2018年Android应用安全白皮书_36页_9mb

腾讯安全科恩实验室2018年Android应用安全白皮书总结

核心内容概述

腾讯安全科恩实验室发布的《2018年Android应用安全白皮书》系统分析了Android移动应用的安全现状、主要风险类型及应对策略。白皮书指出，随着Android应用市场的蓬勃发展，其安全问题也日益突出，亟需行业各方共同努力提升应用安全性。

主要观点与关键信息

1. Android应用市场现状

• 全球移动用户达51.1亿，占全球人口的2/3，用户每天使用移动设备时间平均为3小时。
• 2018年全球App下载量超过1940亿次，年增速9%，移动应用市场持续增长。
• 中国智能手机操作系统Android占比超过80%，App在架数量达449万款，下载量占全球近50%。
• 中国手机网民规模达8.17亿，年新增6433万。

2. 安全问题频发

• Android系统已发展10年，但安全问题依然严峻。
• 2018年第三季度，GDATA数据显示发现超过320万个新的恶意样本，平均每天新增11000个恶意样本。
• 中国国家互联网应急中心统计，2017年捕获253万多个恶意程序，同比增长23.4%。
• 恶意程序类型主要包括：流氓行为类、恶意扣费类、资费消耗类。

3. 安全投入不足

• 虽然谷歌在Android安全方面投入大量资源，但多数开发者的安全意识和投入仍不足。
• 安全防护措施的实施情况并不乐观，存在较多安全漏洞未被及时修复。

4. 安全风险类型

• 数据泄露：包括调试信息暴露、文件分享漏洞、ContentProvider路径穿越、WebViewFileScheme漏洞等。
• 组件间通信问题：存在8725个拒绝服务风险，323个App存在可控Intent参数打开未导出组件风险。
• 第三方库漏洞：1047个SDK漏洞，813个App存在Native库CVE漏洞，影响超过58%的App。
• 服务后台问题：服务端安全问题直接影响所有客户端用户，包括越权、敏感信息泄露、SQL注入、XSS、CSRF等。
• 隐私问题：1292个App存在过度收集隐私权限的问题，其中294款App隐私条款不达标，998款App没有隐私条款。

5. 检测工具与方法

• 腾讯科恩实验室开发了ApkPecker，一款全自动Android应用漏洞扫描工具。
• ApkPecker基于静态数据流分析和污点分析，覆盖九大漏洞类型，检测三十余种风险项。
• 本次检测共选取1404个应用，发现37920个安全问题，其中98%的App存在安全风险。
• 误报率约为17%，可利用漏洞数量占抽样样本检测结果的8%。

6. 安全建议

• 数据泄露：避免调试信息暴露，对文件分享路径进行校验，合理配置WebView的File域访问权限。
• 组件间通信：严格校验外部输入数据，避免非预期组件被调用。
• 第三方库：实时关注SDK和Native库的安全更新，保持版本更新。
• 服务后台：在业务上线前和运行周期内进行安全检测和实时监控，定制防护策略。
• 隐私问题：合理申请隐私数据权限，提供详细隐私条款，加强数据安全保护能力。

Android应用安全检测趋势

• 静态检测工具如ApkPecker在提升检测效率和准确性方面发挥了重要作用。
• 静态检测与动态检测相结合，进一步完善检测维度。
• 安全检测技术正与人工智能、机器学习等前沿技术结合，提升自动化检测能力。
• 移动应用数据安全与隐私保护需求日益突出，需贯穿整个生命周期。
• 随着产业数字化变革，应用安全检测应从单一客户端或服务端扩展到整体架构的全面检测。

总结与展望

• Android应用安全需要全行业共同努力，建立完整的安全防护体系。
• 通过ApkPecker等工具，可以高效定位安全风险并提供修复建议。
• 腾讯科恩实验室持续致力于提升Android应用安全检测能力，助力行业安全发展。

信息安全顶级服务

• 科恩实验室提供信息安全顶级服务，护航产业数字化变革，守护全网用户信息安全。

参考资料

1. We Are Social and Hootsuite’s latest collection of Global Digital 2019 reports
   https://wearesocial.com/blog/2019/01/digital-2019-global-internet-use-accelerates

2. App Annie，2019年移动市场报告
   https://www.appannie.com/cn/insights/market-data/the-state-of-mobile-2019/

3. 凯度移动通信消费者指数，智能手机操作系统市场份额
   https://www.kantarworldpanel.com/cn/smartphone-os-market-share/intro

4. 中国互联网络信息中心，第43次《中国互联网络发展状况统计报告》
   http://www.cac.gov.cn/2019-02/28/c_1124175677.htm

5. G Data, Cyber attacks on Android devices on the rise
   https://www.gdatasoftware.com/blog/2018/11/31255-cyber-attacks-on.android-devices-on-the-rise

6. Ingrid Lundén, Android security: 0.04% of downloads on Google Play in 2018 were ‘potentially harmful Apps’
   https://techcrunch.com/2019/04/01/android-secured-ty-0-04-of-downloads-on-google-play-in-2018-were-potentially-harmful-Apps/

7. Google，应用安全改进计划
   https://developer.android.com/google/play/asi

信息安全顶级服务

• 护航产业数字化变革，守护全网用户信息安全。
• 联系方式：KeenSecurityLab@tencent.com