在近幾年，功能日益強大的智能手機和其他移動設備開始進入企業(yè)環(huán)境，安全專家經(jīng)常擔心移動惡意軟件也會隨之增加，正如十多年前在電腦領域所看到的那樣。但根據(jù)最新的報告顯示，這種擔憂在很大程度上不切實際，因為移動應用的數(shù)據(jù)收集對企業(yè)和用戶構成更大的威脅。

應用分析供應商Appthority在本月發(fā)布的關于移動應用信譽的報告中，詳細介紹了Android和iOS移動平臺中目前前100名免費應用和前100名付費應用的數(shù)據(jù)收集情況。Appthority公司通過在測試環(huán)境中對所有400個應用運行靜態(tài)、動態(tài)和行為應用分析來收集了報告中的這些數(shù)據(jù)。

在Google Play應用商店的前100位免費Android應用中，80%會收集唯一設備標識符(UDID)或者IMEI，而82%的應用會進行某種形式的定位跟蹤，另外30%訪問用戶的地址簿。雖然蘋果經(jīng)常吹捧iOS是比Android更安全的注重隱私的平臺，但Appthority的統(tǒng)計數(shù)據(jù)并沒有顯示出這一點。在App Store的前100位免費應用中，超過一半的應用涉及相同的UDID和位置跟蹤，26%還訪問用戶的地址簿。

該公司發(fā)現(xiàn)，即使是付費應用，數(shù)據(jù)收集也很普遍。例如，在前100位付費Android應用中，65%使用UDID信息，49%收集位置數(shù)據(jù)，還有14%訪問地址簿。而在iOS方面，28%使用UDIF，24%收集位置數(shù)據(jù)，8%訪問地址簿。

相比較而言，在分析的400款應用中，Appthority并沒有找到一個移動惡意軟件的實例。該公司指出，只有4%的應用包含惡意軟件，因為評估會對進入iOS App Store的所有應用執(zhí)行嚴格的手動安全審查過程，而谷歌也使用各種技術來掃描Google Play應用中的惡意軟件。

“大家都知道移動惡意軟件，”Appthority總裁Domingo Guerra在接受采訪時表示，“但不是每個人都知道這些其他問題。”

數(shù)據(jù)收集的風險

Guerra表示，移動應用的數(shù)據(jù)收集會給企業(yè)和用戶帶來很多風險，這些風險可能最初不是很明顯。例如，如果用戶同步其企業(yè)Outlook賬戶到個人智能手機，該設備可能可以訪問企業(yè)地址簿，其中包含很多重要客戶的聯(lián)系方式。如果收集這種地址簿信息的應用受到攻擊，攻擊者就可以利用這些信息來發(fā)送垃圾郵件到這些聯(lián)系人，收集敏感企業(yè)來點的撥入詳細信息，讀取日歷中的附件等。

除政府之外，大多數(shù)企業(yè)并沒有非常擔心位置追蹤數(shù)據(jù)，但如果攻擊者可以獲取關鍵管理人員的位置，他們可能會利用這些信息，根據(jù)到有關企業(yè)的訪問來預測合并或收購消息。Guerra還提到了一個著名事件，美國士兵在Twitter上分享了自己到達伊拉克基地的照片，該照片通過地理標記包含地理位置的詳細信息，這導致叛亂分子對美軍基地發(fā)動炮彈攻擊，摧毀了基地的直升機。

雖然移動應用的這些行為值得我們關注，但Guerra表示，另外一個同樣大的風險來自于這些所收集的數(shù)據(jù)的最終目的地：廣告網(wǎng)絡。該報告發(fā)現(xiàn)，在免費的應用中，73%的Android應用和32%的iOS應用允許廣告網(wǎng)絡收集數(shù)據(jù)。即使是在付費應用中，仍然有38%的Android應用和16%的iOS應用傳送數(shù)據(jù)到廣告網(wǎng)絡，在這種情況下，用戶甚至可能不會意識到這種數(shù)據(jù)收集做法，這種做法屬于開發(fā)者的網(wǎng)站上張貼的隱私政策之外。

移動廣告網(wǎng)絡的盛行帶來很多風險，攻擊者自己可以偽裝成廣告網(wǎng)絡，直接搜集用戶數(shù)據(jù)，破壞廣告網(wǎng)絡的軟件開發(fā)工具包和滲透應用，或者干脆瞄準世界各地十幾個廣告網(wǎng)絡存儲的巨大的數(shù)據(jù)收集庫。

“因此，從開發(fā)人員的角度來看，我們承載的數(shù)據(jù)越多，我們約有可能成為攻擊目標，這正是廣告網(wǎng)絡的情況，”Guerra表示，“現(xiàn)在，大多數(shù)應用都有多個廣告網(wǎng)絡，這讓情況變得更加嚴重，即使是開發(fā)人員本人可能都不知道所有這些數(shù)據(jù)去向哪里。從攻擊者的角度來看，他們甚至不需要尋找最流行的廣告網(wǎng)絡，而是找到最薄弱的廣告網(wǎng)絡，就可以獲取大量數(shù)據(jù)。”