Android 和 iOS 防恶意 APP 的机制

作者: Admin 分类: 动态随笔 发布时间: 2014-03-07 00:11 ė 6 没有评论

  微歌已经多次谈 Android 和 iOS 的安全问题了,一是因为智能手机和平板电脑飞速发展,移动世界的安全问题越来越重要;二是现在 Android 和 iOS 环境中恶意 APP 猛增,移动世界网络安全问题越来越必要。微歌认为,正如 Windows 环境下恶意攻击多并不是微软的错一样,移动平台恶意 APP 的出现也不是谷歌和苹果的错,不是 Android 和 iOS 的错。事实上,Android 和 iOS 都有完善的机制防御恶意 APP。
  先说 Android,早在 Google Play Store 还叫 Android Market 的时候,Google 就发布了一个代号为“Bouncer”的服务。Bouncer 会自动扫描 Android Market 上已经存在的所有 APP,析他们是否包含潜在的安全威胁。通过构建在云端的模拟器,Bouncer 可以模拟 APP 在 Android 设备上执行的状态,进而找出隐藏的恶意行为。此外,Bouncer 还会扫描开发者帐户以防止恶意软件开发商向 Google 提交恶意 APP。通过上述手段,Google 大致上可以保证 Google Play Store 上 APP 的安全性。
  而 Android 4.2 及以后的版本增加了 APP 程序验证机制。当使用者安装第三方 APP 时,该验证机制会向 Google 的服务器发送验证信息来确认其安全性,如果返回的结果是否定的,系统便会阻止使用者继续安装这个应用。为了丰富自己的资料库,除了 Google Play Store 外,Google 还会扫描网络上的各类 APK。以后 Google 还会继续升级 APP 验证机制,升级后的 APP 验证机制将可以在后台运行,并监控已经安装的 APP 是否有风险。
  事实上,Android 本身就有意识地限制了应用程式对一些 API 的读写操作,例如,Android 不提供直接操作 SIM 卡的 API。当第三方APP 存取地理位置、相机、蓝牙、短信等“受保护的 API“时需要得到使用者的许可。也就是说,第三方 APP 需要通过 Android 系统许可权检查通过后才可以存取个人信息。
  再看 iOS,首先要说的是苹果本来就对 iOS 进行了“封闭”,iOS 使用者获取 APP 的途径相对比较单一,也就是说,苹果已经从源头来保障 APP 的安全性。iOS 要求所有可执行的程序都需要使用苹果颁发的证书进行签名,当然也包括第三方的 APP。而 APP 开发者想获得苹果颁发的证书就必须注册为苹果 iOS 开发者。也就是说,所有获得了证书并有权向 App Store 提交和发布 APP 的开发者都必须先通过苹果的验证。或者说,任何 iOS APP 开发者的个人资料苹果都了如指掌,想做恶意 APP 的人也就有了几分顾忌。
  事实上,Android 也使用了 APP 签名机制,之所以苹果在这方面做得更好是因为苹果的开发者都使用苹果的证书进行签名,而 Android 不可能这么做,Android 虽然是谷歌的,但 Android 是开放的,谷歌没有也不可能控制所有 APP 的签名,各运营商、OEM 以及第三方市场都可以给 APP 签名。
  苹果在系统层面上也对 iOS APP 的安全性进行了限制,第三方 APP 需要读取信息时只能使用 iOS 系统提供的 API 来读取,而且,iOS 整个分区都是只读的,所以 iOS API 也不允许 APP 程序通过提权来修改 其他 APP,更不能修改 iOS 系统本身。
  更重要的一点是,iOS 目前也就苹果自己在用,也就是说,iOS 只支持“苹果牌”硬件,这无疑给 iOS 的安全提供了一层可靠的保障,更何况苹果使用的 ARM 处理器本身就使用了一些独特的技术防止 APP 作恶。
  总而言之,不论是谷歌还是苹果,不论是 Android 还是 iOS,大家都有一套非常完善的机制防范恶意 APP,而且都在不断提升防范能力。只是 Android 是开放的,iOS 是封闭的,Android 对恶意 APP 的防范难度比 iOS 大。正如文章开头时说的,Windows 环境下恶意攻击多并不是微软的错,移动平台恶意 APP 的出现也不是谷歌和苹果的错。

本文出自微歌,转载时请注明出处及相应链接。

本文永久链接: http://wego2.com/Android-he-iOS-fang-e-yi-APP-de-ji-zhi.html

发表评论

电子邮件地址不会被公开。 必填项已用*标注

Ɣ回顶部