亲爱的Google Play团队：

感谢您创建和管理Android最大的App Store，它现在是世界上最大的智能手机平台的中心集线器。谢谢以及Android的开放式架构，这使得全球数十亿人可以廉价地访问互联网和许多伟大的数字内容，通常是第一次。

但是，尊重，让我说Android的非常开放促进了必须立即解决的不断解决的问题。我们分享您最近在一些Android手机模型上宣传安全问题的担忧。但我们对谷歌游戏的担忧只有在8月份概述了平台的一些关键问题。从那以后，我们已经看到了谷歌戏剧的几个严重的安全违规行为。我害怕更多的是，特别是当我们进入假期时，当基于应用程序的购物肯定增加时。

这就是为什么：

分解问题

我的团队和我最近在Google Play上进行了彻底搜索了可以分解的Google Play上的Android应用程序。一种可分解​​的应用程序可以通过应用程序共享对象库和DEX文件来设计其代码，并在Internet上广泛使用的恶意黑客工具非常简单的过程。

您可以在此阅读完整结果。我们发现的是Sobering：85％的Google Play的Top 200免费Android应用程序留未受保护，无保护。Google Play上的可分解应用包括极其流行和众所周知的消息/照片共享服务，游戏，音乐/视频流服务，金融服务，具有讽刺意味的几个防病毒应用。所有这些都容易受到恶意黑客的影响，包括盗版和恶意软件注射。要引用一个过去的例子，Snapchat通过分解可能使寄生虫应用程序的良好记录问题。（阅读对我们中等博客上分解的危险的进一步解释。）

讨论与开发人员甚至在谷歌的同事讨论这些问题时，我们经常被告知保护源代码（例如由您自己公司推荐的Proguard这样的混淆工具提供）将足够。不幸的是，这种情况并非如此。由于源代码被视为纯文本，因此即使在被滥用后，也相对容易分析。这将我们带到我们现在面临的更广泛的问题：

谷歌开放的意外后果

在许多方面，这种状态是一种自我实现的预言。谷歌在制作Android开源的最佳意图中，选择开源Java开发语言，然后通过开放的市场政策运行Google Play。但是Java在使用虚拟机中的本质意味着对应用程序的字节码进行极其容易，并且可以看到99％的原始源代码，这可能导致应用篡改，IP盗窃以及零日和一天漏洞的识别。此外，Google Play的开放性使得可以更轻松地下载这些可分解的应用程序并上传包裹恶意代码的应用程序。

也许如果Google Play团队关闭其平台并用严格的审查系统将其覆盖，因为Apple拥有，Android用户将是更安全的。但是，具有讽刺意味的是，在这样做时，Google Play和Android本身就会失去它们所在的本质和代表。所以也许我们的僵局是僵局。

然而，一切都不会丢失。

建立更安全的Google Play

由于谷歌拥有整个世界上最有才华的工程师团队，我非常有信心他们很清楚这个分解问题。这是我希望你现在正在解决解决方案，即使它需要大量承诺和资源。

但是，虽然我们等待您有希望开发的任何服务器或基于设备的解决方案，但我的推荐是您对Android开发人员和消费者的外展双重甚至三倍。对于开发人员来说，这意味着在将其推动到您的平台之前为其应用程序添加二进制保护，总体而言，学会通过心智安全地接近开发。为他们，Android消费者必须了解手机平台中固有的漏洞，并花时间学习最佳实践，以保持手机安全。

无论您选择什么解决方案，谷歌播放，祝您成功快速。数十亿个Android所有者取决于您。

真挚地，

Min-Pyo Hong

Min-Pyo Hong是一家基于旧金山的安全解决方案开发人员的SeoWorks的首席执行官和创始人。他已经建议了公司，非政府组织和政府对数字安全问题超过20年，并领导了Defcon的五次决赛选手的团队。