研究表明，在不安全的Wi-Fi連接中使用Android設(shè)備將泄漏你的日程表、聯(lián)系方式及其他數(shù)據(jù)，給不法分子提供機(jī)會。德國烏爾姆大學(xué)的一項研究表明，Android用戶在不安全的Wi-Fi網(wǎng)絡(luò)上運行應(yīng)用程序?qū)⑿孤┢湔J(rèn)證信息。攻擊者能夠通過獲得的認(rèn)證信息悄悄地查看甚至篡改用戶的電話簿、日程表、電子郵件等信息。

壞消息是：搭載Android2.3.3或更早版本(該類型手機(jī)占了Android設(shè)備的99.7%)的智能手機(jī)都極易受到攻擊,這意味著99.7%的Android手機(jī)存在安全漏洞。好消息是：開發(fā)者、用戶和Google能夠采取措施減少風(fēng)險。

研究者表示，通過ClientLogin(用戶登錄)認(rèn)證協(xié)議，該漏洞將影響你訪問日程表、通訊錄等Google服務(wù)。因為每個應(yīng)用程序都需要登錄，并且該登錄信息將在兩個星期內(nèi)有效，以便用戶在后續(xù)訪問時無需再次填寫登錄信息。

然而，如果在一個非加密的不安全連接(HTTP而非HTTPS)網(wǎng)絡(luò)中登錄應(yīng)用程序，竊聽者就能夠獲取該信息，并在長達(dá)14天的時間里通過它來獲得用戶的數(shù)據(jù)。因此，研究者表示，“攻擊者可以獲取日程表、通訊錄和個別Google用戶的私人網(wǎng)絡(luò)相冊等信息的所有訪問權(quán)限”，“這也意味著攻擊者能夠查看、修改或刪除任何通訊錄、日程安排和私人照片。影響的將不僅是以上事項，而是該用戶所有應(yīng)用程序。”

攻擊者只需要偽裝成諸如機(jī)場或咖啡店這樣的非加密無線網(wǎng)絡(luò)，引導(dǎo)用戶進(jìn)行網(wǎng)絡(luò)連接，便能收集大量的登錄認(rèn)證信息。由于所有的Android設(shè)備都設(shè)置為自動連接到已有網(wǎng)絡(luò)，即一旦該范圍內(nèi)存在無線網(wǎng)絡(luò)，便會自動連接。因此攻擊者甚至無需提出連接請求，便能輕易獲取登錄認(rèn)證信息。除了能夠查看用戶數(shù)據(jù)，攻擊者還能使用認(rèn)證標(biāo)識改變用戶的通訊簿，如改變某個郵箱地址或者群組，以至于用戶毫無意識得將信息發(fā)送給了被篡改后的接收者。

研究者徹底檢測了各代Android系統(tǒng)上相關(guān)的Google應(yīng)用程序，包括日程表、通訊簿和Gallery(畫廊)。結(jié)果發(fā)現(xiàn)所有運行Android 2.3.3及更早版本的應(yīng)用程序都存在漏洞。在Android 2.3.4及后期版本中，日程表、通訊簿使用安全的HTTPS連接方式，避免了風(fēng)險;而Gallery因為與Picasa網(wǎng)絡(luò)相冊同步，因此沒有采用安全的HTTPS連接方式，仍存在漏洞。更為重要的是，這些漏洞并不限于常規(guī)的Android應(yīng)用程序，任何在HTTP上通過ClientLogin訪問Google服務(wù)的Android或桌面應(yīng)用程序都存在該漏洞。