财神彩票 > 产品评测 > 无NFC的手机不买? 安卓曝NFC漏洞可植入恶意代码

原标题:无NFC的手机不买? 安卓曝NFC漏洞可植入恶意代码

浏览次数:102 时间:2020-02-02

每当人们出入小区门禁或乘坐公交地铁时,使用带有NFC(近场通信,Near Field Communication)功能的手机即可快速刷卡通过,为大家的生活出行带来了极大便利。可是近日安全研究人员却发现,Android 8版本以后的操作系统却存在着一个高风险NFC漏洞,能让附近的恶意攻击者在Android手机上植入恶意程序。

谷歌上个月修复了一个安卓漏洞,这个漏洞可以让黑客通过一个鲜为人知的安卓操作系统功能,即NFC,向附近的手机植入恶意软件。

据研究人员表示,在Android 8之前的操作系统有一个设定,启用后将允许使用者从Google Play商店以外的平台来安装任意程序。不过Google在Android 8及后续版本上则改变了该策略,要求每个程序都必须取得使用者的同意,才能安装不明来源的程序。

NFC会通过一个叫做Android Beam的内部安卓操作系统服务开展工作。这项服务允许安卓设备使用NFC无线电波将图像、文件、视频甚至应用等数据发送到另一个在附近的设备,作为WiFi或蓝牙的替代。

可是该策略也有例外,如果让某些内置系统程序自动被列入白名单,就无需征求使用者同意就能从任何来源安装程序,例如Drive或NFC Service。

通常,通过NFC发送的应用存储在磁盘上,并会在屏幕上显示一个通知。通知消息会询问设备所有者是否允许NFC服务安装来自未知来源的应用。

这意味着假设使用者的手机支持NFC,而且启用了可让两台Android手机互相交换数据的Android Beam功能,那么攻击者就能通过Android Beam传送一个APK到附近的Android设备上。中招者只要不小心点选了接收完成的通知,再点击所收到的文件,那么该文件就会自动安装,而不会显示“是否安装不明程序”的警告,引发攻击威胁。

但是,今年1月,一位名叫Y. Shafranovich的安全研究员发现,在Android 8或更高版本上,通过NFC发送的应用不会显示这个提示信息。相反,该通知将允许用户轻点一下就可以安装应用,而无需任何安全警告。

所幸Google已经在今年10月修补了此一编号为CVE-2019-2114的安全漏洞,并将其列为高风险漏洞,但并未说明漏洞细节。实际上该漏洞涉及到NFC功能的预设权限,可允许骇客绕过与使用者之间的某些互动,提高恶意程序的安装机率。

财神彩票,虽然缺少一个提示信息听起来并不重要,但这是安卓安全模型中的一个主要问题。安卓设备不允许安装来自“未知来源”的应用,因为任何从官方商店之外安装的应用都被认为是不可信和未经验证的。

为了避免受到此NFC漏洞影响,尚未安装10月更新的Android用户,也可以简单地关闭Android Beam功能或是把Android Beam自白名单中删除即可。

如果用户想在官方商店之外安装应用,他们必须访问安卓操作系统的“安装来自未知来源应用”部分,并启用该功能。

在Android 8之前,这个“来自未知来源安装”选项是一个系统范围的设置,对所有应用都是一样的。但是,从Android 8开始,谷歌重新设计了这种机制,使其成为一种基于应用的设置。

在最新的Android版本中,用户可以访问安卓安全设置中的“安装未知应用”部分,并允许特定的应用安装其他应用。

CVE-2019-2114的错误在于,AndroidBeam应用也被列入了白名单,获得了与官方应用同样程度的信任。

谷歌表示,这并不是有意为之,因为Android Beam服务从来就不是用来安装应用的,而仅仅是用来在设备之间传输数据的。

本文由财神彩票发布于产品评测,转载请注明出处:无NFC的手机不买? 安卓曝NFC漏洞可植入恶意代码

关键词:

上一篇:没有了

下一篇:没有了