手机建站 -“超级手机病毒”暴露安卓安全隐患

前段时间的一款较“xx神奇”的“超级手机病毒”在全国范围内爆发，引起了不小恐慌。而病毒的制造者确实一名19岁的大一新生，人家学编程也没多久，就搞出了这“超级手机病毒”。说是“超级手机病毒”有点夸张，因为它根本就没啥技术难度，身边的程序员哥哥都说这哥们傻逼，笔者以四年计算机专业的经验判断，该程序从逻辑上没任何难度，我没做过android开发，就不说技术难不难了。前段时间，一款叫做“××神器”的“超级手机病毒”在全国范围内爆发，引发了不小恐慌，该手机病毒的始作俑者在深圳被抓获，令人诧异的是，嫌疑人李某是中南大学软件系19岁的大一学生，动机并非牟利，仅仅为炫耀技术。详细分析这个病毒的行为，我们会发现这个手机蠕虫病毒最大的危害是群发短信，可以在短时间内影响大量手机用户。首先，这个病毒通过短信骗取用户安装病毒应用，应用被运行后，在被感染病毒的手机里，病毒读取手机通讯录，通过短信群发通讯录好友来进行病毒传播，短信内容里包含蠕虫病毒的下载链接，诱使他人下载安装，其他手机用户安装运行后即被感染，然后继续通过这种途径进行周而复始地传播。安装病毒需要启动手机浏览器去下载XXshengqi.apk这个APK文件，可见，该病毒只会影响安卓系统，对iPhone、Windows Phone的手机不会有任何影响。实际上，对于中国用户来说，安卓手机的市场份额很大，但生态环境也最恶劣，手机上恶意软件横行肆虐，绝大多数手机病毒都是基于安卓系统，而iPhone和Windows Phone WP压根就没几个用户，自然没人会去开发WP的病毒）的病毒却非常少，普遍认为，未越狱的iPhone的安全性要远远高于安卓手机，那么，这背后的原因到底是什么呢？

安卓和苹果的安全对比
安卓的安全问题归根结底来源于一点，在于安卓系统开放性太高，影响了安全性，其中最主要的问题是，安卓应用程序能拥有的权限过高，尤其是关于电话和短信的权限。安卓系统很早就开放了电话和短信功能给开发者，而这带来的安全问题后患无穷。事实上，各式各样的吸费、恶意应用无不都是和电话、短信功能有关，很多恶意应用通过偷偷发送短信定制增值服务来实现暗扣用户话费，网银木马应用则拦截银行发给用户的短信来攻击用户支付系统，蠕虫病毒则通过群发通讯录短信来进行病毒传播，可见，谷歌在安卓系统开放了电话和短信权限是安卓各类安全性问题的根源，而苹果公司正是因此明白这一点，所以至今也没有对外开放电话和短信的权限。　　除了开放性导致的安全问题之外，应用市场的安全性带来的问题也不少。对于苹果用户来说，只要不越狱，安装应用程序就必须通过唯一的官方苹果应用商店来安装，所有在苹果应用商店上销售的软件都要通过苹果的API扫描，每个应用软件必须进行逐一审查，先审查再上架，具有恶意功能的应用根本没有上线的可能性，这使得苹果系统上的应用软件从来源上得到了安全保障。　　反观安卓应用商店，并没有一个统一的应用软件市场，各个手机厂商都有开设自己的应用商店，每家应用商店的审核又都不相同，各类应用鱼龙混杂，令人防不胜防。即使是口碑最好的谷歌官方的应用商店Google Play应用审查制度也没有苹果严格，这就给个别应用开发商钻空子的机会。　　此外，谷歌应用商店在升级控制上也存在问题，很多安卓应用的升级采取了绕过谷歌官方应用商店Google Play Store而自动下载更新的方式进行，而下载完成后，该应用所获取的权限往往会非常大，这使得谷歌对该应用的升级不可控。一个无害的应用，通过自身的自动升级或在线更新，很可能会变成一个恶意应用。早先就有安全研究人员在Google Play官方应用商店中发现了一组恶意软件，该恶意代码库名为“BadNews”，被植入到由4个开发者账户提供的至少32个应用程序当中，并且已被下载900万次。这次针对安卓手机的攻击，之所以能够绕过谷歌应用商店的防御，是因为恶意代码库是在那些无害应用提交到Google Play商店之后才被注入到它们当中，只有在应用升级之后才会进行攻击。　　而在苹果应用商店，任何应用如果需要升级，都必须通过苹果官方应用商店升级，从而避免了应用软件通过升级而变成恶意应用的可能性。　　对于中国用户来说，还有一个很特别的情况，在今年6月份之后，谷歌官方应用商店已经无法从中国访问，这使得中国安卓用户全都无法使用谷歌官方应用商店，只能使用安全性更差的第三方应用商店，或者直接通过网站论坛来安装APK文件，使得恶意软件没有从来源上得到控制。
