• 發布單位:TWCERT/CC
• 更新日期:2023-02-23
• 點閱次數:153

Google 近期開始研究在韌體層面強化 Android 作業系統安全性的各種做法，包括處理器以及其單晶片系統上的其他元件，如無線通訊、媒體運算、安全防護等模組，試圖補強過去飽受詬病的各種 Android 系統資安防護弱點。

Google 表示，過去已有大量攻擊與駭侵案例，係經由 Android 裝置中的次要處理元件之韌體與漏洞來發動攻擊。近期該公司密集與 Android 生態系中的合作夥伴進行合作，以改善系統元件與韌體在和 Android 系統溝通過程中的安全機制，包括以下重點：

• 在編譯器層級的安全加強：在程式碼編譯過程中加強安全性，以減少各種程式碼執行作業中發生崩潰或其他漏洞所衍生的資安問題；
• 記憶體安全問題的加強：加強 Android 系統中在記憶體層面的安全性，以減少因記憶體崩潰、釋放後使用、虛無指標 (null pointer) 等問題。Google 也說將在 App 開始使用記憶體前，先將記憶體內容以 0 填滿，以免記憶體內含先前使用過的資料。

不過，資安專家也指出雖然 Google 此計畫的立意相當好，卻可能造成裝置效能的大幅下降，因為裝置需花費更多資源來進行額外的資安防護檢驗；另外，對於使用非標準元件以達成特定功能的 Android 裝置來說，由於未必能享有與主要處理器相同的安全資源，問題可能更為嚴重。

Google 對此指出將致力於這類資安防護機制運作效能的最佳化，以減輕其對 Android 系統運作效能的影響。該公司也說，未來將會擴大於其韌體程式碼中使用 Rust 來實作所有功能，這是一種可確保記憶體運作安全性的程式語言。

由於 Android 系統的先天架構，以及其在市場上有眾多生產廠商的複雜性，使其資安防護功能一向較為薄弱；建議 Android 系統用戶應隨時注意更新軟體與韌體，避免下載不明來源 App，並在原廠停止支援該裝置的安全更新後，盡速汰舊換新。