1、 2018 年度 安卓系统安全性生态环境 研究 2019 年 1 月 25 日 摘 要 此报告数据来源为 “360 透视镜” （360 团队发布的一款专业检测手机安全漏洞的 APP, 84 万份漏洞检测报告，检测内容包 括最近两年的 Android 和 Chrome 安全公告中检出率最高的 89 个漏洞，涵盖了 Android 系统的各个层面。 检测结果显示， 截止至 2019 年 1 月， 所测设备中 99.99%的 Android 手机存在安全漏洞， 仅有 0.01%的设备完全没有检测出漏洞，同比 2017 年，手机安全程度呈下降趋势。 Android 版本占比最高的 3 个版本分别为 A
2、ndroid 6.0、Android 5.1 和 Android 7.1，比 例分别为 40%、25%和 14%。与上半年相比，用户整体的版本的更新有所推进，低版本 系统 5.1 和 4.4 数量不断减少，Android 8.0 和 8.1 数量持续在提升，最新的 Android 9.0 版本占比也达到了 0.2%左右。从漏洞分布上看，Android 版本高低和漏洞数量多少并没 有严格的线性关系，由于 Google 目前只对 7.0 及以上系统提供安全更新，所以在高版 本系统（7.0 及以上版本）上，漏洞数量明显减少。 用户手机的平均漏洞数量存在比较明显的地域特征， 北京、 广东等地区的用户手
3、机平均 漏洞数量最少，黑龙江、吉林、青海等地区的用户手机漏洞数量相对较多，这一数据的 顺序较上半年略有变化。 不同性别的用户平均系统版本较上一季度均有所提升， 男性用户的手机平均系统版本高 于女性用户，女性用户的手机平均漏洞数量高于男性用户。 其中 99.1%的设备存在浏览器内核相关漏洞， 浏览器内核漏洞最多的设备同时存在 5 个 漏洞，有近半数的设备浏览器内核漏洞数达到 3 个以上，仅有 0.9%的设备不受浏览器 内核漏洞影响。 安卓手机用户中，约有 46.7%的用户会保持手机系统（特指安全补丁等级）版本与厂商 所提供的最新版本保持一致，约有 10.7%的用户的手机系统版本会滞后厂商最新版本
4、 1 到 3 个月，接近 6.1%的用户会滞后 4 到 6 个月，其余用户会滞后半年以上。 与安卓官方最新更新情况相比，滞后一年以上的手机占 52%，与安卓官方保持同步的 手机仅占 1%。 由此可见， 用户手机因未能及时更新而存在安全漏洞的重要原因之一， 就是手机厂商普遍未能实现其定制开发的安卓系统与 Google 官方同步更新，而且滞后 性比较明显。 关键词：关键词：安卓安全、安卓漏洞、漏洞检测 目 录 研究背景 . 1 第一章 手机系统安全性综述 . 1 一、 系统漏洞的危险等级 . 1 二、 系统漏洞的危害方式 . 1 三、 系统浏览器内核的安全性 . 3 四、 系统漏洞的数量分布 .
