堵住手机上的安全漏洞

2015-08-13

CHIP新电脑 2015年8期

超过一半的Android设备都存在着一种非常危险的安全漏洞，通过它黑客可以看到我们的邮件，甚至远程控制我们的智能手机。最糟糕的是，该漏洞影响包括Google公司在内绝大多数制造商的设备，而Google公司已经明确不会为此推出补丁，只会在新的系统中修复这一漏洞，但是受影响的设备中有部分设备已经无法获得系统更新。

这一安全漏洞源自于Android的WebView控件，影响Android 4.3以及其他更低的版本。该控件基于开源的浏览器引擎Webkit，在Android中它相当于是系统原生的浏览器，其他的应用程序将通过调用WebView显示网页或广告横幅。然而，该控件的接口很容易受到所谓的通用跨站点脚本攻击。攻击者将可能会操纵网站并在用户登录到Web邮件时读取用户的电子邮件。要实现这一攻击，攻击者只需让用户通过被操纵的网页访问网站即可。安全专家托德·比尔兹利也发现，通过该漏洞黑客甚至可以完全访问设备和悄悄地切换麦克风或摄像头。

当前仍在使用中的Android设备至少有60%受到该漏洞的影响，然而，这些设备的用户不能够指望从Google或者生产厂商那里获得这方面的帮助。因为Google公司认为该问题已经在Android4.4版本以及更高的版本中被修复了，用户可以通过更新来解决这一问题。但是，事实上许多旧设备并不能够获得系统的更新，对于生产厂商来说，他们更愿意卖新的设备，而不是为旧设备提供更新。在这种情况下，我们必须自己采取行动。实际上，该漏洞也同样影响一直在安全性方面“自吹自擂”的iOS系统，只是危险性没有Android那么严重。下面，CHIP将帮助大家自己动手解决这一问题。

更换浏览器

要避免受到WebView安全漏洞的影响，我们除了需要注意自己的操作系统版本之外，还需要注意自己所使用的浏览器版本。因为如果浏览器同样使用有问题的浏览器引擎来打开网页，那么它同样存在漏洞，同样有可能为黑客打开大门。

1、检查Android版本

首先，我们需要检查自己的智能手机上安装的是否是容易受到攻击的Android版本，从Android 2.2（Froyo）到Android 4.3（Jelly Bean）都是不安全的。这些系统中原生的浏览器采用存在缺陷的WebKit引擎，脆弱的WebView控件也在其中。从Android 4.4版本开始，Android浏览器的WebView控件开始采用基于Blink引擎的版本，该控件目前被认为是安全的，Chrome浏览器目前也是使用该引擎。因此，如果我们的智能手机使用一个Android 4.3或更低版本的系统，那么不应该使用系统原生的浏览器上网。如果不清楚自己智能手机的系统版本，可以通过选择“设置|关于手机”来查看手机信息中“Android版本”的部分，如果是Android 4.4版本或更高版本，那么我们的智能手机并没有WebView漏洞，可以不必继续阅读下面的内容，但如果手机上使用的不是这些安全的系统，那么请按照我们的指示堵住安全漏洞。

2、检查更新

接下来，我们必须先确认一下设备制造商是否有给我们提供了系统更新，能够让我们更新到一个安全的Android版本。在“关于手机”菜单中选择“系统更新”，如果我们能够更新到Android 4.4以上版本，那么现在我们是安全的。如果智能手机没有找到更新版本或者更新之后仍然低于Android 4.4版本，那么我们有两个选择来保护自己的安全：其一是安装使用其他浏览器;其二是使用第三方定制的手机ROM自己更新系统。两种方案相比，第二个无疑更安全，因为它可以彻底地解决问题，但是完成此项工作对于普通用户来说并不容易，相比之下安装使用另一个浏览器要简单得多。

