假iPhone维修商猖獗柔软

假ID漏洞再露锋芒 什么安全软件靠得住？

之前被忽视的安卓系统假ID签名漏洞日前再显危害锋芒。安全技术人员测试发现，将真的签名证书和假签名证书一同打包到支付软件APK文件中，然后用国内三家安全软件检测，结果该漏洞骗过了腾讯管家的检测。安全专家提醒，用户需提升支付安全意识，建议一方面不要到非安全电子市场下载应用，另外要安装可靠的安全软件保护支付安全。

在今年7月底安卓系统曝出的假ID签名漏洞当时并未引起太多关注，因为有安全分析师认为，这一漏洞只是针对Adobe系统的相关应用，而其他应用不受影响。

也有安全分析师认为，假ID签名并非只是存在于Adobe系统相关应用，本质上是创造了一种制造虚假ID签名的方法，如果将这一方法应用于二次打包热门应用，将可能骗过安全软件检测，这将严重危害用户安全。

为了验证假ID签名漏洞的厉害，技术人员先构造了一个虚假签名证书，然后将真的签名证书和假签名证书一同打包到支付软件APK文件中。然后分别利用腾讯管家、豌豆荚(洗白白)、360卫士进行检测，结果360卫士、豌豆荚可识别出这是山寨，而假ID签名漏洞骗过了腾讯管家的检测。

中国互联协会8月2日发布的《中国互联金融报告(2014)》显示，2013年我国支付用户规模达到1.25亿，交易规模增长率为707%，远高于银行卡收单、互联支付的增速。安全专家认为，如果一些支付类、银行类、电商类应用被犯罪分子利用假ID签名漏洞进行二次打包，诱骗用户安装，这将直接导致用户财产损失。

图：技术人员演示伪造签名证书

技术人员分析认为，腾讯管家被骗可能是其在对APK文件进行安全验证的时候，只验证根证书或者只要匹配一个证书成功就可以了，这显然会让那些利用假ID漏洞伪造签名证书的应用成为漏之鱼

。

对此，采访到360卫士安全专家，专家提醒广大用户：

首先，不要到非安全电子市场下载应用。一些山寨类应用都被放在论坛、非安全电子市场伪装成热门应用提供下载，用户最好到应用的官方站点、有安全检测的电子市场，如360助手下载。

其次，安装专业安全软件。目前，各大安全软件都推出支付安全功能，为购支付提供安全支付环境检测、山寨应用检测等服务，360卫士可以有效的检测出利用假ID签名方法二次打包的山寨应用，习惯购支付的用户应下载安装。

两岁宝宝积食怎么办宝宝便秘吃的药薏芽健脾凝胶吃多久舒尔佳的效果怎么样

老君炉藤黄健骨丸治骨质疏松吗

治疗长期便秘的偏方