首頁|必讀|視頻|專訪|運營|制造|監(jiān)管|大數(shù)據(jù)|物聯(lián)網(wǎng)|量子|元宇宙|博客|特約記者
手機|互聯(lián)網(wǎng)|IT|5G|光通信|人工智能|云計算|芯片報告|智慧城市|移動互聯(lián)網(wǎng)|會展
首頁 >> 技術(shù) >> 正文

新思科技發(fā)布《疫情中的安全隱患:移動應(yīng)用程序安全現(xiàn)狀》報告

2021年4月16日 14:54  CCTIME飛象網(wǎng)  

通過對3,335個受歡迎的安卓應(yīng)用程序進行分析,顯示其中絕大多數(shù)包含安全漏洞

現(xiàn)今,移動應(yīng)用程序已成為大部分人日常生活的重要部分,打車、訂外賣、網(wǎng)購、通訊等等,我們都會使用到移動應(yīng)用程序。因此,移動應(yīng)用程序的安全性不容忽視。

新思科技(Synopsys, Inc.,Nasdaq: SNPS)近日宣布發(fā)布了《疫情中的安全隱患:移動應(yīng)用程序安全現(xiàn)狀》報告。該報告由新思科技網(wǎng)絡(luò)研究中心(CyRC)制作,審查了對2021年第一季度在Google Play商店中最受歡迎的3,335個安卓移動應(yīng)用程序進行的研究結(jié)果。報告顯示絕大多數(shù)應(yīng)用程序(63%)包含具有已知安全漏洞的開源組件,并且強調(diào)了普遍存在的安全隱患,包括暴露在應(yīng)用程序代碼中的敏感數(shù)據(jù)以及過度使用的移動設(shè)備權(quán)限。

該研究采用了新思科技Black Duck Binary Analysis,重點研究了18種受歡迎的移動應(yīng)用程序類別,其中一些在疫情期間都呈爆炸式的增長,包括商業(yè)、教育和健康與健身。這些應(yīng)用程序都是在Google Play商店下載量排行榜或者最暢銷排行榜中。盡管安全分析結(jié)果因應(yīng)用程序類別的不同而不同,但是在所有的18種類別中,至少三分之一的應(yīng)用程序包含已知的安全漏洞。

新思科技軟件質(zhì)量與安全部門總經(jīng)理Jason Schmitt表示:“就像其他的任何一個軟件一樣,移動應(yīng)用程序也無法幸免于存在安全缺陷和漏洞,這可能使消費者和企業(yè)面臨風險。現(xiàn)今,疫情迫使我們大多數(shù)人(包括兒童、學生和大部分工作人員)適應(yīng)日益依賴于移動的遠程生活方式時,移動應(yīng)用程序的安全性尤為重要。在這些變化的背景下,該報告強調(diào)了對移動應(yīng)用生態(tài)系統(tǒng)的關(guān)鍵需求,以共同提高開發(fā)和維護安全軟件的標準!

移動應(yīng)用程序的開源漏洞非常普遍。在分析的3,335個應(yīng)用程序中,63%包含具有至少一個已知漏洞的開源組件。具有漏洞的應(yīng)用程序包含平均39個漏洞。CyRC總共發(fā)現(xiàn)了3,000多個獨特漏洞,并且這些漏洞出現(xiàn)了82,000多次。

已知漏洞是可以解決的。盡管這項研究中發(fā)現(xiàn)的漏洞數(shù)量令人生畏,但更令人驚訝的是,檢測到的漏洞中有94%具有公開記錄的修復(fù)程序,這意味著安全補丁或更新以及更多的開源組件安全版本可供使用。除此之外,檢測到的漏洞中有73%已經(jīng)至少在兩年前首次向公眾披露,這表明應(yīng)用程序的開發(fā)人員沒有考慮構(gòu)建應(yīng)用程序所使用組件的安全性。

