為了提高 Play應(yīng)用商店的安全性，谷歌對(duì)商店的政策進(jìn)行了調(diào)整。調(diào)整后，應(yīng)用程序無法繞過商店自動(dòng)升級(jí)為新版本。新政策稱：“除了通過 Play的更新機(jī)制外，從 Play下載的應(yīng)用不得以其他任何方式修改、替換或升級(jí)自己的APK二進(jìn)制代碼。”
這意味著，應(yīng)用程序無法再自動(dòng)更新，每次發(fā)布新版本均需經(jīng)過谷歌官方批準(zhǔn)的渠道。有些惡意應(yīng)用起初看起來正常，但之后會(huì)偷偷更新，進(jìn)而侵犯用戶隱私或?qū)嵤阂庑袨椤?duì)于這類應(yīng)用，此次政策調(diào)整是有效的。
早先我們?cè)?jīng)報(bào)道過，一組惡意軟件曾被植入谷歌Play官方應(yīng)用商店，并被下載了900萬次，那次攻擊之所以能夠繞過谷歌應(yīng)用商店的防御，就是最開始提交到Play商店的是無害應(yīng)用，而這些應(yīng)用通過自身的自動(dòng)升級(jí)，卻變成了惡意應(yīng)用。
除了惡意應(yīng)用之外，很多應(yīng)用也采取這種自動(dòng)升級(jí)的方法提高權(quán)限，開發(fā)商將一個(gè)容易被審核通過的應(yīng)用版本提交到谷歌Play商店，然后采取自動(dòng)升級(jí)的方式繞過谷歌官方應(yīng)用商店，而下載完成后，該應(yīng)用所獲取的權(quán)限往往會(huì)非常大，有些功能甚至是谷歌應(yīng)用商店政策所不容許的，這使得谷歌對(duì)應(yīng)用的升級(jí)變得不可控。
我早先給出的建議是應(yīng)用商店無法安裝本地安全策略，谷歌要想從根源上阻止這類攻擊，只能學(xué)習(xí)蘋果，從根源上斷絕應(yīng)用的在線升級(jí)功能，強(qiáng)制應(yīng)用必須通過谷歌應(yīng)用商店 Play進(jìn)行升級(jí)。谷歌通過這次更改果然采取了這種策略，強(qiáng)制應(yīng)用必須通過應(yīng)用商店升級(jí)。
不過，針對(duì)中國(guó)用戶來說，這也帶來一些問題，很多國(guó)行的手機(jī)根本沒有安裝 Play，對(duì)于這些手機(jī)上的應(yīng)用，可能出現(xiàn)無法升級(jí)的情況，此外應(yīng)用商店無法安裝本地安全策略，因?yàn)榉?wù)間歇性被封，中國(guó)用戶訪問 Play也經(jīng)常出現(xiàn)無法訪問的情況，這也使得安裝 Play的用戶在升級(jí)應(yīng)用時(shí)遇到種種困難。
因此，通常中國(guó)用戶會(huì)在手機(jī)上安裝其他國(guó)內(nèi)的應(yīng)用商店，這些國(guó)內(nèi)應(yīng)用商店對(duì)于惡意應(yīng)用的過濾能力往往很差，很多商店甚至自己發(fā)布惡意應(yīng)用，因此用戶通過這些商店升級(jí)應(yīng)用之后，所做的這些功夫就白費(fèi)了。
() ()
