Android被曝存在重大安全漏洞：可创造假ID

7月30日消息，据国外媒体报道，安全公司Bluebox Security发现，2010年Android 2.1以后的版本存在名为“假身份”(Fake ID)的漏洞，能让恶意程序绕过Android的安全机制，假冒为合法的程序。

据介绍，Android应用安全仰赖PKI机制，Android系统上一般应用程序要在获得凭证完成数字签名验证后，才可以在Android上运行。如果无法通过验证，就只能在Android的沙箱环境下运行。

然而有些应用，如Adobe Flash、Google Wallet等被视为信赖应用，其凭证是写入Android底层程序码中(AOSP)，这种签名具有较高权限可直接运行在Android上，像是Flash可以以当成webview外挂运行，Google Wallet可以获取NFC设备内的支付信息。

Forristal指出，Fake ID漏洞可让恶意程序借取得信赖应用的签名，绕过Android内的安全验证机制运行，因此只要安装一个仿冒的应用程序，就可能遭受到黑客的恶意行为，像是利用Adobe Flash webview外挂运行权限注入木马程序、取得用户财务信息，或是获取整台Android设备的控制权限。

Google指出，公司已扫描过所有送交Google Play的应用及Google检查过非Google Play上架的应用，但没有证据显示有针对该漏洞的攻击行为。