5、5 五、 手机安全生态宏观描述 . 6 第二章 手机系统版本安全性 . 8 一、 各系统版本漏洞情况 . 8 二、 安卓系统漏洞缓解措施 . 9 第三章 手机系统安全性地域分布 . 11 第四章 手机系统安全性与用户性别的相关性 . 13 第五章 手机系统安全漏洞的修复 . 15 一、 厂商漏洞修复情况 . 15 二、 用户主动升级意愿 . 15 三、 漏洞修复综合分析 . 17 第六章 新品手机安全更新情况 . 19 附录 . 20 1 研究背景 在中国，Android 系统作为智能手机中市场占有率最高的移动操作系统，承载着亿万手 机用户的生产生活，大量的 Android 开发人员为其添砖加
6、瓦。但树大招风，Android 智能手 机也暴露在各种恶意软件、系统漏洞的威胁之中，无数恶意软件、电信诈骗不断挑战用户的 安全意识，但各种隐藏在系统之中的系统漏洞对用户的手机安全影响更为可怕。 由于 Android 操作系统目前仍未有非常完善的补丁机制为其修补系统漏洞，再加上 Android 系统碎片化严重， 各手机厂商若要为采用 Android 系统的各种设备修复安全问题则 需投入大量人力物力。 随着各种系统漏洞的不断披露， 现存的 Android 智能手机就像一艘漏水的船， 纵然手机 安全软件能够缓解一些安全隐患，但系统中的漏洞仍未能有效修补，攻击大门依旧打开。而 Android 平台之上
7、的安全软件又无法被授予系统的最高权限， 因而 Android 系统安全问题一 直非常棘手。 为了让消费者了解到自己手机的安全性， 360 历时一年打造了中国第一个 Android 平台 的手机漏洞检测工具“360 透视镜”（ ，并向社会公开， 任何用户和个人都可下载安装。 “360 透视镜”应用依据 Android 官方提供的安全补丁更新 通知作为漏洞信息来源，在 Android 系统上实现了无需申请敏感权限即可检测 Android 系统 中存在的漏洞这一核心功能，降低了用户了解自己手机安全状况的限制门槛。 此报告基于“360 透视镜”应用用户主动上传的 84 万份漏洞检测报告，检测内容包括
8、近两年（最新漏洞检测更新至 2018 年 12 月）Android 与 Chrome 安全公告中检出率最高的 89 个漏洞，涵盖了 Android 系统的各个层面，且都与具体设备的硬件无关。我们统计并研 究了样本中的漏洞测试结果数据， 并对安全状况予以客观具体的量化， 希望引起用户和厂商 对于手机系统漏洞的关注与重视， 为 Android 智能手机用户的安全保驾护航， 并希望以此来 推进国内 Android 智能手机生态环境的安全、健康地发展。 1 第一章 手机系统安全性综述 一、 系统漏洞的危险等级 此次报告评测的 89 个系统漏洞， 按照 Google 官方对系统漏洞的危险评级标准， 按照
9、危 险等级递减的排序规则，共分为严重、高危、中危三个级别。 “严重”级别的漏洞对系统的 安全性影响最大，其次为“高危”级别漏洞，然后为“中危”级别漏洞， “低危”级别漏洞未入 选。 在这 89 个漏洞中， 按照其危险等级分类， 有严重级别漏洞 13 个， 高危级别漏洞 56 个， 中危级别漏洞 20 个。其中高危以上漏洞对用户影响较大，在此次安全评测中对此类漏洞的 选取比例达 77.5%。 此次系统安全分析结果显示： 93%的 Android 设备受到中危级别漏洞的危害，99.9%的 Android 设备存在高危漏洞，60.5%的 Android 设备受到严重级别的漏洞影响。 二、 系统漏洞的
10、危害方式 此次报告评测的 89 个系统漏洞， 参照 Google 官方对系统漏洞的技术类型分类标准并加 以适当合并， 按照各漏洞的明显特征分类， 共分为远程攻击、 权限提升、 信息泄漏三个类别。 远程攻击漏洞是指攻击者可以通过网络连接对用户的系统进行远程攻击的漏洞， 权限提升是 指攻击者可以将自身所拥有的权限得以提升的漏洞， 信息泄漏则为可以获得系统或用户敏感 信息的漏洞。 在这 89 个漏洞中，按照其危害方式分类，包括远程攻击漏洞 38 个，权限提升漏洞 33 个，信息泄漏漏洞 18 个。 此次系统安全分析结果显示：99.8%的设备存在远程攻击漏洞，89.7%的设备存在权限 提升漏洞，95.
