软件安全问题频现 超150种方法可窃取Android应用权限

Posted 2021-05-21 中科天齐软件原生安全

根据斯洛伐克网络安全公司对android平台的86种跟踪软件分析发现，在来自58个不同供应商的Android Stalkerware应用程序中，竟发现了158个隐私和安全问题。这些应用程序帮助犯罪分子控制受害者设备，实现账户跟踪、数据截获和远程代码执行，甚至还能上传伪证陷害受害者，大大增加网络攻击和欺诈的风险。

虽然存在极大的网络安全风险，但目前只有6家供应商修复了应用程序中存在的问题，44家选择不对外公布网络风险信息，7家表示他们即将更新应用以解决这些缺陷，还有1家不做处理。

跟踪软件也称间谍软件，通过侵入软件使得无需经过个人同意，即可远程监视用户设备上发生的活动，实施密切监视、骚扰、跟踪和暴力。

这家网络安全公司表示，和2019年相比，2020年Android间谍软件检测量激增48%，比2018年增长了5倍。尽管Google已经对跟踪软件和监视技术进行限制，但依旧避免不了跟踪软件设法躲开防御。

是什么原因导致网络安全问题频繁出现?

一方面，跟踪软件使得用户在未知情况下敏感信息被获取，发生数据泄漏，增加被恶意攻击的风险，另一方面，部分应用程序禁用安全防御系统，故意削弱设备的安全性，这给发生网络安全事件提供了基础条件。此外，应用程序对用户上传的数据没做好充分的验证保护，使数据存储在弱安全的环境中。

当前正值数字经济崛起的时代，作为社会经济发展新的驱动要素，软件的安全性和可用性同等重要，保障软件安全不但是网络安全的基础一步，也是社会稳健发展的必要条件。保障网络安全需要整个社会更加重视对应用软件及代码的安全防御。

为什么要注重加强应用软件及代码的安全防御能力?

众所周知，网络安全事件都是从系统中存在的漏洞开始的。网络犯罪分子无时不刻都在扫描网络中存在的漏洞和缺陷，以获得下手的机会。这些漏洞和缺陷一方面是系统在运行时产生的，另一方面就是源代码结构不够严谨，出现语句语法不规范或逻辑混乱等问题。这些问题一旦被犯罪分子发现，造成后果的严重性是无法预计的。所以，为了减少或杜绝这些漏洞出现，除了进行动态应用程序安全性测试(DAST)，在开发阶段还有必要加强静态代码安全检测分析(SAST)。

静态代码安全检测是一种对源代码进行安全测试的技术，可以在程序开发过程中快速查找源代码在语义、语法及逻辑上出现的漏洞，同时能识别、追踪有可能因代码规范/缺陷造成的安全漏洞，从核心加强代码的原生安全，减少漏洞发生。

软件安全是网络安全的基础组成部分，“软件安全检测修复”是现有网络安全防护手段的重要补充。中科天齐Wukong(悟空)静态代码检测工具，从源码开始，为您的软件安全保驾护航!

关键词标签：数据泄漏 网络安全 软件安全 静态代码检测 跟踪软件

参读链接：https://www.woocoom.com/b021.html?id=d9aef6b8855f45238d6c228342a7c9b0