安卓系统安全性生态环境研究-360研究报告.PDF

2017 年第一季度 安卓系统安全性生态环境 研究 2017 年4 月 20 日 摘 要  此报告数据来源为70 万份 “360 透视镜” （360 手机卫士团队发布的一款专业检测手 机安全漏洞的APP ）用户主动上传的漏洞检测报告，检测内容包括最近两年的Android 和Chrome 安全公告中检出率最高的42 个漏洞，涵盖了Android 系统的各个层面。  检测结果显示，截止至2017 年4 月，70 万用户中99.99% 的Android 手机存在安全漏洞， 仅有 4 台手机完全修复了检测中所包含的42 个漏洞。其中，99.8% 的手机存在被攻击 者远程攻击的风险。  Android 版本占比最高的3 个版本分别为Android 5.1 、 Android 6.0 和 Android 4.4 ，比 例分别为31%、24%和25%，而最新版的Android 7.0 和7.1 版本所占比例仅占1%。从 结果上看，Android 版本高低和漏洞数量多少并没有严格的线性关系，但最新版本的 Android 系统漏洞数量明显减少。与上季度相比，Android 5.1 取代Android 4.4 成为当前 用户量最多的操作系统。  用户手机的平均漏洞数量存在比较明显的地域特征，北京、上海、江苏、西藏等地区的 用户手机漏洞数量最少，青海、吉林、甘肃等地区的用户手机漏洞数量相对较多。  男性用户的手机版本平均比女性用户的手机版本低，女性用户的手机平均漏洞数量比男 性用户高。  在安全更新推送时效性方面，推送安全更新最及时的 TOP 5 品牌分别为华为、三星、 vivo、小米和酷派。  其中99.3% 的设备存在浏览器内核相关漏洞，25.3%的设备同时存在4 个浏览器内核漏 洞，仅有0.7% 的设备不受浏览器内核漏洞影响。  安卓手机用户中，约有67.3% 的用户会保持手机系统（特指安全补丁等级）版本与厂商 所提供的最新版本保持一致，约有32.7% 的用户的手机系统版本会保持滞后厂商最新版 本一个月及以上，接近28.4% 的用户会滞后3 个月以上，约有15.1% 的用户会滞后半年 以上。其中保持手机系统更新的用户相较上个季度有较大的增长，但整体形式仍不容乐 观。  与安卓官方最新更新情况相比，用户的手机系统平均滞后了约8.4 个月；但与手机厂商 已经提供该机型的最新版本相比，则平均只滞后了3.1 个月。由此可见，用户手机因未 能及时更新而存在安全漏洞的重要原因之一，就是手机厂商普遍未能实现其定制开发的 安卓系统与Google 官方同步更新，而且滞后性比较明显。 关键词：安卓安全、安卓漏洞、漏洞检测 目 录 研究背景 1 第一章 手机系统安全性综述 1 一、 系统漏洞的危险等级 1 二、 系统漏洞的危害方式 1 三、 系统浏览器内核的安全性2 四、 系统漏洞的数量分布4 第二章 手机系统版本安全性 5 一、 各系统版本漏洞情况5 二、 安卓系统漏洞缓解措施6 第三章 手机系统安全性地域分布7 第四章 手机系统安全性与用户性别的相关性9 第五章 手机系统安全漏洞的修复 11 一、 厂商漏洞修复情况 11 二、 用户主动升级意愿 12 三、 漏洞修复综合分析 13 附录 15 研究背景 在中国，Android 系统作为智能手机中市场占有率最高的移动操作系统，承载着亿万手 机用户的生产生活，大量的Android 开发人员为其添砖加瓦。但树大招风，Android 智能手 机也暴露在各种恶意软件、系统漏洞的威胁之中，无数恶意软件、电信诈骗不断挑战用户的 安全意识，但各种隐藏在系统之中的系统漏洞对用户的手机安全影响更为可怕。 由于 Android 操作系统目前仍未有非常完善的补丁机制