假ID漏洞再露锋芒 什么手机安全软件靠得住?

  之前被忽视的安卓系统“假ID签名”漏洞日前再显危害锋芒。安全技术人员测试发现,将真的签名证书和假签名证书一同打包到手机支付软件APK文件中,然后用国内三家安全软件检测,结果该漏洞骗过了腾讯手机管家的检测。手机安全专家提醒,用户需提升手机支付安全意识,建议一方面不要到非安全电子市场下载应用,另外要安装可靠的手机安全软件保护支付安全。

  之前被忽视的安卓系统“假ID签名”漏洞日前再显危害锋芒。安全技术人员测试发现,将真的签名证书和假签名证书一同打包到手机支付软件APK文件中,然后用国内三家安全软件检测,结果该漏洞骗过了腾讯手机管家的检测。手机安全专家提醒,用户需提升手机支付安全意识,建议一方面不要到非安全电子市场下载应用,另外要安装可靠的手机安全软件保护支付安全。

  在今年7月底安卓系统曝出的“假ID签名”漏洞当时并未引起太多关注,因为有安全分析师认为,这一漏洞只是针对Adobe系统的相关应用,而其他应用不受影响。

  也有安全分析师认为,“假ID签名”并非只是存在于Adobe系统相关应用,本质上是创造了一种制造虚假ID签名的方法,如果将这一方法应用于“二次打包”热门应用,将可能骗过安全软件检测,这将严重危害手机用户安全。

  为了验证“假ID签名”漏洞的厉害,技术人员先构造了一个虚假签名证书,然后将真的签名证书和假签名证书一同打包到手机支付软件APK文件中。然后分别利用腾讯手机管家、豌豆荚(洗白白)、360手机卫士进行检测,结果360手机卫士、豌豆荚可识别出这是“山寨”,而“假ID签名”漏洞骗过了腾讯手机管家的检测。

  中国互联网协会8月2日发布的《中国互联网金融报告(2014)》显示,2013年我国手机支付用户规模达到1.25亿,交易规模增长率为707%,远高于银行卡收单、互联网支付的增速。安全专家认为,如果一些手机支付类、银行类、电商类应用被犯罪分子利用“假ID签名”漏洞进行二次打包,诱骗用户安装,这将直接导致用户财产损失。

假ID漏洞再露锋芒 什么手机安全软件靠得住?

  图:技术人员演示伪造签名证书

  技术人员分析认为,腾讯手机管家被骗可能是其在对APK文件进行安全验证的时候,只验证根证书或者只要匹配一个证书成功就可以了,这显然会让那些利用“假ID漏洞”伪造签名证书的应用成为漏网之鱼。

  对此,记者采访到360手机卫士安全专家,专家提醒广大手机用户:

  首先,不要到非安全电子市场下载应用。一些山寨类手机应用都被放在手机论坛、非安全电子市场伪装成热门应用提供下载,用户最好到应用的官方站点、有安全检测的电子市场,如360手机助手下载。

  其次,安装专业手机安全软件。目前,各大手机安全软件都推出支付安全功能,为手机网购支付提供安全支付环境检测、山寨应用检测等服务,360手机卫士可以有效的检测出利用“假ID签名”方法二次打包的山寨应用,习惯手机网购支付的用户应下载安装。

特别提醒:本网信息来自于互联网,目的在于传递更多信息,并不代表本网赞同其观点。其原创性以及文中陈述文字和内容未经本站证实,对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺,并请自行核实相关内容。本站不承担此类作品侵权行为的直接责任及连带责任。如若本网有任何内容侵犯您的权益,请及时联系我们,本站将会在24小时内处理完毕。

为您推荐

发表评论

您的电子邮箱地址不会被公开。 必填项已用*标注

返回顶部