第一份Android生态系安全性报告出炉，Google未来还要每季都公布高风险App趋势

Google在上周公布了史上第一份Android生态系统安全性透明度报告（ Android Ecosystem Security Transparency Report），这是一份季报，内容来自于Google Play Protect所侦测到的“可能有害应用程序”（ Potentially Harmful Applications，PHA），显示出从Google Play下载程式比自其它来源安全9倍。

Google原本就提供了Android年度安全报告，内含广泛的Android系统安全趋势，从Google所支付的Android抓漏奖金到Google在Android上提供的保护机制等，而属于季报的透明度报告则仅针对PHA。

Android装置所内建的Google Play Protect每天平均扫描超过500亿的应用程序，当发现可能有害的应用程序时，就会对使用者提出警告，并允许使用者关闭或移除该程式，每季的透明度报告都提供3项指标，分别是PHA的来源（Google Play及非Google Play）、各种Android版本所含的PHA比率，以及不同国家的PHA比率。

Google指出，若Android用户只从Google Play下载程式，那么比起会从其它来源下载程式的Android用户而言，安装到PHA的机会只有1/9。

从数字来看，2017年只从Google Play下载程式的Android装置，只有0.09%会载到PHA，今年前三季则下降至0.08%；反之，若是从包括Google Play及第三方程式市集等各种来源下载程式的Android装置，安装到PHA的比率则有0.82%，今年前三季亦下滑至0.68%。

此外，越新的Android操作系统安装到PHA的比率愈低。例如“棒棒糖”（Lollipop，Android 5.0）安装到PHA的比率>“棉花糖”（Marshmallow，Android 6.0）>“牛轧糖”（Nougat，Android 7.0）>“奥利奥”饼干（Oreo，Android 8.0）>最新的“派”（Pie，Android 9.0）。

Google解释，这是因为该公司持续强化Android平台与API，再加上定期的平台与程式更新，也限制程式可存取机密资料的机会，此外，包括Nougat、Oreo及Pie都更能经得起权限扩充攻击，而让过去尝试借由扩大权限以长期进驻并避免被删除的PHAs无从发挥功效。

而在Android的前十大市场，至少安装一个PHA的装置百分比中，以印度、印尼及美国的比率最高。