<mark id="oztn4"></mark>
0
整個世界都處在一種離奇病毒的侵襲之下，病毒變異，強化，無孔不入。人們從來沒有像這樣彼此疏離、猜忌、提防與攻擊。
人對病毒的恐懼，已經遠遠超出人對人的恐懼。但人在禁閉島，新型威脅攀附網絡之上。
在無感中，“魔形女”（Mystique）奇襲，瞄準安卓系統，Android 11。
同于漫威電影中角色，魔形女可以變成任何人，潛入防衛嚴密的基地，發起攻擊。
在安卓11中，“魔形女”能夠化為任意APP的樣子，取得權限和數據，完全繞過防護機制。在用戶毫無感知中，隨意獲取APP數據或系統數據，代表用戶轉賬、發消息、獲取隱私數據。“魔形女”漏洞成為在用戶態再次打破了App包安裝后只讀并被信任的默認假設，躲在暗處，悄無聲息地寄生。
耐心的獵手以獵物方式登場。
今年5月，京東探索研究院信息安全實驗室在持續追蹤安卓系統的安全研究時發現，Android11系統存在高危漏洞，并將其命名為“魔形女”漏洞。
在此之前，不曾可知有誰遭受過攻擊。但全球8億Andoid11用戶面臨隱私風險。
在這之外，是全球超30億安卓用戶，占世界人口近四成。魔形女野心赤裸。
這個漏洞的利用原理，就像拿到了酒店的通用鑰匙，隨意進入某一住客房間。
誰能想到進入房間的會是誰。黑灰產？惡意商業實體？境外黑客勢力？或者一個熟悉的人？
在Android歷史上也曾出現過一些可達到類似效果的提權漏洞，包括Android 5之前的遠古時代，以及近5年來遠程、內核和SystemServer的一些問題，如Bitummap漏洞。但隨著Android防御機制不斷加強和代碼質量不斷提高、攻擊面不斷削減，近年來這些漏洞可謂鳳毛麟角，利用難度也越來越高。而且因為Android碎片化的現狀，幾年來都很難有一個穩定的通殺漏洞。
防御難度與黑客技術水漲船高。
京東探索研究院信息安全實驗室高級研究員Ricky說到，“大概這五年來，大家已經沒再看到過有影響面非常廣泛、攻擊效果非常穩定的漏洞了，“魔形女”漏洞十分罕見。”
安卓本身是沙盒防御系統，每個數據都會隔離保存，形成一個個房間。每個房間都有一把鎖，如果想串門的話，需要房間主人明確同意，即表現為安卓數據共享機制中最小權限原則。當需要授權時，系統必須明確權限范圍，即訪客在何種條件下，執行何種操作，訪問何種資源的權限。
而Google工程師在開發過程中或許為了完成新特性，在產品設計中違反了最小權限原則，導致原本嚴密的沙箱設計中出現了松動，如同酒店房間的門鎖制造廠商在新鎖生產過程中出現失誤，導致一把新的鑰匙能夠打開所有的門鎖。
原本的一把鑰匙成了萬能鑰匙。有了這把鑰匙，能打開哪些門?
Ricky說到，“我們基本上對所有的主流手機廠商的設備系統進行了自動化掃描，發現了多個可被攻擊的漏洞，最終將安卓系統的“魔形女”漏洞升級為一個具有巨大影響力的漏洞鏈。”
京東安全實驗室憑借對安卓系統的深入了解，持續追蹤安卓系統的每一次更新，在研究過程中敏銳地注意到了Android 11 引入新特性時的問題。“有這個發現之后，我們借助自研的自動化、半自動化漏洞挖掘框架，發現魔形女漏洞會利用各個廠商自身的漏洞，組合一條漏洞鏈條，最終達到對任意應用和數據竊取的效果。”Ricky說到。
新的風險值得行業警惕。京東第一時間向Google、Samsung、OPPO等安卓手機廠商通知了漏洞并提出修復建議，并及時按相關規定進行上報，而且向全社會用戶提供了SDK自測工具。目前Google已經在最新版本的Android11和新發布的Android12中修復了這些問題。
Ricky對雷鋒網說到，“因為這個漏洞涉及到谷歌自身，并且它是所有安卓聯盟的盟主，首要通報就是谷歌。并且也在第一時間通知了安卓設備出貨量的第一的三星廠商，以及國內用戶較多，影響較大的手機廠商。但華為情況比較特殊，我們發現鴻蒙系統沒受影響。因為鴻蒙系統是基于較早版本的安卓系統改造而來，反而沒有這個漏洞。”
據數據統計，全球安卓機用戶已經超30億，中國品牌的安卓機幾乎占全球的半壁江山，是安卓最大的手機市場，三星為第一品牌，Oppo為第二品牌，順次為華為。
