Android安全报告：29％的活动设备未达到补丁级别

去年是Android安全的里程碑。Google在Stagefright处理了一个重大漏洞，推出了每月补丁发布和漏洞奖励 计划，并继续削减了处理设备的恶意应用程序数量。

然而，鉴于所有这些进展，Google仍然在努力破坏其一些安全工作的生态系统的经济学。

例如，用于OEM Android手机的操作系统，内核和固件缺陷的补丁仍然必须在制造商的新设备中实施，而这些厂商也应该确保运营商将空中更新推送到手机。情况并非如此。

Google今天发布的年度Android安全报告中，Google表示，71％的Android设备正在Android 4.4.4及更高版本上运行，这是Google通过安全更新支持的唯一版本。

根据Android开发者仪表板，4.4％的设备是4.4或者KitKat，40.4％的设备是使用棒棒糖或棉花糖。仍然留下相当数量的Android设备在不受支持的过时操作系统上运行。

与Stagefright披露一起推出的每月更新系统是针对Google移动合作伙伴的Nexus设备和补丁交付系统的常规更新。三星，黑莓和LG都是首先承诺向运营商提供每月更新的承诺。

“我们打算更新周期为Nexus设备是所有Android厂商向前发展，并已积极与生态系统合作伙伴合作，以促进类似程序的模型，”阿德里安路德维希，为Android安全团队的首席工程师说，博文今天。“此后，制造商为数百种独特的Android设备型号提供了每月安全更新，数亿用户已经为其设备安装了每月安全更新。

路德维希说：“尽管取得了这些进展，但许多Android设备仍未收到每月更新 - 我们正在加紧努力，帮助合作伙伴及时更新更多的设备。”

Android安全报告是Google提供商移动生态系统的工会地址。在其中，Google吹捧Marshmallow推出的新闻安全功能，例如全面磁盘加密和SD卡上的数据加密功能，管理应用权限的更强大功能，确保启动加载程序操作系统安全性的验证启动，以及Android安全性补丁级别，手机补丁级别的即时气压计。

谷歌表示，它继续打倒所谓的潜在有害应用程序，从而将恶意应用程序从Google Play中保持成功（0.15％的设备，而从第三方来源安装应用程序的百分之零点五）成功。谷歌还报告说，从Google Play收集设备数据的应用程序的安装量减少，以及较少的syware和下载器实例。

然而，Google Play外部的应用程序几乎在所有这些类别中都有上升趋势，特别是恶意下载器和木马程序分别占2.6％和1％。

Ghost Push是这些恶意下载器之一，自2014年10月以来一直是公开的，去年夏天，它在Android上飙升了30％的全球安装次数。Google表示，它发现超过40,000个Ghost Push应用程序和超过35亿次安装尝试。

该报告称谷歌调查发现，东南亚一家负责向Android制造商和运营商提供OTA更新基础架构和更新的公司受到损害。

我们能够确定我们看到的大量安装尝试是由OTA公司不断尝试在用户设备上安装Ghost Push应用程序引起的。在某些情况下，应用程序安装软件中的错误导致OTA公司尝试将相同的应用程序数百次安装到单个设备上，而所有安装尝试都会失败，“Google在其报告中说。“我们正在与OTA公司合作，开发更好的安全过程，扫描他们发送给设备的应用程序。”

至于Stagefright，尽管有些焦急和其他一些相关的漏洞，Google表示没有看到或接收到有关公共漏洞的报告，尽管有些报告称攻击被折叠成为主动漏洞套件。

“发布此报告的一个重要目标是推动有关Android安全性的知情交流。我们希望通过提供更多关于我们正在做什么的信息以及我们在生态系统中发现的信息来实现这一目标，“Google的路德维希说。“我们坚信，关于安全性的严格的数据驱动型讨论将有助于指导我们的努力，使Android生态系统更安全。”