11、6%的设备存在信息泄漏漏洞。与上半年检测结果相比，信息泄漏漏洞占比增 加， 导致信息泄漏漏洞影响的设备比例增加比较明显； 权限提升类漏洞影响设备占比有所降 2 低，远程攻击类漏洞影响设备占比一直居高不下。 为了观察不同类别的漏洞中哪些影响的设备比例最多， 我们分别对三种类别的漏洞进行 统计排序， 挑选出了各类别中影响设备比例占比前三名的漏洞， 其中影响最广泛的漏洞为权 限提升漏洞 CVE-2018-9467，89.1%的设备都存在这个漏洞，该漏洞影响范围如此广泛主要 是因为该漏洞影响 Android 版本范围是 4.4 到 9.0； 信息泄漏漏洞中， CVE-2018-9349 已经跌 到第三
12、位，仅影响 58.9%的设备，取而代之的是 CVE-2018-9421，影响 73.9%的设备；远程 攻击漏洞中，CVE-2015-7555 被 CVE-2018-9491 取代成为影响设备最多的远程攻击漏洞， 影响 57.3%的设备。 虽然三种类型漏洞中影响设备排名第一的都是新加入的漏洞， 但是历史漏洞的影响范围 依然十分庞大。比如 CVE-2015-7555 和 CVE-2017-0666，这两个漏洞分别是 Google 在 2017 年 5 月和 7 月安全公告中公开的漏洞，目前依然影响 51.6%和 48.4%的设备。对比本季度的 数据中可以发现，历史漏洞的影响比例整体有所下降，但新旧
13、漏洞如同波浪一般，层出不穷 3 并且形式依然严峻。 这表明随着新机型的加入和系统的更新， 安卓设备的安全性整体处于不 断推进安全更新的过程之中。 远程攻击漏洞，是危险等级高、被利用风险最大的漏洞，也是我们最关注的漏洞，为此 我们从 2016 年第四季度开始，跟踪了四个比较重要的远程攻击漏洞的影响趋势变化，如下 图所示。 整体趋势上看，随着时间的推移，这四个远程攻击漏洞的影响力在不断减小，但是截至 2018 年四季度，这四个漏洞依然影响近 40%的用户手机安全。但是随着新的远程攻击漏洞 的加入，受远程攻击漏洞影响的设备比例会更高，安全形势不容乐观。 三、 系统浏览器内核的安全性 系统浏览器内核是
14、用户每日使用手机时接触最多的系统组件，不仅仅是指用户浏览网 页的独立浏览器，实际上，许多安卓应用开发者考虑到开发速度、保障不同设备之间的统一 性等因素，会使用系统提供的浏览器内核组件。因而用户在每日的手机使用中，大多会直接 或间接地调用系统浏览器内核。 在此次评测中，系统浏览器内核是指 Android 系统的 Webview 组件的核心，在 Android 4.4之前， Android系统的Webview是基于Webkit的， 在Android 4.4及以后的系统中， Webview 的核心被换成了 Chromium(Chrome 的开源版本，可近似理解为 Chrome)。 在最新统计的样本中
15、，Webkit 所占比重几乎为 0，与 2017 年度相似，说明 4.3 及以下 系统手机已经几乎淡出历史舞台。截止至本季度，当前 Google 发布的 Android 平台 Chrome 稳定版的内核的最新版本为 Chrome 71，而在此次检测中有约 0.2%的用户将自己手机中的 浏览器内核升级至最新。 而从图中可以看出， Chrome 内核版本大于等于 55 的设备占 39%， 较 2017 年 12 月的 24%提升 15%。对比上半年的数据，版本大于 50 的设备比例有所增长， 从 44%增至 48%。在此次检测中，浏览器更新情况有了很大提升，说明国内厂商有更新浏 览器内核的举措。同