目前主流安卓廠商均已確認修復漏洞，并發布了補丁和做了系統升級。
現在企業可自行在App中部署京東探索研究院信息安全實驗室博客提供的檢測SDK，及時檢測是否被黑灰產利用，還可以通過MDM檢測員工辦公移動設備，查看是否被利用于定向APT攻擊。對于更多的個體用戶，需要及時更新設備或打補丁，或使用檢測工具查看自己是否被“魔形女”攻擊過。
這也表明科技行業對發現漏洞的標準回應方式發生了重大轉變。目前包括騰訊、阿里、京東、百度等互聯網公司的安全應急響應中心都有一種獎勵機制。
“當然有白市就有黑市，世界上也有漏洞軍火商，一個安卓漏洞或者IOS漏洞在黑市能開到一百萬美元的價格，獲得的物質獎勵其實是比報給廠商的獎勵多得多。但是漏洞獎勵更多的是對研究者的一個認可，這種價值會是越來越高的。”Ricky談到。
京東自身也有漏洞獎勵計劃，表明對這種合法研究的認可和鼓勵支持，并且在自身信息安全建設方面，也在吸引業界頂尖人才的加入。
權衡京東安全的“護城河”和行業安全的“水位線”，這個問題在京東看來并不矛盾。
京東信息安全部高級總監周群對雷鋒網說到，“我們京東也有自己的安卓端用戶，體量非常大。如果在安全這部分我們自己都沒有發現，以及我們沒有第一時間為業務體做保護，通知其他的廠商，這種風險很有可能被惡意團伙、人或者組織利用，最終會變成對我們京東用戶的一種傷害。”
從企業到行業，不變的是用戶群體。但站在什么立場上考量用戶，關系到企業發展的長期戰略。
京東安全團隊建立可以追溯到2011年，而專門從事前沿安全技術研究的安全實驗室從2017年建立至今，也已經走過快四個年頭。四年前，京東安全實驗室的名字還是“安全攻防”實驗室，是在當時全球范圍內AI、IoT 和云計算快速發展中的技術迎頭之舉、業務安保之舉。
發展至今，京東安全的實驗室研究發展為三個部分：其一是基于業務的安全研究，其二是偏底層通用性的安全機制的安全研究，其三是最新前沿技術的安全研究，例如AIoT。目前京東在硅谷有一個安全研發中心，主要是AI安全、黑產對抗、IoT安全研究，也包括國內的京東牧者安全實驗室，主要做IoT安全、區塊鏈安全、開源社區等研究項目，包括大家熟知的麒麟框架等。另外還有會致力于基礎設施漏洞方面的研究，即Ricky團隊。
目前京東安全已經不僅關注自身業務中的安全場景，更將”京東特色”、“零信任體系”為目標，以“互聯網免疫”為理想，力爭向產業輸出前沿安全能力。
周群談到，“技術公司做安全，可能會把安全切分成很多個維度，應用安全、辦公安全等。從京東的角度看，其實所有的安全都是建立在企業信息化的基礎上，最終歸為三大類：計算類安全、賬號類安全、數據類安全。”
針對三大類資源，解決所有企業共通的問題，解決IT基礎設施數字化能力落后的同時還要消耗大量的時間和精力逐個定制每家企業的安全機制，或者說很難標準化地服務。如果通過一種零信任的框架，以低成本、卡點機制作為增量控制，以一系列的安全經驗做存量問題消除，把整個行業的安全機制建立起來，這是京東能夠做成的事情。從源頭解決企業的安全問題。
這是基于京東多年來"黑灰產"的對抗經驗，也是結合行業前沿的安全體系和安全技術，以及零售、物流、數科、保險、健康等各領域積累的安全運營經驗。
這里面既有挑戰，也有京東這種大體量公司積累起來的經驗支撐。“整體上看，這些也是現在的發展趨勢之一，讓各家公司互聯互通、整體開放，一起構筑行業整體的安全生態。”周群說到。
隨著京東整個業務體態的發展，從最早全部線上的業務環境，到現在全球規模最大的線下倉配，其中包含的大量電商場景、支付場景、物聯網場景、云場景等全維度場景，包括物流體系已經引入越來越多的人工智能等一系列的新技術。從安全戰角度來看，京東從過去只需要著眼自體生產網、辦公網到現在倉配網、供應鏈，用戶與客戶體系，以及行業生態體系。只要用戶參與的，有感的，對京東來講都是防護范圍之內。無論是從安全邊界、深度、還是廣度，京東安全都跟此前不一樣。
周群談到，“京東安全是基于京東的內生安全能力，聯手生態伙伴共同打造安全基礎設施。本身京東業務場景在國內來看，都屬于最上層、最復雜的規模。”