3、安装其他浏览器

理论上讲，只要是采用其他浏览器引擎而不需要调用WebView控件的浏览器都不会受到WebView安全漏洞的影响。因而，我们可以安装一个安全的浏览器来绕开WebView安全漏洞，例如Chrome、Firefox、Opera和Dolphin之类的浏览器都可以是我们的选择对象，但是Chrome需要特别注意，因为Google没有为Android 4.0.4或更老的系统提供Chrome浏览器的更新版本，因此对于使用这些系统的用户来说Firefox会是更好的选择，该浏览器功能强大并且定期有更新。我们可以像安装其他应用程序一样通过Google Play商店安装Firefox。安装完成之后，在手机上访问任意一个需要打开浏览器的内容，例如短信中的一个网络链接，系统将列出当前安装的浏览器供我们选择，根据系统版本的不同，我们必须在对话框上选择浏览器的同时还要选中将其设置为默认浏览器的复选项，或者选择浏览器后单击“始终”按钮，尝试定义新的浏览器（例如Firefox）作为系统默认使用的浏览器。但是，如果在访问网络内容时浏览器直接打开，并没有显示任何对话框，那么我们需要执行下一步骤。

4、重置系统默认浏览器

如果无法在打开网络链接时将我们安装的浏览器设置为默认浏览器，那么我们需要先更改一下设置，然后再进行类似的尝试。首先，回到系统设置页面，点击“应用”，在列表中找到并选择当前系统默认的浏览器，在随后的菜单中滚动到“默认操作”部分，选择“清除默认操作”。接下来，我们可以再次尝试步骤3自定义默认浏览器的操作。除此之外，如果尝试仍然失败，则可以通过“应用”打开应用程序列表，点击右上角的菜单，选择“重置应用偏好设置”来重置系统中所有默认应用程序的设置，然后再次尝试自定义默认浏览器。

5、为应用程序指定外部浏览器

除了设置系统默认浏览器之外，为了安全起见我们还应该为需要打开网页的应用程序指定外部浏览器，避免它们调用WebView组件来显示网页内容。以Facebook的应用程序为例，我们打开Facebook的应用程序，点击菜单图标，向下滚动屏幕，在“设置”部分找到并点击“应用程序设置”，在“设置”页面上打开“用外部应用打开链接”选项。在这一设置下，浏览器将尝试通过外部的浏览器打开网页内容，而系统默认的浏览器将作为首选。

自己更新Android

通过使用安全的浏览器，我们可以避免因系统的WebView漏洞无法修复而导致出现的严重问题，但是由于WebView本身的漏洞并没有修复，而个别应用程序仍然会通过WebView显示广告横幅，所以系统还有可能会出现问题，因而不更新系统是无法彻底解决问题的。如果设备的生产商不提供更新，那么我们可以尝试安装一个第三方的Android定制系统，也就是所谓的定制ROM。

Root需要小心

由于目前定制ROM的开发者社区发展得比较好，定制ROM的版本更新很快，通常都是以很新的Android版本为基础打造的ROM，所以通过定制ROM来堵住WebView的安全漏洞绝对没有问题。不过，使用定制ROM用户必须能够获得设备的Root权限，也就是所谓的管理员权限，能够完全掌握设备的控制权。通常制造商都不会提供这样的权限给用户，他们有一个很好的理由：获得Root权限的用户可以完全控制设备，那么在最坏的情况下系统可能会被错误地修改而导致智能手机或平板电脑无法工作。

这就是为什么许多设备制造商规定，用户Root设备将失去售后服务。但是很多时候用户都是被迫无奈才会对设备进行所谓的Root，例如WebView的安全漏洞没有得到更新等问题。而在对设备进行Root时，最大的障碍是不同制造商的设备以及同一制造商不同型号的设备或者同一制造商同一型号的设备，由于系统版本不同，所以Root的方法也有差异。

互联网可以提供帮助

幸好，强大的互联网可以为我们提供帮助，以手机品牌、型号加上Root作为关键字，我们可以迅速找到如何Root当前设备的详细资料。除此之外，还有大量的应用程序可以为我们提供帮助，各种所谓的“一键Root”的程序有的可以安装在智能手机上直接运行进行Root，有的需要安装在电脑上，然后将智能手机连接到电脑上，通过软件自动Root，简单易用。

