回到首頁
個人.家庭.數位化 - 數位之牆



產業動態 Check Point:小米手機內建的App暗藏安全漏洞
APEX 本新聞稿發佈於2019/04/14,由發布之企業承擔內容之立場與責任,與本站無關

Check Point的研究人員近日在小米手機內建的App「Guard Provider」中發現了一個漏洞;小米Guard Provider本意是透過檢測惡意軟體來保護手機,實際上卻讓使用者暴露在了威脅之中。根據Gartner統計,2018年小米市占率近8%,在全球手機市場排名第四。

 
■ 發布/輪播新聞稿 新聞稿直達14萬電子報訂戶刊登新聞稿:按此 想在你的Blog上輪播產業動態按此
 


全球網路安全解決方案領導廠商Check Point® Software Technologies Ltd. (NASDAQ股票代碼:CHKP)的研究人員近日在小米手機內建的App「Guard Provider」中發現了一個漏洞;小米Guard Provider本意是透過檢測惡意軟體來保護手機,實際上卻讓使用者暴露在了威脅之中。根據Gartner統計,2018年小米市占率近8%,在全球手機市場排名第四。

小米Guard Provider是內建在所有主流小米手機中的App,其安全服務使用了多個協力廠商軟體開發套件(SDK),包括各種類型的裝置保護、清理、效能加速。該App內建了Avast、AVL和騰訊三個不同品牌的防毒軟體來保護手機,使用者可以選擇其中一個品牌的產品作為掃描裝置的預設防毒軟體。

由於進出Guard Provider的網路流量不安全,且同一個App中使用了多個SDK,攻擊者可以連接到與受害者相同的Wi-Fi網路,並執行中間人(Man-in-the-Middle,MiTM)攻擊;而多個SDK之間的通訊隔閡,也讓攻擊者可以趁機自行植入任何惡意程式碼,例如密碼竊取程式、勒索軟體、追蹤程式或任何其他類型的惡意軟體。

類似Guard Provider這類型內建於行動裝置的App都是無法刪除的,但在Check Point向小米告知這個漏洞後,小米也即時的修補了該漏洞。

SDK的優缺點
就行動裝置而言,SDK可以協助開發人員不需要再花費時間撰寫程式,並為與App核心無關的功能提供後端穩定性。隨著各式SDK的出現,多元的新功能讓App開發人員得以提供終端使用者更優異的特性,但隨著越來越多的協力廠商程式碼添加到App中,對於穩定工作、使用者資料的保護及效能控制的環境變得益發複雜。

在同一個App中使用多個SDK造成了「SDK 疲勞(SDK Fatigue)」現象,導致App更容易出現當機、病毒和惡意軟體感染、隱私外洩、極度耗電、速度變慢及許多其他問題。統計 指出,在單一App中使用多個SDK非常常見,平均每個App會使用超過18個SDK,但這種做法讓企業組織和使用者暴露在潛在風險中,攻擊者可以利用這些漏洞來干擾裝置的日常運行。

如何抵禦與預防SDK攻擊
對於安裝到員工裝置上的App,企業組織的IT安全人員雖然不必了解構建這些應用時所用 SDK 的精確細節,但應該意識到這種App的建構方式可能存在安全隱憂。人們常常認為安全App中使用的要素都是安全的,但上述小米內建App漏洞顯示事實並非如此。開發人員和企業都需要意識到,在一個手機App中內建兩種安全軟體並不一定會取得雙重保險的效果。

抵禦這種隱藏威脅的唯一措施是確保企業組織內的行動裝置免受潛在的中間人攻擊,而Check Point SandBlast Mobile可以檢測並防止此類攻擊,消除因在同一App中使用多個SDK 而造成的潛在威脅。更多相關資訊,請見Check Point Research。

關注Check Point
Facebook: https://www.facebook.com/checkpoint.tw/
部落格:https://research.checkpoint.com/
Twitter: https://twitter.com/_cpresearch_

關於 Check Point Research
Check Point Research 能夠為 Check Point Software 客戶以及整個情報界提供領先的網路威脅情報。Check Point 研究團隊負責蒐集和分析 ThreatCloud 儲存的全球網路攻擊數據,以便在防範駭客時,確保所有 Check Point 產品都享有最新保護措施。此外,該團隊由 100 多名分析師和研究人員組成,能夠與其他安全廠商、執法機關及各個計算機安全應急機關展開合作。

關於 Check Point Software Technologies Ltd.
Check Point Software Technologies Ltd. (www.checkpoint.com) 是全球領先的政府與企業網路安全解決方案供應商,能夠保護客戶免於遭受網路攻擊,對惡意軟體、勒索軟體與其他攻擊類型的攔截率領先業界其他廠商。Check Point 提供多層式安全架構來保護企業放置於雲端、網路與行動裝置上的資訊,以及最全面、最直觀的單點控制安全管理系統。Check Point 為超過 10 萬家各種規模的企業組織提供防禦措施。

- 新聞稿有效日期,至2019/05/15為止


聯絡人 :Wendy
聯絡電話:02-7718-7777
電子郵件:Wendy@apexpr.com.tw

上一篇:環保吸管真的環保嗎?
下一篇:資本市場造好帶領證券行業 申萬宏源順勢上市

 
搜尋本站


最新科技評論

共享經濟:以人民的名義爭奪流量入口 - 2017/06/18

影音網站的未來(三) PGC孵化IP,直播更接近長尾 - 2016/10/16

影音網站的未來(二)短影音適合往社交和工具發展 - 2016/10/09

影音網站的未來(一)長尾效應與頭部效應無法兼顧 - 2016/10/02

大部分O2O 模式違反網際網路經濟特性 - 2015/02/08

融資是怎麼回事(下)什麼人能拿到投資 - 2015/01/04

融資是怎麼回事(中)讀懂投資人的唇語 - 2014/12/21

融資是怎麼回事(上)融資是迭代的過程 - 2014/12/14

奢品服務業O2O 興起,網際網路創業者的新機會 - 2014/07/20

■ 訂閱每日更新產業動態
RSS
RSS

當月產業動態

Information

 

 

 

 




個人.家庭.數位化 - 數位之牆

欲引用本站圖文,請先取得授權。本站保留一切權利 ©Copyright 2008, DigitalWall.COM. All Rights Reserved.
Question ? Please mail to service@digitalwall.com

歡迎與本站連結!