2018年度安卓系统安全性生态环境研究_26页_2mb

2018年度安卓系统安全性生态环境研究报告总结

核心内容

本报告由360互联网安全中心发布，基于“360透视镜”APP用户上传的84万份漏洞检测报告，分析了2018年Android系统安全性状况，重点关注了系统漏洞的分布、危害性、修复情况及用户行为等方面。报告揭示了Android系统漏洞的广泛存在和严重性，以及厂商与用户在系统更新和漏洞修复方面的表现。

主要观点

1. 安全漏洞普遍存在

• 截至2019年1月，99.99% 的Android设备检测出至少一个安全漏洞，表明系统漏洞问题普遍存在。
• 漏洞最多的设备同时包含有61个安全漏洞，显示部分设备面临极高的安全风险。
• 与2017年相比，漏洞比例上升，表明系统安全性持续下降。

2. 系统版本分布与漏洞关系

• Android6.0、5.1、7.1 是使用最广泛的系统版本，占比分别为40%、25%、14%。
• Android4.4已跌出Top3，说明低版本系统逐渐被市场淘汰。
• Android7.0及以上 系统由于Google提供持续安全更新，平均漏洞数量明显低于低版本系统。
• Google仅对7.0及以上系统提供安全更新，导致6.0及以下系统漏洞数量居高不下。

3. 漏洞类型与危害

• 系统漏洞分为严重、高危、中危 三个等级，其中严重级别漏洞13个，高危级别漏洞56个，中危级别漏洞20个。
• 高危以上漏洞占比达 77.5%，表明高危漏洞对用户安全影响最大。
• 远程攻击漏洞 占比最高（99.8%），是威胁最大的漏洞类型，尤其是 CVE-2018-9467（权限提升漏洞）和 CVE-2018-9491（远程攻击漏洞）影响设备比例分别达 89.1% 和 57.3%。

4. 浏览器内核漏洞

• 浏览器内核漏洞（Webview）在Android4.4后逐步被Chromium取代，目前 Webkit 已几乎消失。
• 99.1% 的设备存在至少一个浏览器内核漏洞，其中 16.6% 的设备存在4个以上漏洞，5个漏洞 的设备占一定比例。
• Chrome71及以上 的设备平均漏洞数为0，说明保持浏览器内核最新可以显著提升安全性。

5. 地域差异

• 北京、广东 等经济发达地区，手机平均漏洞数量最少，安全状况相对较好。
• 黑龙江、吉林、青海 等地区，平均漏洞数量较高，安全形势较为严峻。
• 地域差异较上半年有所变化，表明不同地区的安全意识和厂商更新策略存在差异。

6. 用户性别与系统安全性

• 男性用户 平均系统版本略高于女性用户，但女性用户平均漏洞数量更高。
• 女性用户 的系统更新意愿较低，平均漏洞数量较上季度上升 12.7%，而男性用户平均漏洞数量上升 5%。
• 说明女性用户更倾向于使用较旧系统，从而暴露在更多漏洞中。

7. 用户系统更新情况

• 46.7% 的用户能保持系统版本与厂商最新版本一致，说明有一半用户具备一定的安全意识。
• 10.7% 的用户滞后1-3个月，6.1% 的用户滞后4-6个月，14.6% 的用户滞后半年以上。
• 与安卓官方相比，用户手机平均滞后 10.9个月，而与厂商最新版本相比，平均滞后 5.1个月。
• 表明厂商在系统更新上存在明显滞后，是用户漏洞问题的主要原因之一。

8. 厂商漏洞修复情况

• 有 TOP5 厂商能够与Google官方安全补丁同步更新，但整体仍存在滞后。
• 说明厂商对系统安全的重视程度有所提升，但仍需进一步加强。
• 厂商更新策略对设备安全有重要影响，部分厂商尚未完全实现与Google同步更新。

9. 新品手机安全更新情况

• 2017年以来，新品手机的安全补丁更新情况有所改善，但仍存在滞后。
• 随着时间的推进，主流机型的补丁等级逐渐提升，表明厂商在安全维护方面有所努力。
• 用户对安全更新的接受度提高，但仍有一部分用户未及时更新，导致安全风险持续存在。

关键信息

• 漏洞检测范围：包括近两年Android和Chrome安全公告中检出率最高的89个漏洞。
• 漏洞检测工具：360透视镜，可检测系统漏洞，无需敏感权限。
• 漏洞类型：主要分为远程攻击、权限提升、信息泄漏三类，其中远程攻击漏洞影响最广泛。
• 系统版本更新趋势：Android8.0、8.1使用比例上升，Android9.0使用比例为0.2%。
• 安全补丁滞后问题：Google仅对7.0及以上系统提供安全更新，导致低版本系统漏洞数量居高不下。
• 用户行为分析：女性用户平均漏洞数量高于男性用户，说明女性用户更倾向于使用旧系统。

结论

Android系统安全性问题依然严峻，99.99% 的设备存在漏洞。系统版本更新滞后、厂商补丁推送不及时、用户安全意识不足是导致漏洞问题的主要原因。尽管部分厂商和用户有所改善，但整体情况仍需进一步优化，以提升安卓生态的安全性。