需要注意到是，Root和安装第三方的定制ROM虽然通常不会带来什么严重的问题，但是仍然建议在开始操作之前，提前通过互联网收集一下相关的信息，了解清楚使用同一设备的用户是否曾经在Root和安装我们准备安装的ROM后出现的问题及解决办法，如果解决问题需要特殊的软件，那么也应该提前做好准备。另外，安装定制ROM将完全清除原来的系统，设备将重置到出厂状态，所以我们必须在操作之前备份所有的重要数据。

通常，安装一个定制ROM需要比较多的步骤，但是如果选择的是CyanogenMod，那么可以考虑通过它的安装程序进行安装，它将自动执行所有必要的步骤。问题是安装程序仅适用于Galaxy和Nexus系列等少数的智能手机。不过，我们仍然可以通过wiki.cyanogenmod.org根据安装指令手动进行安装，由于CyanogenMod简单易用并且操作界面友好，所以对于首次安装定制ROM的用户来说特别合适。

相关信息

不安全的Android版本

WebView安全漏洞影响Android 4.3版本以前所有的Android版本，约占世界各地活跃的Android设备的60%左右。旧的设备得不到更新，很大原因是由于很多设备无法获得新版本的操作系统，生产厂商更愿意简单地卖新设备而不愿意为旧设备提供更新。

最流行的Android定制ROM

CyanogenMod

支持最多的设备，最新的稳定版本CyanogenMod 11基于Android 4.4，获取软件和更多相关的资讯可以访问cyanogenmod.org。

OmniROM

一个CyanogenMod开发人员在CyanogenMod项目商业化后创立的ROM，基于Android 4.4。支持三星、HTC和LG的部分设备，更多资讯可以访问omnirom.org。

Paranoid Android

用户界面的设计为用户提供了很大的自由度，按照官方的信息可以支持近20种设备，非正式信息为60种设备，更多相关的资讯可以访问其网站aospa.co。

SlimROM

另类的Android纯粹主义者版本，对纯粹主义者来说，性能比一切都重要。获取最新版本slimkat（4.4）可访问slimroms.net。

iOS注意事项

苹果公司非常希望在用户心目中树立一个iOS操作系统不具备任何安全隐患的形象，因此，不久之前明确禁止在App Store中发布防病毒应用程序，原因是类似的应用程序可能会导致用户怀疑iOS有病毒。由于苹果公司都有应用程序的检查，比Google公司更严格，而且正常情况下用户只能够通过App Store下载应用程序，因而，iPhone和iPad基本上没有出现什么破坏性的应用程序，但是这并不意味着iOS是没有漏洞的，在更新到8.3最新版本时苹果公司发布的更新信息显示修复近60个安全漏洞，其中包括浏览器引擎WebKit的安全漏洞，该漏洞导致关键字可以通过远程代码执行攻击。

幸运的是苹果公司的大部分设备都能够获得最新的系统更新，即使设备已经很旧。当然，这可能产生旧设备运行缓慢等另外的一些问题，但是总的来说安全漏洞可以得到很好的解决。拒绝更新或者是已经越狱的iOS设备仍然存在风险。

值得注意到是，iOS开发者克雷格发现，和Android一样iOS的WebView也存在一些问题，在iOS中WebView同样用于应用程序显示网页内容，不过苹果使用的WebKit引擎比Google的版本要稳定一些，只是应用程序显示网站时将能够经由WebView获得用户输入到网站的数据，理论上讲这种机制可以被攻击者利用，因此克雷格建议输入敏感数据时应该切换到Safari浏览器中再进行操作。

安全的Windows Phone

基本上，Windows Phone很少出现安全问题，即使此前发现的安全漏洞，也没有被实际利用过。这是因为该操作系统的市场占有率非常小，只有约2.5%，这使得黑客觉得攻击该系统没有意义。

另一个原因在于，微软对于应用程序的安全性要求比较高。根据AV-TEST的安全专家麦克·摩根斯坦的研究，微软对于应用程序的检查比苹果公司更严格，并且不同于台式机，微软对于Windows Phone应用程序的运行方式有严格的限制。即使一个人能够访问到应用程序，也无法攻击系统。此外，微软还对移动设备系统定期进行更新，所以对于安全意识比较高的用户来说，Windows Phone是一个不错的选择。