16、时，在检测样本中，出现了用户主动更新浏览器内核的情况，有部分用 户手动升级了 Chrome 内核至 72Beta 版， 说明用户对于安全更新是十分渴求的。 总的来说， 浏览器内核整体版本有所跟新推进， 国内安卓系统生态圈中对浏览器内核的更新进度相对有 4 所增强。 为了研究不同浏览器内核版本的安全性， 我们统计了不同版本的浏览器内核的平均漏洞 个数。下图显示了不同 Webview 版本平均漏洞数量，其中内核版本在 Chrome 55 以下的版 本中漏洞数量明显高于 Chrome 55 以上版本，Chrome 65 以上版本漏洞数量相对最少。从图 中可以看出较新版本浏览器内核漏洞数量相对较少，
17、其中 Chrome 71 版本及以上的设备平均 漏洞检出情况则为 0。同时，2017 年度未检测出漏洞的 57 版本在今天也检测出了存在 2 个 漏洞， 浏览器漏洞也是在不断出现并威胁着浏览器的安全。 以上数据充分说明保持最新版本 的浏览器内核可以十分有效增强手机浏览器内核的安全性。 浏览器内核漏洞多数可通过远程方式利用， 因而对于用户的手机安全危害较大。 安卓系 统浏览器内核漏洞的分布情况如下图所示。 其中 99.1%的设备存在至少一个浏览器内核漏洞， 16.6%的设备同时存在 4 个浏览器内核漏洞，漏洞数量最多的设备同时存在 5 个漏洞。仅有 0.9%的设备不受浏览器漏洞影响。与上半年数据
18、相比，存在浏览器内核漏洞的设备占比没 5 有变化，仍为 99.1%，但设备的平均浏览器内核漏洞个数是有所降低的。所以整体来看浏览 器升级情况有所提升， 浏览器内核版本的更新缓解了一部分老旧漏洞的影响， 但新漏洞的出 现瞬间挑战了大量设备的安全性，用户依然暴露在浏览器漏洞的威胁之中。 四、 系统漏洞的数量分布 为了研究用户手机中漏洞数量的分布规律和对用户手机中的安全等级做一个直观的评 分，我们统计了所有样本中手机存在漏洞个数的比例分布，结果如下图所示。 在此次测试中，我们检测了 89 个已知漏洞，有 99.99%的设备存在至少一个安全漏洞， 这一数据较 2017 年 93.94%的比例提升明显，
19、较上半年 99.97%的比例略有提升，漏洞最多 的设备同时包含有 61 个安全漏洞。存在 10 个、20 个及以上漏洞的比例有所降低，但依然 保持较高的比例。 为了研究近两年用户手机中漏洞数量的变化， 同时反映用户手机安全性的变化情况， 我 6 们总结了自 2016 年至今的漏洞数量比例分布及趋势，结果如下图所示。 可以发现，手机存在漏洞的比例整体居高不下，同时若增加检测力度，用户手机整体的 安全形势将会表现的更加严峻。 如果手机厂商积极做好手机系统的安全补丁更新工作， 现行 手机系统的安全防护能力就会有明显的提升。 虽然国内厂商在不断地对安卓设备进行安全更 新，但是安全漏洞也层出不穷，存在漏
20、洞的设备比重仍然居高不下。 五、 手机安全生态宏观描述 为了研究用户手机中漏洞数量的宏观情况，我们统计了如下宏观描绘图。 其中， 各个独立的方块都代表一款具体型号的安卓设备； 方块面积表示该型号设备使用 人数的多少， 使用的人数越多则相应面积越大； 其颜色由绿色到红色之间的渐变代表了该型 7 号设备的平均安全水平。 由图中可以看出， 对于市场占有率高的产品其安全更新情况更加乐 观一些。对比上一季度，新设备的安全补丁更新情况有了很大的进步，厂商对于手机系统安 全补丁的重视程度和投入有了明显的改善， 多数国内主流厂商均有更新推送新设备的安全补 丁，一线厂商则将系统更新至与安卓官方同步（2018-1
21、2） ，但宏观上看安全情况更加严峻， 主要原因是新设备所占比例相对较低，正在使用的设备绝大部分还是难以更新的老旧设备。 8 第二章 手机系统版本安全性 一、 各系统版本漏洞情况 由于 Android 系统在升级时不可直接跨版本升级而厂商往往又不愿意为旧机型耗费人 力物力适配新系统，因而在一定程度上导致了 Android 系统版本的碎片化。 为了研究不同版本的安卓系统的安全性，我们统计了样本手机所使用的安卓版本分布， 并进一步对这些不同的版本的漏洞数量进行了统计分析。 采用 Android 系统版本的分布情况如下图所示，在此次样本中，Android 系统占比最高 的3个版本分别为Android
