安卓允许 “无权限 “应用程序访问敏感信息

安全研究人员发布概念验证应用程序，展示谷歌移动操作系统的安全问题。

谷歌的移动操作系统一直被批评为不安全，这在很大程度上要归咎于安卓系统历来对应用程序的监管不严。

但现在看来，没有权限的应用程序构成了新的威胁，它们会在未经授权的情况下获取敏感的个人信息。 利维坦安全集团研究员保罗-布罗代尔（Paul Brodeur）在本周早些时候的一篇博文中解释说，他创建了一个概念验证，以证明 “无权限 “应用程序仍然可以访问设备的 SD 卡、手机识别数据和其他应用程序存储的文件。

在 SD 卡上，Brodeur 应用程序显示了所有非隐藏文件的列表，包括照片、备份和外部配置文件。 布罗代尔说，他发现 OpenVPN 证书存储在自己设备的 SD 卡上。

“他说：”虽然可以获取所有这些文件的内容，但我会让其他人来决定哪些文件应该被抓取，哪些文件会很无聊。

然后，他获取了设备上安装了哪些应用程序的/data/system/packages.list文件，并扫描了这些目录，以确定是否可以从这些目录中读取敏感信息。 他说，在测试过程中，他能够读取一些属于其他应用程序的文件。 “他说：”这一功能可用于查找存在弱权限漏洞的应用程序，例如去年报告的 Skype 漏洞。

最后，布罗代尔的应用程序能够收集手机的身份信息。 没有 “PHONE_STATE “权限，应用程序就无法读取设备的国际移动设备标识或国际移动用户标识。 不过，全球移动通信系统信息和 SIM 卡供应商 ID 仍然可以读取。

“他写道：”虽然这个应用程序使用按钮来激活上述三种不同的操作，但任何已安装的应用程序都可以在没有任何用户交互的情况下执行这些操作。

布罗代尔说，他在安卓4.0.3 冰淇淋三明治和安卓 2.3.5 姜饼系统上测试了这款应用。

来源：https://news.cnet.com/8301-1009_3-57412799-83/android-gives-no-permissions-apps-access-to-sensitive-info/