黑帽会议本周在拉斯维加斯举行，黑客，安全专家和各大公司的代表会面，讨论与信息安全有关的所有事情。 如果你今天在会议上关注这些消息，你可能会发现Android（以及支持NFC的Meego手机）中存在新安全漏洞的报告，该漏洞可能允许恶意NFC（近场通信）标签发送恶意软件直接到你的手机上。 听起来很可怕，对吗？ 现在，黑客可以在没有做任何事情的情况下接管您的智能手机。 但就像这些安全问题一样，它并不像看起来那么简单。 这款NFC'黑客'，性感和技术上令人印象深刻，对普通智能手机用户来说并不是特别可怕。
请继续阅读以找出原因。
首先，我们应该快速解释NFC究竟是什么。 它代表近场通信，它是一种非常短距离的无线通信技术，设计用于在非常短的距离内即时发送少量数据。 在智能手机上，这可以用于将诸如URL之类的东西从一个手机传输到另一个手机，或者用于扫描NFC“标签”，其本身可以包含电话可以对其执行的少量数据。 它还可用于方便付款，例如通过Google电子钱包。 （在我们的Android AZ中）
多个消息来源报道，安全研究员查理·米勒本周展示了各种技术，用于攻击Nexus S（在Gingerbread上），Galaxy Nexus（冰淇淋三明治）和Meego驱动的诺基亚N9。 许多最恐怖的攻击都是在N9上发现的，但我们会专注于Android，因为这就是我们的工作。 （这也是今天许多头条新闻所关注的内容。）
从高端开始，Galaxy Nexus Miller展示了支持NFC的安卓手机运行Ice Cream Sandwich或者后来使用Android Beam，这是一些默认情况下（但不是全部）开启的功能。 除此之外，Beam还允许用户将来自其他手机或NFC标签的URL直接加载到设备的Web浏览器中。 这意味着使用恶意NFC标签可以将不起眼的用户直接发送到恶意网页。 然而，为了实现这一点，标签需要在NFC无线电可以操作的非常短的范围内 - 基本上只能接触设备的背面。 根据设计，Android Beam会自动打开带标记的URL，而不会提示任何提示。 这是一个有效的安全问题，但不是传统意义上的漏洞利用，因为为了在用户的Web浏览器中找到漏洞，您需要做任何事情。
如果你在Android 4.0.1上使用内置的Android浏览器，那么就存在这样的错误，这可能允许专门设计的网页在设备上运行代码。 同样，一个完全有效的安全问题，但使用NFC作为这种漏洞的传递方法是远非实际的。 更不用说Android 4.0.1仅在Galaxy Nexus上发布，这款手机已经更新到Android 4.0.4或4.1.1，具体取决于您的运营商。
Miller还演示了他如何利用Android 2.3内存管理中的漏洞，使具有NFC支持的Gingerbread设备使用恶意标签执行代码。 这可能使攻击者能够仅使用NFC标签完全控制设备，但我们应该指出一些因素，这些问题可能会让您认为这个问题不那么严重。 当然，Android 2.3 Gingerbread仍然是Android最常用的版本，许多新的Android设备都附带NFC支持，但两者之间几乎没有交叉。 Nexus S是第一款支持NFC的Android手机，但后来更新为Jelly Bean。 其他支持NFC的设备出货于2.3，但大多数带有NFC的主流Android手机至少运行4.0.3版本，这不会受到本演示中使用的漏洞攻击。 事实上，我们不能想到一款具有NFC的姜饼手机尚未更新到至少Android 4.0.3。
因此，漏洞肯定存在，但是现在唯一严重的漏洞仅限于拥有NFC的非常小的Android人群， 以及 非常具体的操作系统版本。 更重要的是，手机需要打开电源，需要启用NFC无线电，并且用户需要分心，以免注意到NFC音调或振动。
最终，任何涉及被黑客攻击的设备的物理访问的漏洞利用对于真正的坏人来说都是有限的用途。 即使在黑帽公布的方法公布之后，在现实世界中控制智能手机而不是NFC仍将是危险且不切实际的。 如果我可以访问您的手机，长时间打开电源，并且有恶意，NFC将不会成为我的第一个停靠点。 Charlie Miller本周展示的这些功能非常巧妙，而且无可否认。 但是很容易夸大它们造成的真正危险，特别是当这些黑客的主流报道对重要技术细节有所了解时。
底线 - 如果您喜欢在Android手机上不时使用NFC，那么您可以安全地继续这样做。
更多：Arc Technica
