亮相USENIX，百度安全OASES成安卓護花使者

標籤：自動   3.5   系統調用   缺陷   二進位   論文   Mobile Security   超過   升級   

當地時間8月16-18日，全球四大頂級安全學術會議之一的USENIX Security會議在加拿大溫哥華召開，來自全球的資訊安全研究學者和安全專家展示和討論了關於多個領域的熱點話題和技術的最新成果。百度安全實驗室受邀在會上發表論文和演講，分享了OASES自適應安卓安全解決方案。據瞭解，這不但是百度再次成功入選全球頂級學術會議，同時也標誌著在全球四大頂級安全學術會議上，百度安全成為迄今為止唯一一個實現背靠背“大滿貫”的中國公司，安全研究與行業實踐都處於全球一流的領先位置。

嚴重的片段化導致安卓系統“漏洞百出”

關於安卓系統的安全性詬病已久。根據Google公布的8月份安卓市場份額報告，儘管5.0版本在2014年11月就已經發布了，但現在仍有超過32%的裝置在使用5.0或以下版本，而更新到7.0及以上的只有13.5%。可見安卓更新遲緩、漏洞修複嚴重滯後的問題非常嚴重。

此外，世面上已有逾千種安卓裝置品牌、超過兩萬多裝置型號。在如此嚴重的片段化生態裡，傳統的漏洞修複、系統升級手段開銷極大、困難重重。再加上一些裝置廠商和系統方案商缺乏安全技術、沒有能力升級和修複漏洞，導致安卓生態一直是“千瘡百孔”的狀態。不少漏洞補丁發布了一到兩年之後，仍然還有大量裝置沒有完成升級。

“漏洞百出”的後果顯而易見，一旦系統漏洞被駭客利用，就等於給手機和應用來了個釜底抽薪，APP的安全防護做得再好，也會因為Linux Kernel被入侵，而隨著整個系統一起“淪陷”。

現有熱修複方案缺陷明顯

要解決安卓系統漏洞的頑疾，必須要滿足三個條件：一是自適應性，針對不同版本實現漏洞的熱修複；二是安全性，既要修複安卓漏洞，修複方案還要容易審計，確保方案本身是安全的；三是快速修複，漏洞公布之後能夠短期內迅速得到修複，避免被駭客利用。

鑒於市面上已經有上千種安卓裝置品牌、超過兩萬多裝置型號，這幾乎是不可能完成的事情！

事實上，安全業界一直嘗試解決這個問題，比如kpatch/kGraft/Ksplice/KUP等傳統的核心熱修複方案，都是在Kernel層修改二進位代碼，以達到維護系統安全的目的，但是它們都或多或少存在各種問題，比如：

第一，這些傳統的修複方案都依賴於核心源碼，而裝置廠商很難及時開放全部裝置的核心源碼，這讓其他安全廠商無法根據裝置的不同，及時更新漏洞修複方案；

第二，傳統修複方案的做法是，對每個裝置的每一個版本的核心都產生相應的改寫補丁，所以並沒有實現真正的“自適應”，也因此帶來了巨大的工作量。而且，如果出現惡意補丁或補丁作者一旦出錯，會導致整個系統崩潰。

系統漏洞頻發，修複方案不給力，導致安卓系統“不安全”的標籤一直難以撕掉。

OASES五大策略實現100%漏洞修複

去年，百度安全針對安卓系統的這個“頑疾”，推出了OASES方案，它能支援目前市面上所有主流的安卓裝置，可以100%修複所有漏洞，並且實現93.4%的自適應熱修複。

一項幾乎不可能完成的任務，百度安全是如何做到的呢？在這次的USENIX Security安全大會上，來自百度安全實驗室研究員詳解了OASES的五大策略：

第一，為瞭解決系統層漏洞，最大限度提升方案的自適應性，OASES方案從邏輯層對攻擊進行阻斷，而不是完全依靠改寫二進位指令，因此擺脫了底層編譯差異帶來的適配問題，這就大大提高了方案的適應性，減少了安全人員寫修複方案的工作量。

第二，為了防止惡意補丁，防止補丁開發人員失誤導致系統崩潰，OASES方案支援使用記憶體安全語言來編寫安全補丁，從而可以對補丁進行嚴格的安全限制和審查，確保每個漏洞修複方案的安全性和可用性。

第三，安卓版本眾多， OASES方案對待修補的核心做了語義聚類，語義一樣的漏洞函數可以施加同樣的修複，並不是只有二進位一致才施加修複。這就進一步提高了自適應性和安全性。

第四，OASES方案整體設計了修複分級策略。修複可以發生在漏洞函數的上級調用處（包括系統調用入口）、漏洞函數入口或返回處、漏洞函數所調子函數入口或返回處。因此進一步提高了整體方案的自適應性。

第五，生態共建的安全方案。百度安全還聯合裝置廠商、安全廠商以及各個高校科研單位組成OASES安全生態聯盟，以開放、聯合、協作的模式去合力修複漏洞，打擊黑產。開放帶來行業整體的提升，為此，OASES將全部代碼開放給聯盟，提供了一個開放透明的解決方案。

通過這五方面的策略，安卓使用者們不必重啟系統就能實現漏洞的快速、大批量修複，保證了終端使用者的系統安全，不被惡意入侵或者被root。百度安全表示，OASES已經在1100多個不同安卓系統版本進行了系統化驗證測試，可以做到支援目前市場上絕大多數安卓裝置，同時還適用於傳統案頭、伺服器Linux的修複等。它可以支援100%的漏洞修複，其中93.4%可以自適應修複，並且對效能幾乎沒有影響，不影響使用者體驗。

開放透明與生態共建

OASES方案在USENIX大會得到與會嘉賓的高度認可。而在此之前，百度安全就已經連續亮相“BIG4”的其他三個頂級會議： CCS2016上的TaintART安卓安全分析，NDSS 2017上的偽基站識別技術，和S&P2017上的黑產詞自動挖掘以及惡意SEO的研究。在平均論文錄取率不到20%的四大頂級安全峰會上，百度安全展露崢嶸，可見其安全研究和技術水平的領先性。

百度首席安全科學家、安全實驗室負責人韋韜告訴記者：“百度在打擊黑產、Mobile Security、IOT安全以及AI安全的領域進行持續的投入，同時積極和學術界優秀團隊合作，已經有很多優秀的成果產出。我們會逐漸將在四大會議上展示的研究成果與更多生態夥伴共用，共同推動網路安全建設。”

劉曠，以禪道參悟互連網、公眾號：liukuang110

亮相USENIX，百度安全OASES成安卓護花使者