词条信息

admin
admin
超级管理员
词条创建者 发短消息   

相关词条

热门词条

更多>>
新手怎么优化自己的网站?
现在很多朋友都有自己的个人网站,也知道SEO优化是可以让自己网[详细]
如何更换服务器而不影响网站排名
     无论是个人站长还是网络[详细]
马云的达摩院到底要研究啥?
  今天,阿里做了一件成立 18 年来都没做的事:成立了研究室[详细]
什么是软文,软文的作用,常见的形式?
  最近很多人在问关于软文怎么写,怎样才会达到好的效果。想问大[详细]
鹿晗和关晓彤公布恋情,崩了微博
昨天中午,鹿晗公布了自己的恋情,女友是关晓彤。瞬间,鹿晗的“女[详细]
解决网 >>所属分类 >> 安全防护    数据安全   

共享应用库带来数据泄露风险

标签: 数据被盗 共享应用库 数据安全

顶[0] 发表评论(0) 编辑词条

研究人员表示很多移动应用使用的共享第三方库可能通过“库内串通”增加移动数据被盗的风险。


英国剑桥大学罗宾逊学院教授Alastair Beresford以及牛津大学博士生Vincent Taylor及副教授Ivan Martinovic在论文《Intra-Library Collusion: A Potential Privacy Nightmare on Smartphones》中详细谈到了这个问题。


根据研究人员介绍,这个问题经常被忽视,因为移动安全“通常会分别检查应用和第三方库”,但是,他们声称如果这些共享库被同时用于移动数据盗窃,可能会造成更大损失。


“这种攻击,我们称之为库内串通,当单个库嵌入到设备的多个应用就可能发生这种攻击,它可利用组合权限来窃取敏感用户数据,”研究人员写道,“库内串通攻击的存在是因为,如果库包含与主机应用及流行库相同权限,则可能被设备中多个应用使用。”


该研究小组共研究3万部智能手机,他们发现由于不同应用被授予不同权限,恶意攻击者可整合每个应用的权限,以构建用户配置文件或执行移动数据窃取。


应用安全软件供应商Checkmarx公司应用安全战略全球主管Matthew Rose称,恶意攻击者可使用多种方法来感染共享库。


“通常来看,第三方库由维护代码库的人员来维护。由于这些库有很多贡献者,有时候很难让一个人来负责整个库代码,而这可能会允许被插入恶意代码,”Rose指出,“还存在另一个问题,这些库可能继承其他代码库的功能,所以在风险和对现有第三方库的利用方面存在相互作用。”


研究人员表示,广告库可能获得额外权限,这使得这种攻击更加危险,因为这些库可未经用户同意下跟踪用户。


该研究侧重于Android系统,这是由于Android设备安装的应用列表数据可用,但该研究小组指出他们认为在iOS上也同样是如此,因为iOS系统存在相似的访问控制和应用部署。


截至发稿时,谷歌和苹果公司都没有对此发表任何评论。


移动数据盗窃和权限变化


不幸的是,研究人员并没有简单的解决方案来缓解库内串通导致的移动数据盗窃风险。这些研究人员指出有一种方法可限制授予这些库的权限,但这样做可能会影响开发人员通过其应用获利的能力,这会对“进入市场的新应用开发人员造成威慑,而最终也可能会让用户受到影响”。


此外,该研究小组建议,运营应用商店的企业或者国家机构可指定政策或法律来检测和删除恶意的第三方库,但每种方法都有各自的问题。检测很困难,因为应用可能有合法的理由将数据发送到设备外,并且,这种执法可能无法超出应用程序的范围。


Fidelis Cybersecurity公司威胁情报经理John Bambenek称:“恶意库可能不会被发现,但还有更简单的窃取移动数据的方法。”


“为了执行这种攻击,恶意攻击者需要创建一个库,由多个应用程序使用。随后他们会说服用户下载具有很多权限的应用,”Bambenek称,“在现实世界中,恶意攻击者首先会让受害者安装具有很多权限的应用,因为这样更直接和更容易。不过,我认为在短期内这种攻击不会被武器化。”


Rose称,更重要的问题是“人们在安装移动应用时需要知道它需要什么权限”。


“这个应用真的需要访问你的文件系统、地理位置或相机吗?请想一下该移动应用的预期用途是什么,并问自己是否需要比实际更多的权限,”Rose说,“如果权限请求与你的预期不符,则不要安装或者授予权限。”


Bambenek认为开发人员也需要谨慎小心,确保不会出现其应用通过超越权限尝试窃取移动数据。


“移动开发人员以及一般开发人员都需要关注编码安全性,以及最低权限,”Bambenek称,“开发人员应该采用这种开发模式,即编写只进行必要操作的代码,这样会非常有帮助。”

 

 

本文地址:解决网 http://www.solves.com.cn/doc-view-4020.html

TAGS:SOLVES , 电脑技术 , 电脑知识 , 网站建设, 电脑技术, 网络营销 , 网站托管 , 硬件技术 , 网络技术 , 软件技术, 维修网点

附件列表


按字母顺序浏览:A B C D E F G H I J K L M N O P Q R S T U V W X Y Z

→我们致力于为广大网民解决所遇到的各种电脑技术问题
 如果您认为本词条还有待完善,请 编辑词条

上一篇沙箱
下一篇开发者都要知道的安全常识

0
1. 本站部分内容来自互联网,如有任何版权侵犯或其他问题请与我们联系,我们将立即删除或处理。
2. 本站内容仅供参考,如果您需要解决具体问题,建议您咨询相关领域专业人士。
3. 如果您没有找到需要的电脑技术问题词条,您可以到百科问答提问或创建词条,等待高手解答。

关于本词条的提问

查看全部/我要提问>>