 联系电话:13783581536 联系手机:13783581536 在线客服:起航学习网客服 在 线 QQ:起航学习网客服 电子邮件: 网站域名:http://www.cnitedu.cn 注册时间:2016-07-18 11:07 最后登录:2021-05-02 14:05