Google发布2016 Android系统安全回顾

今天，Google 发布了第三份 Android 安全年度回顾，全面回顾近一年 Google 是如何保护超过 14 亿 Android 用户及其信息安全的。 确保用户安全是 Google 的目标在 2016 年，为实现保护用户信息和设备安全的目标，Google 提升了对有害 App 的防范能力，为 Android 7.0 Nougat 增添了安全特性，与设备厂商、学者和 Android 生态系统中的其他成员紧密合作。

查杀潜在有害 App

为防用户的信息和设备受到“潜在有害 App”（Potentially Harmful Apps, PHA）的侵害，Google 一直在努力。长久以来 Google 都在追踪和阻拦现有的潜在有害 App，并防范可能出现的新种类。

几年来，Google 建立了已系列的举措来防范这些问题，如对 App 的不安全行为进行持续检查的 App 分析系统，和主动对用户的设备进行定期检查的 Verify App。当潜在有害 App被发现时，用户会收到警报，提醒他们在下载此 App 前要三思，甚至把此 App 从设备上彻底移除。

Google 一直在持续监控这些威胁，并改进自身系统。在 2016 年，Verify Apps 进行的每日检查从 2015 年的 4.5 亿次增长到了 7.5 亿次，降低了潜在有害 App 的安装率。

为更好地保护用户的设备（尤其是从其他众多应用市场中下载 App 的设备），Google 还有很多工作要做。在未来的日子里，Google 将为此采取更多的行动，使用户无论选择从哪里下载和安装 App，其设备都能够得到更全面的保护。

提升 Android Nougat 安全性

去年，Google 在 Android Nougat 上推出了一系列全新的保护措施，也继续加强了对于 Linux Kernel 的保护。

加密技术改进： 在 Android Nougat 中，Google 使用了基于文件的加密技术，以更好隔离并保护设备上的用户和文件。每一份文件都会使用唯一的密钥进行加密，例如，若同一设备上有着不同的账号，那么一个账号的密码就不能解锁另一个账号下的文件。用户数据的加密从 2014 年末期就已可以在某些配置适宜的设备上使用，到现在已有超过 80% 的 Android Nougat 设备启用了该功能。

全新的音频、视频防护： Google 对提高视频和音频媒体的安全性高度重视，重构了 Android 系统处理视频和音频媒体的方式。例如，现在不同的媒体组件将被放到单独的沙盒中，这样即便有组件受到威胁，它也不会获得其他组件的权限，从而避免了可能出现的安全问题。

更多面向企业用户的安全防护： Google 为企业用户提供了一系列企业安全新特性，包括可以从设备开启时就进行防护的“Always On”VPN。在面向企业的工具中，Google 还增加了安全策略，日志记录，经改进 Wi-Fi 认证处理方式，并对客户认证进行了改进。

通力协作确保 Android 生态系统的安全

Google、设备厂商、学界以及其他各方之间针对威胁安全的信息共享，让用户能更安全的使用 Android 系统。2016年， Google 在安全合作方面最重要的合作是月度安全更新计划以及与安全研究界的持续合作。

安全更新通常被认为是移动安全的支柱，事实也确是如此。2015 年，在 Stagefright 中的漏洞被公布之后，Google 启动了安全更新计划，以协助加速修复来自不同制造商的设备中的安全漏洞。这个计划在 2016 年实现了大幅扩张：

●2016 年， 超过 200 家制造商的超过 7.35 亿部设备收到了平台安全更新。

●针对运行 Android 4.4.4 及以上版本的设备发布了月度 Android 安全更新，这占到了全球活 跃 Android 设备的 86.3%。

●Google 的运营商和硬件合作伙伴协助了这些更新的推广。2016 年第 4 季度，全球使用量前 50 的设备中有半数以上的设备收到了更新。

2016年间， Google 针对所有支持 Pixel 和 Nexus 的设备提供每月安全更新。Google也很高兴看到合作伙伴在更新方面进行的投资。但是，在保护 Android 用户方面依然任务艰巨：截止 2016 年底，大约有一半的活跃设备并未收到上一年度的平台安全更新。 Google 正在努力通过精简安全更新程序来适配更多设备，从而方便制造商配置安全补丁和发布 A/B 更新 （A/B updates），以便用户更轻松地应用这些补丁。

在研究方面，Google 的“漏洞奖励计划”发展迅猛：2016 年，Google 向报告漏洞的研究人员支付了近 100 万美元的奖金。与此同时，Google 与各大安全公司紧密合作，以识别并解决可能为用户带来风险的问题。

Google 感谢来自合作伙伴、外界研究人员以及 Google 内部团队在整个安全领域方面的不懈坚持，和在 2016 年取得的可喜的成绩。不过，保证用户的安全需要 Google 的时刻警惕，Google 期待在 2017 和更远的未来获得新见解，取得新进展。