压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

鑒于DJI無(wú)人機(jī)最近引起的爭(zhēng)議，某國(guó)防和公共安全技術(shù)供應(yīng)商開始著手審計(jì)Android DJI GO 4應(yīng)用程序的隱私安全狀況。一家供應(yīng)商與Synacktiv合作，委托后者對(duì)大疆DJI GO 4應(yīng)用程序進(jìn)行了深入的動(dòng)態(tài)和靜態(tài)分析。

Synacktiv近日公布了安全審計(jì)結(jié)果，指出DJI GO 4應(yīng)用程序中值得關(guān)注的四個(gè)問題（編者按：以下報(bào)告和結(jié)論僅供業(yè)界研究，未經(jīng)業(yè)界多方驗(yàn)證，也不代表安全牛觀點(diǎn)）：

• 該應(yīng)用程序包含繞過(guò)Google Play商店的自我更新功能。
• 該應(yīng)用程序包含通過(guò)微博SDK下載和安裝任意應(yīng)用程序的功能（需要用戶批準(zhǔn)）。在此過(guò)程中，微博SDK還將收集用戶的私人信息并將其傳輸給微博。
• 在版本4.3.36之前，該應(yīng)用程序包含Mob SDK，該SDK收集用戶的私人信息并將其傳輸給中國(guó)分析公司MobTech。
• 通過(guò)Android輕掃關(guān)閉手勢(shì)關(guān)閉后，應(yīng)用程序會(huì)自行重啟。因此，用戶可能被欺騙以為該應(yīng)用程序已關(guān)閉，但在發(fā)送遙測(cè)請(qǐng)求時(shí)它可能在后臺(tái)運(yùn)行。

為了對(duì)調(diào)查結(jié)果進(jìn)行獨(dú)立審查，供應(yīng)商要求GRIMM驗(yàn)證Synacktiv的調(diào)查結(jié)果。以下是GRIMM在官方博客公布的驗(yàn)證設(shè)置和工作流程：

GRIMM的靜態(tài)和動(dòng)態(tài)分析驗(yàn)證了Synacktiv的調(diào)查結(jié)果，同時(shí)對(duì)已知問題進(jìn)行了補(bǔ)充：

混淆

DJI GO 4 Android應(yīng)用程序被嚴(yán)重混淆，同時(shí)利用了靜態(tài)和動(dòng)態(tài)混淆技術(shù)來(lái)阻礙分析。

自我更新機(jī)制

對(duì)于Synacktiv報(bào)告的DJI GO 4的自定義更新機(jī)制。此更新服務(wù)可以不使用Google Play商店，因此不受審核程序的約束。因此，不能保證為一個(gè)用戶下載的應(yīng)用程序與另一個(gè)用戶的應(yīng)用程序匹配。GRIMM調(diào)查了對(duì)更新執(zhí)行的驗(yàn)證以及是否可以濫用更新機(jī)制來(lái)安裝任意應(yīng)用程序，發(fā)現(xiàn)如果DJI的更新服務(wù)器是惡意的或被攻擊者攻破，則可以使用此機(jī)制以惡意應(yīng)用程序更新為目標(biāo)用戶。需要注意的是，此行為違反了Google的開發(fā)者計(jì)劃政策。

關(guān)于微博APK

DJI GO 4應(yīng)用程序包含用于下載和安裝其他應(yīng)用程序的代碼。其次，DJI GO 4應(yīng)用程序?qū)eibo SDK進(jìn)行加密和模糊處理，使得該APK下載器比其他應(yīng)用程序更難發(fā)現(xiàn)。此外，由于在微博SDK中內(nèi)置了微博APK安裝程序，因此，通過(guò)多個(gè)使用該SDK的應(yīng)用程序，微博能夠在用戶設(shè)備上安裝任意應(yīng)用程序。最后，微博SDK通過(guò)HTTP（而不是HTTPS）發(fā)送common_config請(qǐng)求給用戶帶來(lái)安全風(fēng)險(xiǎn)，這將使活躍的網(wǎng)絡(luò)攻擊者可以查看該請(qǐng)求并偽造響應(yīng)。

參考資料

完整報(bào)告鏈接：

https://blog.grimm-co.com/2020/07/dji-privacy-analysis-validation.html

GRIMM在官方博客相關(guān)代碼的Github鏈接：

https://github.com/grimm-co