由假小米手机谈到Android分化资安隐忧

Android 设备阵营不断朝多元化发展的情况在电子产业界已经是常态，不过在中国市场，Android操作系统出现不同"分支"的情形似乎也有越演越烈的趋势。 一方面，这显示了中国智能厂商的独创性，他们积极以开放性的Android操作系统为基础打造自己的"变种"版本；在另一方面，安全专家则对可能衍生的企业数据安全性表示忧虑──因为在跨国企业日益风行的员工自|带设备"BYOD (bring your own device)"趋势。 美国传感器解决方案供货商PNI Sensor技术长George Hsu最近接受 EETimes 美国版编辑采访时表示："中国智能厂商本来一直很担心Google在智能操作系统上的主导性，不过现在好多了，因为Android阵营已经越来越分散。" Hsu指出，今日的中国智能厂商胆子更大、也更有创意，会将手机产品打造为拥有独特的风格；举例来说，他们不会等待Google推出不关机应用程序如Google Now之类的特定功能，而是藉由自己添加硬件技术，像是传感器中枢(sensor hub)，好在新型智能产品中整合独特的环境感知功能。 从Android分|裂生殖却不能兼容的新版本 在此同时，中国市场出现一个明显的趋势，就是开发"从Android分|裂生殖但是又与Android不兼容的"衍生版本；阿里巴巴集团(Alibaba Group)子公司阿里云开发的"Yun OS"就是一例。 据了解，阿里巴巴开发Yun OS是为了推广该公司自家电子商务应用程序以及其他服务。不久前阿里巴巴还宣布对中国二线智能品牌魅族(Meizu)投资5.9亿美元，部分中国市场观察家形容阿里巴巴此举是操作系统之战，是该公司希望进一步在手机领域推广Yun OS。 目前并不清楚有多少中国Android智能通过Google的兼容性测试套件(compatibility test suite，CTS)，且遵循Google的兼容性定义文件(compatibility definition document，CDD)；安全专家警告，不符合Google的CTS或CDD之设备会带有已知的安全漏洞(这在通过Google认证的Android版本是可以避免的)。 一家总部位于美国旧金山的资安厂商Bluebox最近发表了一份报告，指出中国智能品牌小米(Xiaomi)的米4智能被预载了恶意软件。

根据Bluebox的原始报告，他们发现有小米出货的米4配备了root过的ROM，而且被预载了被窜改的热门效能评测(benchmarking)应用程序；该报告并尺出，小米自己的识别应用程序显示那支手机是合法的小米官方产品。 不过在原始报告发表的两天后，Bluebox坦承该份报告的主角是一支"仿造得维妙维肖"的假小米手机；于是这个故事演变成，原来是安全专家被以假乱真的仿冒品骗了，那篇报告当然也是错误的内容。 这起乌龙事|件虽然让Bluebox的声誉受到影响，但也提供了电子产业一些有价值的观点，让大家开始关注现在市场上越来越多的中国品牌智能手机。 本文下一页：从Bluebox上当事|件学到的教训

{pagination} 从Bluebox上当事|件学到的教训… 而Bluebox相信，他们的上当经验凸显了几个问题；该公司首席安全分析师Andrew Blaich接受EETimes采访时表示："首先，我们不能完全相信自己正在使用的设备。"就算是Bluebox 这样的安全专家，也很难确认设备的软硬件可信赖度。 "第二，我们现在知道，就算是合法的硬件设备，软件也能很轻易地被调包；"Blaich指出："换句话说，无论设备是否为仿冒品，事实是消费者所购买的设备里面的ROM (无论是合法或仿冒硬件)，就会让他们的个资面临风险。" 小米对于自家以Android为基础的操作系统MIUI非常自豪，该公司将之视为产品广受欢迎的原因之一；不过Bluebox一开始就认为MIUI是"Android的分支(未取得官方认证)，而且不包含Google的服务"。 但后来Blaich坦承其错误，并表示在咨询过小米的安全团队之后，Bluebox了解到，小米是"走出了自己的路"来"遵循所有的Android最佳实践"。 小米在针对Bluebox原始报告的响应中表示："MIUI是纯粹的Android，这意味着MIUI确实遵循了Android CDD，也就是Google对兼容Android设备的定义；而且它通过了所有Android CTS测试，该程序是产业界所使用、确保既定设备是完全能与Android兼容。在中国市场与国际市场销售的小米设备都是完全能与Android兼容的。" 如何确认设备的可信赖度？ 如Bluebox所言，要如同资安厂商那样进行测试来确认小米设备的可信赖度，所需花费的工夫超过了一般消费者愿意为确保购买的产品是正品所付出的。 而后来证实，在小米手机上装载的MIUI ROM已经被修改过，能绕过Google的AntiFake辨别真伪应用程序。Bluebox的实验室发现："在SD卡上有一个隐藏的目录(directory)，名为.apk，在这个隐藏目录中有一些Android应用程序套件档案(APK)，扮演类似CPU-Z应用程序的角色，以及某个版本的AntiFake应用程序。" Blaich表示，如果使用者尝试在手机上安装的某个应用程序与那些套件档案相对应，SD记忆卡上的该应用程序就会取代用户打算下载的那个真的应用程序，这是手机的ROM用以绕过认证程序的一种方法。 本文下一页：手机中加入独家传感器避免风险 {pagination} 手机中加入独家传感器避免风险 究竟中国品牌的智能有多少是采用Android操作系统的"分支"？对此Blaich表示Bluebox也没有确切的数据，他强调他们所做的调查并没有获得Google的报酬，也不是要特别针对中国的智能执行什么维持治安任务。 Blaich解释，中国手机厂商的动机完全有可能只是为了建立自己的生态系统，开发一些让自家手机品牌与云端服务、应用程序商店链接的置入性|服务。 大多数中国智能厂商只在中国市场销售产品，发现没有具说服力的理由让它们一定要遵循Android CDD与CTS，因为Google的服务在中国市场是被禁止的；Bluebox认为，中国厂商开发的移动设备很少是真的采用通过Google认证的Android版本。 如果对中国的消费者来说，Google服务又不能使用，为何还要担心中国市场上的Android手机缺乏Google认证？ Bluebox的业务就是尽可能保护移动设备上的企业数据安全，Blaich 表示："我们需要密切注意最新的Android设备；"因为BYOD趋势在企业界越来越盛行，他强调："跨国公司的员工可以轻易使用这些手机，最后不小心把公司机密数据泄漏出去。" 在手机中加入独家传感器 "使用不安全的(BYOD)设备，是把你的个资以及公司的数据置于风险之中。"不过Blaich也同意PNI的Hsu所言，因为置入性|服务风行："有一些成功的案例让中国手机厂商发现，添加自己的硬件或是修改Android操作系统，以及利用那些传感器数据来建立自己的支持与服务是有好处的。" 根据Hsu的观察，有部分中国手机厂商藉由采用硬件解决方案让手机具备特定功能，而越来越减少对Google的依赖，这种硬件方案就是传感器中枢；他解释，传感器中枢被视为一个"客制化区块"，能让中国智能厂商打造具差异化的应用程序与服务，培养自己的客户群。 Hsu预期，接下来几年智能市场的一大趋势，将会是"具备环境感知功能的不关机手机"，而为了打造更具创意的应用，厂商将在传感器中枢领域发现一片"绿草地"。 本文授权编译自EE Times，版权所有，谢绝转载