安卓和苹果生态环境对比
从上面的对比看，“开放”的安卓相比“封闭”的苹果，反而在安全上更为逊色，那么，除了系统安全之外，在生态环境上，开放和封闭到底哪个更好呢？　　硬件厂商和系统软件厂商会喜欢安卓，因为安卓采用开放性系统，大部分手机厂商可以免费使用，安卓大大的激活了手机的产业链，原有的手机厂商在变革，新的成员在逐渐加入如：点心系统、阿里手机、百度平台、腾讯和360等更多的具有互联网和电商基因的大平台；而苹果的硬件和操作系统都由苹果控制和开发，其他人只能在下游赚钱。　　在中国市场，谷歌对终端设备的控制力很弱，绝大多数安卓智能手机都默认删除Google Play应用商店，谷歌的安卓系统的应用分发渠道呈多样化，导致运营商、厂商、第三方应用商店种种角色都参与到角逐当中。第三方应用商店通过各种方法争夺市场，降低了谷歌对于手机设备的控制力。　　而苹果却不一样，其对终端设备控制力很强，苹果公司依靠App Store、iTunes牢牢控制移动应用生态链，通过技术和法律手段打击越狱和第三方应用市场，引导用户形成使用官方应用商店下载应用的习惯，避免用户通过越狱来获取盗版应用。　　对于软件开发商来说，苹果模式显然优于安卓模式，苹果应用商店让很多大大小小的软件开发商都赚到了钱，开发商只要做好自己的开发，其他的渠道等工作都可以由苹果完成，唯一的应用商店、较难的越狱操作以及本身并不贵的应用价格，让很多苹果用户都愿意付费购买应用。　　反观安卓系统的生态环境就显得极其糟糕，大公司可以玩免费模式，小公司做产品后收费却挡不住被盗版、被破解，很多人怀着美好的梦想投入开发产品却赚不到钱，因为没有统一的应用商店，渠道、推广和销售都要靠自己，这导致整体成本实际提高了很多。由于安卓允许直接安装第三方应用，这使得破解和盗版变得非常容易，开发商不得不采取“免费+广告”的盈利模式，在应用中嵌入大量广告，这使得同一款应用，在安卓上的使用体验远逊色于苹果。更有一些不良开发商，通过开发恶意应用来损害用户的利益。　　以游戏《Doodle Jump》（涂鸦跳跃）的开发商GameHouse为例，据该公司副总裁透露，iOS版游戏带来的营收三四倍于安卓版；开发后者的时间却要多两个月（约30%），因为“难度远比iOS高多了”。　　对于用户来说，安卓和苹果各有优缺点，安卓的手机便宜，应用也大多免费，但应用的使用体验和安全性却逊色于苹果。苹果手机虽然有种种限制，但使用体验和安全性却非常优越，因此，尽管现在安卓的市场份额很大，但是用户活跃度却很低，其中不乏对手机安全的顾虑。相较安卓的生态乱象，封闭的IOS对于用户来说则安全许多，其用户活跃度也说明该操作系统对用户的吸引力。　　那么，怎么使用安卓手机才能安全一些呢，就是从源头上控制，在Android系统的“设置” ->“应用程序”->“未知来源”，将其关闭，这样就不允许用户安装非电子市场提供的应用程序，在安装应用的时候，留意应用所需的权限，具有电话短信权限的应用尽量不要安装。当然，最简单的方法还是，换部iPhone手机，未越狱的iPhone手机的安全性可以满足大多数普通用户的需求。　　开放的安卓VS封闭的iOS，这代表着两种手机系统的生态模式，在人们传统的思维上看，开放可以给用户提供更多功能，让手机的体验更佳，然而事实却是，封闭的iOS带来了更佳的安全性，在移动支付越来越普遍的现代生活，一个安全的手机对用户往往具有更大的吸引力，如果一个大一学生编写的病毒都能轻易在智能手机用户间引起轩然大波，那么安卓的这种开放反而会成为限制其进一步发展的瓶颈。