内容摘要：安卓系统的开放性是把双刃剑。它让厂商能自由定制，也让攻击者能找到更多入口。每个月谷歌都会发布安全补丁，但真正推送到你手机上的时间，可能比想象中慢得多。 去年有个叫“Janus”的漏洞，影响的是安卓5.

安卓系统的安卓开放性是把双刃剑。它让厂商能自由定制，系统也让攻击者能找到更多入口。漏洞每个月谷歌都会发布安全补丁，安卓但真正推送到你手机上的系统时间，可能比想象中慢得多。漏洞

去年有个叫“Janus”的安卓漏洞，影响的系统是安卓5.0到8.0的设备。攻击者可以篡改一个正常的漏洞APK文件，让它同时具备恶意功能，安卓但签名校验依然通过。系统换句话说，漏洞你从第三方商店下载的安卓“原版”应用，可能已经被动过手脚，系统而系统浑然不觉。漏洞这个漏洞的根源在于安卓的签名机制——它只校验APK的签名，却不校验DEX文件的完整性。谷歌后来在2018年的补丁里修了，但那些没收到更新的老设备呢？它们至今还暴露在风险里。

碎片化是安卓漏洞治理最大的绊脚石。同一个漏洞，Pixel可能两周内就修好，三星要一个月，某些国产厂商的千元机可能永远等不到。我手里有一台2017年的中端机，系统停留在安卓7.1，安全补丁级别是2018年3月。它还能用，但已经成了“裸奔”状态。这种设备在二手市场流通，在老人和孩子手里继续服役，攻击者最喜欢这种目标。

另一个常被忽略的点是系统组件。安卓的媒体解析器、蓝牙协议栈、Wi-Fi驱动，这些底层模块经常出问题。比如Stagefright漏洞，攻击者只需发一条彩信就能远程执行代码。当时谷歌反应很快，但修复包要经过芯片厂商、运营商、手机厂商三层传递，等到了用户手里，可能已经过去半年。半年，足够攻击者把漏洞利用工具卖好几轮了。

有人觉得只要不装来路不明的应用就没事。太天真了。2019年的“StrandHogg”漏洞，不需要用户安装任何东西，恶意应用可以伪装成银行App的登录界面，覆盖在真实应用上方。你点开银行App，看到的是恶意界面，输入的账号密码直接进了攻击者的口袋。这个漏洞影响所有安卓版本，谷歌在2020年才彻底修复。期间有多少人中招？没人知道确切数字。

厂商的态度也值得玩味。有些厂商为了推新机，故意不给老机型更新。这不是技术问题，是商业策略。你手机没坏，但系统不安全了，换不换？这种逼迫式升级，用户心知肚明，却无可奈何。谷歌推Project Treble和Mainline，就是想绕过厂商直接更新系统组件，但效果有限。毕竟底层驱动还是握在芯片厂商手里。

普通用户能做什么？别root，别乱装APK，及时更新系统。但说实话，这些建议在碎片化面前很无力。真正要解决，得靠监管强制厂商提供最低年限的安全更新，像欧盟的GDPR那样。否则，安卓漏洞永远是个打地鼠的游戏——修一个，冒一个，老设备还在下面漏着。

我自己的做法是：主力机只用Pixel或三星旗舰，因为更新及时。备用机不存敏感信息，只当热点和播放器。听起来有点极端，但在这个生态里，谨慎点不丢人。