Android 4.2 中的安全增强功能

Android 提供了一个多层安全模型,Android 安全性概述中对该模型进行了介绍。每个 Android 更新版本中都包含数十项用于保护用户的安全增强功能。以下是 Android 4.2 中引入的一些安全增强功能:

  • 应用验证 - 用户可以选择启用“验证应用”,并且可以选择在应用安装之前由应用验证程序对其进行筛查。 如果用户尝试安装的应用可能有害,应用验证功能可以提醒用户;如果应用的危害性非常大,应用验证功能可以阻止安装。
  • 加强对付费短信的控制 - 如果有应用尝试向使用付费服务的短号码发送短信(可能会产生额外的费用),Android 将会通知用户。用户可以选择是允许还是阻止该应用发送短信。
  • 始终开启的 VPN - 可以配置 VPN,以确保在建立 VPN 连接之前应用无法访问网络。这有助于防止应用跨其他网络发送数据。
  • 证书锁定 - Android 的核心库现在支持证书锁定。 如果证书未关联到一组应关联的证书,锁定的域将会收到证书验证失败消息。 这有助于保护证书授权机构免遭可能的入侵。
  • 改进后的 Android 权限显示方式 - 权限划分到了多个对用户来说更清晰明了的组中。在审核权限时,用户可以点击权限来查看关于相应权限的更多详细信息。
  • installd 安全强化 - installd 守护程序不会以 root 用户身份运行,这样可以缩小 root 提权攻击的潜在攻击面。
  • init 脚本安全强化 - init 脚本现在会应用 O_NOFOLLOW 语义来防范与符号链接相关的攻击。
  • FORTIFY_SOURCE - Android 现在会实现 FORTIFY_SOURCE,以供系统库和应用用于防范内存损坏。
  • ContentProvider 默认配置 - 默认情况下,对于每个内容提供方,以 API 级别 17 为目标的应用都会将“export”设为“false”,以缩小应用的默认受攻击面。
  • 加密 - 修改了 SecureRandom 和 Cipher.RSA 的默认实现,以便使用 OpenSSL。为使用 OpenSSL 1.0.1 的 TLSv1.1 和 TLSv1.2 添加了安全套接字支持
  • 安全漏洞修复程序 - 升级了开放源代码库,新增了一些安全漏洞修复程序,其中包括 WebKit、libpng、OpenSSL 和 LibXML。Android 4.2 中还包含针对 Android 特有漏洞的修复程序。有关这些漏洞的信息已提供给“开放手机联盟”(Open Handset Alliance) 成员,并且 Android 开放源代码项目中提供了相应的修复程序。为了提高安全性,部分搭载更低版本 Android 系统的设备可能也会包含这些修复程序。