22、6.0、 Android 5.1和Android 7.1， 比例分别达到40%、 25%和14%， Android 4.4 已经跌出 Top3。 Android 8.0 和 8.1 系统也各有约 2%的占比， 而最新版的 Android 9.0 版本比例仅为 0.2%。 与 2017 年相同，Android 6.0 依旧为最流行的系统版本，但 6.0 及更高的系统版本所占 比例有了明显提升，这与历史进程和我们的预期均相符。Android 5.1 和 Android 4.4 所占比 例继续降低，但低于 6.0 版本的设备依然占据了约 39%的比例。Android 8.0 和 8.1 的比例有 一
23、定幅度的上升，同时出现了少量的 Android 9.0 版本，这不光意味着版本号上的更新，更 意味着更多的用户能够享受到新版 Android 系统所带来的一系列安全更新，其中包括更先 进的隐私敏感权限动态管理功能和更新功能， 而这在一定程度上也极大的增强了用户手机隐 私的安全性。在 Android 8.0 引入了一项叫做 Project Treble 的功能，可以缓解安卓系统更新 滞后的问题，我们也希望看到这一功能得以最大化发挥作用。但由于 Google 官方对此技术 的要求为：出厂预置 8.0 及更高系统的新手机必须支持 Project Treble，出厂预置低于 8.0 的 系统在升级 8
24、.0 后可选配置 Project Treble， 根据我们观察， 目前有许多设备虽然升级到了 8.0， 但仍不支持 Project Treble，新系统、新设备仍无法获得 Google 官方的安全更新，故短时间 内，安卓系统的碎片化和老旧设备的比例依然会保持较高比例，安全状况依然形势严峻。 通过对每个 Android 版本平均漏洞数量进行统计，得到如下图所示结果。从图中可看出 Android 5.1 及其以下版本平均漏洞数量较多，且整体较上一季度的平均漏洞数保持增加趋 9 势， 这很大程度上是由于部分老旧设备无法获得更新而我们检测的漏洞又在持续增加， 因此 造成了这种现象；而 Android
25、7.1 以上系统则更为安全，平均漏洞数量急剧降低。 从图中可以看出，安卓系统版本与漏洞数量并不是简单的线性关系。Android 5.0 以下 版本漏洞数量随版本升高而递增，并不是说明 Android 版本越高越不安全，而是因为此次检 测主要关注的是最近两年的漏洞， 相对版本越老的 Android 系统因为不支持较新的功能而可 能不存在相应的漏洞。另外，由于 Google 已经不再为 Android 6.0 及以下系统版本提供安全 更新，导致相对于去年的检测数据，Android 6.0 及以下系统的平均漏洞数一直居高不下。 反观对于 Android 7.0 及以上系统版本， 由于持续的安全补丁推
26、送， 平均漏洞数相对低很多。 实际上系统的安全性受到厂商重视度、系统功能的多少与变动，甚至服役时间、普及程 度、 恶意攻击者的攻击价值等等因素的共同影响， 但修补了历史已知漏洞的最新系统往往会 相对安全些。 二、 安卓系统漏洞缓解措施 随着 Android 版本号的提升，其安全手段与漏洞缓解措施也在逐次加固。通常来说，版 本越新的安卓系统，其安全防护手段越强，系统漏洞利用的难度也越大。 例如，从 Android 4.3 开始，安卓开始引入 SE Linux 沙盒机制，并在后续的版本中不断 对其进行加固 ，从 Android 5.0 开始，引入全盘加密，以保证用户的信息安全。Android 7.
