「應用程式安全性提升」計畫是 Google Play 應用程式開發人員提供的一種服務,旨在改善應用程式的安全性。這項計畫提供秘訣和推薦內容,幫助您建構更安全的應用程式,並辨識將應用程式上傳至 Google Play 時可能須採取的安全性增强措施。截至目前為止,這項計畫已協助開發人員修正 Google Play 上超過 1,000,000 個應用程式的問題。
運作方式
Google Play 同意接受任何應用程式之前,我們會掃描應用程式以檢查安全性,包括潛在的安全性問題。為了防範其他威脅,我們也會不斷重複掃描 Google Play 上超過一百萬個應用程式。
如果您的應用程式標記為可能存在安全性問題,我們會立即通知您,幫助您迅速解決問題並保障使用者的安全。我們會同時透過電子郵件和 Google Play 管理中心傳送警示給您,並附上支援網頁的連結以及關於如何改善應用程式的詳細資料。
一般來說,這些通知中包含時程,以便盡快為使用者改善現有的情形。針對某些類型的問題,您必須先在應用程式內改善安全性,才能發布更多更新。
您可以將新版本的應用程式上傳至 Google Play 管理中心,確認問題已完全獲得解決。請務必依累加原則設定已修正應用程式的版本號碼。數小時後,檢查 Play 管理中心是否顯示安全性警示;如果已不存在,就表示大功告成。
![](https://developer.android.google.cn/static/images/google/asi_warning.png?authuser=3&hl=zh-tw)
Play 管理中心某個應用程式的安全性改善警示範例。
親身參與
這項計畫的成功奠基於我們與您(Google Play 上的應用程式開發人員)以及安全性社群的合作關係。我們都有責任為使用者提供安全可靠的應用程式。若要提供寶貴意見或有任何疑問,請透過 Google Play 開發人員說明中心與我們聯絡。若要報告應用程式的潛在安全性問題,請透過 security+asi@android.com
與我們聯絡。
廣告活動和救濟措施
以下是為 Google Play 上的開發人員標記出的最新安全性問題。每項廣告活動的支援網頁連結中,都會提供詳盡的安全漏洞與修復措施相關資訊。
表 1:顯示警示的廣告活動和修復措施的期限。
廣告活動 | 已開始 | 支援網頁 |
---|---|---|
洩露的 Firebase 雲端通訊伺服器金鑰 | 2021 年 10 月 12 日 | 支援網頁 |
意圖重新導向 | 2019 年 5 月 16 日 | 支援網頁 |
插入 JavaScript 介面 | 2018 年 12 月 4 日 | 支援網頁 |
配置盜用 | 2018 年 11 月 15 日 | 支援網頁 |
跨應用程式指令碼 | 2018 年 10 月 30 日 | 支援網頁 |
以檔案為基礎的跨網站指令碼攻擊 | 2018 年 6 月 5 日 | 支援網頁 |
插入 SQL | 2018 年 6 月 4 日 | 支援網頁 |
路徑周遊 | 2017 年 9 月 22 日 | 支援網頁 |
不安全的主機名稱驗證 | 2016 年 11 月 29 日 | 支援網頁 |
插入片段 | 2016 年 11 月 29 日 | 支援網頁 |
Supersonic 廣告 SDK | 2016 年 9 月 28 日 | 支援網頁 |
Libpng | 2016 年 6 月 16 日 | 支援網頁 |
Libjpeg-turbo | 2016 年 6 月 16 日 | 支援網頁 |
Vpon 廣告 SDK | 2016 年 6 月 16 日 | 支援網頁 |
Airpush 廣告 SDK | 2016 年 3 月 31 日 | 支援網頁 |
MoPub 廣告 SDK | 2016 年 3 月 31 日 | 支援網頁 |
OpenSSL(「logjam」和 CVE-2015-3194、CVE-2014-0224) | 2016 年 3 月 31 日 | 支援網頁 |
TrustManager | 2016 年 2 月 17 日 | 支援網頁 |
AdMarvel | 2016 年 2 月 8 日 | 支援網頁 |
Libupup (CVE-2015-8540) | 2016 年 2 月 8 日 | 支援網頁 |
Apache Cordova (CVE-2015-5256、CVE-2015-1835) | 2016 年 12 月 14 日 | 支援網頁 |
Vitamio 廣告 SDK | 2016 年 12 月 14 日 | 支援網頁 |
GnuTLS | 2015 年 10 月 13 日 | 支援網頁 |
Webview SSLErrorHandler | 2015 年 7 月 17 日 | 支援網頁 |
Vungle 廣告 SDK | 2015 年 6 月 29 日 | 支援網頁 |
Apache Cordova (CVE-2014-3500、CVE-2014-3501、CVE-2014-3502) | 2015 年 6 月 29 日 | 支援網頁 |
表 2:僅顯示警示的廣告活動(無修復期限)。
廣告活動 | 已開始 | 支援網頁 |
---|---|---|
隱式 PendingIntent | 2022 年 2 月 22 日 | 支援網頁 |
隱式內部 Intent | 2021 年 6 月 22 日 | 支援網頁 |
不安全的加密模式 | 2020 年 10 月 13 日 | 支援網頁 |
不安全的加密方式 | 2019 年 9 月 17 日 | 支援網頁 |
壓縮檔路徑周遊 | 2019 年 5 月 21 日 | 支援網頁 |
內嵌 Fourqua OAuth 憑證 | 2016 年 9 月 28 日 | 支援網頁 |
內嵌 Facebook OAuth 憑證 | 2016 年 9 月 28 日 | 支援網頁 |
Google Play 帳款服務攔截 | 2016 年 7 月 28 日 | 支援網頁 |
內嵌 Google OAuth 更新憑證 | 2016 年 7 月 28 日 | 支援網頁 |
開發人員網址外洩的憑證 | 2016 年 6 月 16 日 | 支援網頁 |
內嵌 KeyStore 檔案 | 2014 年 10 月 2 日 | |
內嵌 Amazon Web Services 憑證 | 2014 年 6 月 12 日 |