深入分析高風險漏洞。一項更徹底的分析表明,CyRC認為將近一半(43%)的漏洞屬于高風險漏洞,因為這些漏洞已經(jīng)被主動利用或者與已記錄的概念驗證(PoC)漏洞利用程序有關(guān)。僅有不到5%的漏洞與漏洞利用或者PoC漏洞利用程序有關(guān),并且沒有可用的修復(fù)程序。1%的漏洞被歸類為遠程代碼執(zhí)行(RCE)漏洞,許多人認為這是最嚴重的漏洞。0.64%的漏洞被歸類為RCE漏洞并且與主動漏洞利用或PoC漏洞利用程序有關(guān)。

信息泄露。當開發(fā)人員無意間在應(yīng)用程序的源代碼或配置文件中公開敏感或個人數(shù)據(jù)時,這些信息很可能被惡意攻擊者利用來發(fā)起后續(xù)的攻擊。CyRC發(fā)現(xiàn)了數(shù)以萬計的信息泄露實例,從私人密鑰和令牌到郵件和IP地址的潛在敏感信息都被暴露出來。

過度使用移動設(shè)備權(quán)限。移動應(yīng)用程序通常需要訪問你的移動設(shè)備中的某些功能或數(shù)據(jù)才能有效運行。然而,某些應(yīng)用程序草率地或者暗中要求的訪問權(quán)限遠遠超出了必要性。CyRC分析的移動應(yīng)用程序平均需要18個設(shè)備權(quán)限,其中包括平均4.5個敏感權(quán)限或者需要對個人數(shù)據(jù)進行多次訪問的權(quán)限,以及平均3個被Google歸類為“不提供給第三方應(yīng)用程序使用”的權(quán)限。一個下載次數(shù)超過一百萬的應(yīng)用程序需要11個權(quán)限,這些權(quán)限被Google歸類為“危險防護級”。另一個下載次數(shù)超過五百萬的應(yīng)用程序總共需要56個權(quán)限,其中31個被Google歸類為“危險防護級”權(quán)限或是不允許第三方應(yīng)用程序使用的簽名權(quán)限。

比較應(yīng)用程序類別。在18個類別中的6個類別里面,至少有80%的應(yīng)用程序包含已知漏洞,包括游戲、銀行、預(yù)算和支付應(yīng)用程序。生活方式和健康與健身類別在易受攻擊的應(yīng)用程序中所占的比例最低,為36%。銀行、支付和預(yù)算類別在移動設(shè)備所需的平均權(quán)限數(shù)量也排在前三,遠高于18個類別的平均值。游戲、教輔類工具、教育和生活方式應(yīng)用程序所要求的平均權(quán)限數(shù)量最低。

想要了解更多,請下載《疫情中的安全隱患:移動應(yīng)用程序安全現(xiàn)狀》報告

編 輯:章芳
聲明:刊載本文目的在于傳播更多行業(yè)信息,本站只提供參考并不構(gòu)成任何投資及應(yīng)用建議。如網(wǎng)站內(nèi)容涉及作品版權(quán)和其它問題,請在30日內(nèi)與本網(wǎng)聯(lián)系,我們將在第一時間刪除內(nèi)容。本站聯(lián)系電話為86-010-87765777,郵件后綴為#cctime.com,冒充本站員工以任何其他聯(lián)系方式,進行的“內(nèi)容核實”、“商務(wù)聯(lián)系”等行為,均不能代表本站。本站擁有對此聲明的最終解釋權(quán)。
相關(guān)新聞              
 
人物
工信部張云明:大部分國家新劃分了中頻段6G頻譜資源
精彩專題
專題丨“汛”速出動 共筑信息保障堤壩
2023MWC上海世界移動通信大會
中國5G商用四周年
2023年中國國際信息通信展覽會
CCTIME推薦
關(guān)于我們 | 廣告報價 | 聯(lián)系我們 | 隱私聲明 | 本站地圖
CCTIME飛象網(wǎng) CopyRight © 2007-2024 By CCTIME.COM
京ICP備08004280號-1  電信與信息服務(wù)業(yè)務(wù)經(jīng)營許可證080234號 京公網(wǎng)安備110105000771號
公司名稱: 北京飛象互動文化傳媒有限公司
未經(jīng)書面許可,禁止轉(zhuǎn)載、摘編、復(fù)制、鏡像