27、0 中提供了基于文件的加密， 进一步保证了用户的信息安全； 并实现了深层次的地址随机化机 制， 使得本地权限提升的攻击难度显著提高。 该版本 Android 系统中 Google 工程师对 Media Server 进行了重构，将其按照最小权限原则将之分隔成多个独立的进程与组件，从而即使其 中某一个进程或组件存在漏洞， 攻击者也无法直接在别的进程空间内执行代码； 并且在整个 Media Server 的编译过程中新增了整型溢出防护机制，从而从编译阶段杜绝类似于 Stagefright 漏洞利用情况的出现。在 Android 8.1 中，系统的安全性又进一步增强，如引进 Project Treb
28、le，进一步提升了对设备特定组件的攻击保护；Webview 方面也有提升，Android 8.0 中 Webview 运行在独立的沙箱进程中， 对系统其余部分的访问非常有限。 最新的 Android 9.0 也加入了很多安全特性，如新的硬件安全性模块，具有密钥轮转的 APK 签名方案等， 可以更加有效的保护用户的设备及应用安全。 10 不论从漏洞数目， 还是漏洞防护机制上， 最新版本的安卓系统均比低版本安卓系统安全 性更好。而国内由于安卓碎片化的情况，仍存在大量低版本的带有漏洞的安卓设备。 11 第三章 手机系统安全性地域分布 正如电信诈骗、伪基站等有明显的地域分布特征，为了更加细致地探究系统
29、漏洞与不 同省市之间的关系，我们根据样本数据中地域信息进行了统计和分析。 下图为各省份平均每台手机漏洞数量，数值越大，说明该地域安卓手机的安全性相对 越低、越不安全；数字越小，则代表该地域安卓手机的安全性越高。手机安全性最低的前三 名为黑龙江、吉林、青海，平均每台手机拥有漏洞数分别为 23.1、22.9、22.8 个。而安全性 最高的前三名为广东、北京、福建，平均每台手机拥有漏洞数 20.2、20.6、20.7。大致上， 经济越发达的地区，用户所使用的手机的平均漏洞数量越少，手机安全性相对越高。 12 用热力图表示如上图所示，可以更好的看出平均漏洞数的地域分布特征。颜色越红的 地区，手机的安全
30、性越低，颜色越浅的地区，手机安全性越高。 13 第四章 手机系统安全性与用户性别的相关性 由于性别上天生的性格、喜好等的差异，不同性别的用户在选择手机时可能会有不同 的侧重点， 比如女性用户可能在外观、 轻薄、 颜色等方面着重考虑， 而男性可能更侧重性能、 屏幕尺寸等因素。 一部手机在其服役周期内也可能会因时间的推移而被不同的使用者所使用， 而厂商在手机的升级维护中，不同手机又会有不同的策略。 为了探究手机系统的安全性与用户性别之间有无联系，我们调研了 1000 位用户的性别 信息，统计了不同性别用户与其手机的安全性之间可能的关系。 从上图中， 我们可以清晰的看出： 在此次评测中， 男性与女性
31、使用的平均版本差异不大， 与上半年数据相比，整体比例无过大变化，只是 7.1 及以上的新版本系统所占比例提升比较 明显。 14 不同性别用户手机系统中存在的漏洞情况如上图所示。我们可以看到女性手机的平均 系统版本数值约为 22.5 (数值为系统 API 版本，为 Google 官方为便于安卓版本的计数而提 供的一个版本的数字代号，其中 5.0 为 21，5.1 为 22，6.0 为 23)，即平均使用的系统版本 在 Android 5.1 和 6.0 之间，而男性使用的平均版本号也为 22.7，与女性用户平均使用的 Android 版本号十分接近，但男性用户的手机平均手机版本还是略高于女性用户
32、。 对比上半年数据，男性和女性的平均系统版本均有所提升，但平均来看，女性提升幅 度较小，仅为 0.8%，而男性用户则平均提升了 1.8%。 在此次统计中，无论男性还是女性用户，平均漏洞个数均有所提升。其中，女性手机 平均漏洞个数提升较为明显，较上季度增加幅度为 12.7%，而男性用户平均漏洞数量增加幅 度仅为 5%。Android 5.1 版本漏洞较多同样体现在了这次的报告当中，可以看到，女性用户 手机版本号更接近 5.1 版本，对应的漏洞数量也要多一些。这和我们所述的对于不同版本的 安卓系统中高于 5.1 版本的系统平均漏洞个数开始递减的结论保持一致。 15 第五章 手机系统安全漏洞的修复
