资安业者：AndroidforWork含有两个中间程式攻击漏洞
报价宝综合消息资安业者：AndroidforWork含有两个中间程式攻击漏洞
以色列资安业者Skypcure技术长Yair Amit本周揭露了Android for Work含有两个中间程式攻击（app-in-the-middle）漏洞，将允许安装在个人档案（Personal profile）的恶意程式窃取来自工作档案（Work profile）的资讯，并将它们传送到骇客所操控的C&C服务器上。
Android for Work为Google在2015年专为企业环境所打造的行动服务，它是基于沙箱或安全容器概念，于Android装置上建立一个具备企业等级控管能力的隔离空间，用以储存所有的企业应用程序、电子邮件及文件。同一装置上除了企业用的工作档案之外，另有属于私人空间的个人档案，可储存个人资料及安装各种应用程序。
然而，Amit本周却展示了两项攻击，可借由个人档案中所安装的程式窃取工作档案的内容。其中一个途径是利用Android for Work的通知功能，另一个则是透过Android平台上的辅助服务（Accessibility Service）。
Amit说明，Android for Work的通知与个人通知采用同样的界面，由于通知的存取是属于装置等级的权限，因此个人档案中的恶意程式亦可取得检视所有通知的权限，包含工作通知，而让通知中所显示的会议时间、邮件讯息或其他机密资讯曝光。
至于Android平台上的辅助服务则是用来强化使用者与装置的互动能力，包含可念出屏幕上的文字，因此，位于个人档案中、取得辅助服务权限的恶意程式亦能存取工作档案中正执行的程式，绕过Android for Work的保护。
Amit认为，除了Android平台可能被骇而让机密资讯曝光之外，另一个风险则是会让使用者误以为拥有安全容器就能保障资讯的安全。
