Android for Work是Android的“沙盒”機(jī)制，它的目的是安全地存儲(chǔ)企業(yè)資料。然后最近來(lái)自Skycure 的安全研究人員發(fā)現(xiàn)，Android for Work可以通過(guò)一種“中間app攻擊”的方式被Hack。

這個(gè)Android work模式其實(shí)就是遵從BYOD(Bring Your Own Device)理念的產(chǎn)物，BYOD指的是攜帶自己的設(shè)備辦公。Android for work從Android 5.0 Lollipop版本引入，就是為了將個(gè)人的Android設(shè)備變成公司環(huán)境，將個(gè)人環(huán)境和企業(yè)環(huán)境隔離開(kāi)來(lái)，其中企業(yè)環(huán)境是由IT管理人員進(jìn)行管理的。

Android for Work會(huì)將所有涉及企業(yè)的app、郵件和文檔存儲(chǔ)在企業(yè)profile中，但是不會(huì)對(duì)個(gè)人profile有所限制，這樣用戶的隱私就被保護(hù)了起來(lái)，因?yàn)镮T管理員們無(wú)法管理監(jiān)控他們的個(gè)人app。這個(gè)功能是使用了用戶分離的機(jī)制。

Skycure的研究人員稱，他們發(fā)現(xiàn)了兩種“中間app攻擊”，能夠讓個(gè)人profile里的惡意軟件訪問(wèn)到企業(yè)檔案中的數(shù)據(jù)。兩種攻擊方式利用的都是安全鏈條中最薄弱的環(huán)節(jié)——人。兩種攻擊方式都需要用戶交互。

攻擊方案一

第一種攻擊方案是個(gè)人檔案的惡意應(yīng)用誘導(dǎo)用戶開(kāi)啟讀取通知權(quán)限。由于通知權(quán)限是設(shè)備級(jí)別的權(quán)限，惡意應(yīng)用就可以讀取到工作檔案中的通知，可能包括日歷、郵件消息等通知。之后，惡意應(yīng)用可以把收集到的信息傳輸?shù)紺&C服務(wù)器等。

專家稱，黑客可以在一些企業(yè)系統(tǒng)上開(kāi)啟一個(gè)“忘記密碼”的進(jìn)程，然后劫持設(shè)備通知，從而獲取到完整的企業(yè)權(quán)限。通過(guò)忽略通知以及利用Android通知API“存檔”恢復(fù)郵件，攻擊者可以讓用戶察覺(jué)不到攻擊。

“由于EMM [企業(yè)移動(dòng)管理]解決方案沒(méi)有機(jī)制來(lái)識(shí)別或防御，因此這對(duì)使用Android for Work作為安全沙盒進(jìn)行移動(dòng)辦公的用戶們存在嚴(yán)重威脅。 攻擊者甚至可以捕獲雙因素身份驗(yàn)證，而管理員不會(huì)察覺(jué)，“Amit說(shuō)。

該公司還發(fā)布了視頻演示這種攻擊。

攻擊方案二

第二種攻擊方式利用的是Android的輔助功能。輔助功能是為了增強(qiáng)用戶交互的。由于這個(gè)功能“實(shí)際上能夠訪問(wèn)到所有內(nèi)容和控制，包括在設(shè)備上讀取和寫(xiě)入”，因此，個(gè)人檔案中的惡意軟件能夠讀取到沙盒內(nèi)運(yùn)行的應(yīng)用。不過(guò)要開(kāi)啟“輔助功能”，必須要讓用戶打開(kāi)開(kāi)關(guān)。

根據(jù)安全公司的說(shuō)法，Android工程師們已經(jīng)實(shí)現(xiàn)了一個(gè)API，這個(gè)API用于將輔助功能加入白名單EMM供應(yīng)商可以在其Android for Work管理界面中使用。但公司指出，通過(guò)與白名單合法應(yīng)用程序包名稱相同的惡意應(yīng)用程序可以繞過(guò)該API。或者黑客可以通過(guò)欺騙用戶打開(kāi)輔助功能來(lái)達(dá)到目的（非系統(tǒng)輔助服務(wù)需要被添加到白名單）。