33、受到 Android 系统的诸多特性的影响，系统版本的碎片化问题日益突出。就每一款手机 而言，厂商在其维护周期内，通常会隔一段时间向用户推送一次升级版本，而用户在大多数 情况下可以自主选择升级或不升级。综合这些特性，在 Android 系统的安全漏洞方面，也产 生了严重的碎片化问题。 在 Android 系统中，存在一个名为“Android 安全补丁级别”的字段，它是 Google 公司向 第三方安卓手机厂商推送的一个 Android 安全补丁的日期号， 旨在为安卓设备的已知漏洞的 修复情况做一个简单的说明。 当前 Google 对于 Android 7.0 及其上版本号的安卓系统会定期 推送
34、更新，如果厂商遵循 Google 公司的建议正确打入补丁，那么手机中显示的安全补丁级 别越高，即日期越新，手机的安全情况就相对越安全。 为了探究手机系统中已知安全漏洞的修复情况，我们对样本中不同设备型号、不同系 统安全漏洞的修复情况做了相关研究。 一、 厂商漏洞修复情况 为了探究国内厂商为现存设备修复安全漏洞的情况，我们统计了样本中不同厂商手机 目前的安全补丁级别情况。 下图为各厂商手机中实际存在的安全补丁级别情况，该情况是将各厂商现存手机中实 际补丁日期与 Google 官方最新版本（2018 年 12 月）版本对比，综合安全补丁级别最高、 最新的手机品牌前 5 名。图中绿色方块面积越大，说
35、明该厂商的手机补丁级别相对越高，漏 洞修复相对越及时；相反，如果黄色和橙色面积越大，则说明补丁级别越低，漏洞修复越滞 后。 图中我们可以看出，在及时推送安全补丁级别方面，TOP5 的厂商在本年度检测结果显 示较好， 而且在本年度调研中这五个厂商均有保持与谷歌最新安全补丁同步的更新提供， 相 较 2018 年上半年安全补丁更新情况也有所改善，这也显示了厂商对于用户手机中安全补丁 16 等级的逐步重视。 二、 用户主动升级意愿 为了探究用户主动升级系统的意愿，我们统计了不同厂商、不同机型、不同安全补丁级 别的分布情况。 此统计为在每个机型中， 观察用户是否主动保持这个厂商对此机型提供最新 版本。
36、整体上，可以明显发现近半的用户还是很有安全意识的，从统计数据中可以看出，约有 46.7%的用户能够保持手机系统中安全补丁等级的版本与厂商所能提供的最新版本保持一 致，这一比例相较 2018 年上半年提升了 4.7 %。总体而言，更新滞后的平均时间在缩短。 但是仍有 10.7%的用户的系统版本滞后厂商最新版本 1-3 个月， 大约 6.1%的用户手机版 本滞后 4-6 个月，约 14.6%的用户手机版本滞后半年以上，有 21.8%的用户手机版本滞后官 方最新版本达一年以上， 而这些用户将比保持系统更新的用户暴露在更多的漏洞与更高的攻 击风险之中。 我们还统计了近两年来用户与手机厂商保持更新的比例
37、变化情况，如下图所示。 17 整体来说， 近半用户还是会愿意保持系统更新至最新版本， 但是保持更新的比例并没有 呈现上升趋势，而且更新比例仍然偏低，一半以上的用户手机处于高风险状态。但值得注意 的是，2018 年第四季度保持系统更新的用户比例有明显提升，一方面是 Google 加强了版本 更新控制，一方面也体现了手机用户安全意识的提升。 对于安卓手机用户来说， 其手机操作系统大多由手机厂商在其维护周期内提供更新。 但 往往会有用户手机服役周期超出厂商维护周期（通常为两年）的情况，此时，考虑到手机硬 件条件、用户体验等问题，大多数厂商通常都不会再提供系统更新服务，也因此会导致某些 手机机型系统无
38、法与最新的安卓版本保持一致。 从移动网络安全角度来看， 我们建议手机厂商在不影响用户体验的基础上， 尽量为手机 用户提供系统漏洞安全补丁方面的更新，以保护用户移动安全不受影响。 三、 漏洞修复综合分析 下图给出了用户手机系统与安卓官方系统、手机厂商系统的更新情况对比。 18 可以看到，近一半的手机用户能够保持手机系统与厂商最新系统的同步更新，且近 6 成用户能够在厂商推出更新版本后三个月内更新自己的手机。 但能够享受与安卓官方最新系 统保持同步更新服务的用户则仅为 1.0%，较 2018 年第二季度比例有所下降；滞后时间小于 3 个月的用户也只有 7.5%，下降 16.1%；同时注意到滞后 1