從企業出發，做安全的事情，更像是用一根縱線為所有業務放置了一塊背景板。當然從頂層設計來看，應對互聯網行業的安全變化是行業可持續發展的內在要求，也是負責任大企應盡的企業義務，這不是別人要大企做，而是企業自己要做。
目前，京東在保護自身各個業務線安全的同時，也將這些安全能力對外賦能，在企業客戶那里也沉淀了案例和口碑。現在，京東安全正在與京東各個技術服務業務線合作，一起將安全能力輸出給更多的客戶和合作伙伴，幫助整個生態提升安全水位。就比如此次漏洞的發現，幫助知名企業修復漏洞，向大眾提供檢測工具，都是為生態伙伴提供安全支撐。
京東目前正在準備第三條曲線，技術服務于企業數字安全，也是技術賦能于京東整體業務。可以預見的是，企業進場做數字安全服務的事情，并不在于企業能夠提供多大的橫向產品矩陣，而在于參考企業自身的生態系統，推出更好的服務組合。
“在京東內部，我們不會把風險等級作為單一維度，從安全風險的等級看，它可能是嚴重、高危、中危、中低危。但是這個風險最終的定級除了技術的危害性之外，其實更多的是參考企業本身的業務承載面。”
“我們畢竟不是純粹的安全廠商，可以去以技術去徹底定義一個漏洞。我們企業服務的整體策略是，不能打擾企業業務的正常進行，但相應的數據安全的工作要得以保證。”
Ricky從技術角度回應周群的工作， “我們希望擴大互聯網的安全邊界，對基礎設施安全增加更多投入。兩年之前，京東內部成立了保護生態數據安全的專門行動，希望可以通過這套數據安全體系，保證流轉數據的時候，就完成數據的脫敏、加密等一系列安全工作，進而保護企業核心數據以及用戶隱私安全。另一方面針對漏洞挖掘框架，推動框架朝著基于程序分析和人工智能的自動化系統轉變，將整個網絡安全攻防往自動化、機器化方向發展，這符合整個國際發展的大趨勢。”
在魔形女漏洞的發現中，京東的漏洞挖掘框架就發揮了自動制敵的效用 ，框架包含“靜”、“動”、“專”三個維度。“靜”為基于人工智能的數據流程序分析技術，“動”為基于遺傳算法的動態程序測試技術，“專”為基于專家經驗的變異分析技術，三者有機結合并互相補充，可對泛IoT設備/系統、App等進行全面而深入的漏洞挖掘和隱私風險發現。僅在今年上半年，京東安全實驗室就借助該框架發現了數十個CVE，幫助多個生態伙伴消除了大量風險。
近幾年來，病毒和漏洞幾乎從我們視線中消失，更多的轉義為隱私泄露，本質原因是業務數字化和數字業務化拉動的產品形態的變更。在這背后，有更多像京東一樣開辟第三條增長曲線的企業，推動安全技術水位拾級而上和白帽紅帽蔚然成風。
在技術向好的另一面， Ricky說到，“對于我們來講，軟件系統會不斷更新，需要我們不斷地進行安全測試，才能保證它不會出現設計問題。這不是一次就可以搞定的事情，必須要有持續性的投入，一刻都不能放松。
第二我們認為安全是一個體系化問題，像魔形女漏洞其實利用的是一個個漏洞組合。在魔形女出現之前，這些漏洞也存在，危害沒那么大，導致大家掉以輕心。但一旦前面防線決堤，后面防線馬上就會崩潰。這也告訴我們應該是搭建縱深防御的安全體系，重視每一個安全問題。這是一件任重道遠的事情。”
疫情未決，漏洞襲來。病毒不僅在檢測各個國家的效率、強弱與文明，同時還在考驗著人性。漏洞在驗證著企業的技術能力，也在考量企業對社會責任的整體態度。
周群在這時談到：
很多的事情并不發生在企業之內，而是源于外部業務環境管理不善或者系統問題導致的數據風險。但從用戶端的感受來看，就是我的數據被泄露了。因此，我們想更多地幫助用戶解決個人隱私保護的問題。
一家企業首先看向無數體量的個體，才能在內卷深海中擁抱每一座孤島。在海明威引自英國詩人John Donne詩作中，兩三幾句能解企業長期戰略的問題：
No Man is an Island
No man is an island, entire of itself
every man is a piece of the continent, a part of the main.
沒有人能自全，沒有人是孤島，每人都是大陸的一片，要為本土應卯。
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