39、 年以上的手机系统比例明显有所 提升，这也是由于老旧机型逐步淘汰的结果。可以看出，Google 公司推出安全更新的速度 正在加快，但厂商和手机用户安全更新的速度相对较慢。 综合对比用户手机系统的更新状态、 安卓官方的更新状态和手机厂商的更新状态， 我们 发现：与安卓官方最新更新情况相比，用户的手机系统平均滞后了约 10.9 个月，但与手机 厂商已经提供该机型的最新版本相比，则平均只滞后了 5.1 个月，尽管这两个数据较 2018 年第二季度已经有所降低， 但用户手机因未能及时更新而存在安全漏洞的重要原因仍然是手 机厂商普遍未能实现其定制开发的安卓系统与安卓官方同步更新，而且延时较大。 19 第
40、六章 新品手机安全更新情况 由于安卓官方在早期安卓版本中对于安全补丁没有统一的补丁策略，导致大部分早期 手机厂商发布手机产品后即使想对手机系统安全情况予以修补也会受到较大的阻力。 主流消 费者在当今所购买的手机是最新款发布的型号， 为了探究主流厂商在今天对于新机型的安全 更新情况，我们特意选取了自 2017 年以来的数据并分析安卓 7.0 及以上手机的安全补丁更 新情况。 为了探究主流机型的安全更新情况，我们以不同时间下安全补丁等级的分布情况作为 数据信息，经汇总分析后，结果如下图所示 。 图中横坐标代表检测结果中出现的不同安全补丁等级，纵坐标代表我们不同的检测时 期（从 2017 年第二季度
41、至今） 。即图中色块表示在检测结果中的安全补丁等级的分布情况， 综合多次检测结果即可判断系统安全补丁等级的变化趋势。 从图中我们可以看出，主流机型在 2017 第二季度至 2018 第四季度的过程中，图中呈 现比较明显的以浅色为主变为深色占比明显的迁变趋势。 即设备中安全补丁等级是在随着时 间的推进而不断更新的，没有出现大范围停止更新的情况。事实上，一方面安卓系统安全补 丁等级机制为厂商更新系统提供了便利， 另一方面厂商对于主流机型安全更新的也确实在持 续投入，因此新品手机的持续安全更新情况，较以往有了较大的改善。这说明主流手机厂商 不再是消费者所抱怨“只管卖不管维护”的极端情况了，厂商在手机
42、安全方面做了一定的努 力，有了显著的效果。对于消费者来说，在进行手机的更新换代时可以更加放心的去选择有 持续安全更新的厂商。 20 附录 此次分析中所检测的 89 个漏洞的编号如下表所示。 漏洞编号 公布时间 级别 漏洞类型 漏洞简述 CVE-2016-0838 2016/01/12 严重 远程攻击 Sonivox 组件中的远程攻击漏洞 CVE-2016-0841 2016/02/26 严重 远程攻击 MetadataRetriever 组件中的远程攻击漏 洞 CVE-2015-1805 2016/03/18 严重 权限提升 Pipe 条件竞争 Root 漏洞 CVE-2016-2430 2016/03/25 严重 权限提升 Debuggerd 中的权限提升漏洞 CVE-2016-2463 2016/06/01 严重 远程攻击 媒体服务进程中的远程攻击漏洞 CVE-2016-3861 2016/09/01 严重 远程攻击 国际编码漏洞 CVE-2016-5195 2016/12/05 严重 权限提升 脏牛漏洞 CVE-2017-0471 2017/03/01 严重 远程攻击 媒体服务中的远程攻击漏洞 CVE-2017-0589 2017/05/01 严重 远程攻击 媒体服务中
sgpjbg002
工作日 8:30 - 17:30
会员动态：
报告分类
新质生产力
ChatGPT
新能源汽车
大模型
Sora
机器人
微短剧
芯片
薪酬
白皮书
低空经济
数据要素
创新药
人工智能
AI产业
信息科技
互联网
消费经济
汽车交通
电商零售
传媒娱乐
医药健康
投资金融
能源环境
地产建筑
传统产业
英文报告
其它
扫码登录
手机快捷登录
账号登录
