对于智能手机用户来说，便利似乎仍然是有代价的。随着每一个新的创新产品被引入市场，也存在新的安全漏洞的风险。10月，我报道三星创新显示指纹被便宜的凝胶屏保护膜打败。这项技术并不新鲜。我们正在谈论非接触式支付和访问控制背后的技术。然而，调整后的谷歌安全设置打开了一个严重的漏洞，该漏洞已被修复。现在，数百万用户需要应用最新的安卓安全更新集或更改他们的设置。

NFC(近场通信)已经变得几乎和蓝牙一样流行。通过将手机与其他设备或阅读器保持几厘米的距离，您可以打开无线数据链路，该链路通常用于交换支付或访问凭据。但是，同样的链路也可以用于在设备之间传输大量数据。使用安卓时，是安卓Beam的形式，是一种方便的方法。即使不使用，它也可以在没有外部网络或蓝牙的情况下将数据从一台设备传输到另一台设备。

由于这是一个核心功能，大多数新的安卓设备都配备了支持NFC的支付和数据传输功能。没问题。然而，当与另一个默认的安卓选项结合使用时，它会导致一个问题——安装未知应用程序的特定于应用程序的安全设置。它们被称为“未知应用程序”，因为它们来自Play商店之外——这将带来风险，在允许用户安装任何此类应用程序之前，应该警告他们。在安卓8之前，启用或禁用此类安装是全系统的。问题是，谷歌随后改变了这一设置，使其成为特定应用程序，并默认将其核心应用程序设置为可信对象，包括Android Beam。

那么，攻击将如何显现？用户会触摸恶意支付或访问终端，用攻击者的手机触摸他们的设备，或将手机放在隐藏终端的表面。目标设备将显示一个提示，一键选项，允许安装应用程序。因此，这不是警告。因此，大多数用户会认为这是一个标准的Play Store或Android更新——为什么你会不这么认为？

该漏洞已被确认，严重性很高，并已修复。CVE-2019-2114被描述为“在软件包安装过程中，由于默认权限[在NFC默认权限中]，本地绕过了用户交互要求”。[这可能会因未安装应用程序而导致本地权限升级。现在我们知道这实际上意味着什么。这个bug是在10月份修补的，还有其他关键的安卓安全补丁。应用补丁后，Android Beam已被删除为可信来源，从而消除了漏洞。不用说，当出现严重的安全问题时，用户应该尽快更新设备并保持更新。

虽然漏洞很严重，但如果知道风险，防御起来相对简单。外出时看到应用安装通知，请不要误点。而且，如果这种情况发生在你旅行的时候，你可能最近接触过终端或设备，请谨慎。坦率地说，您可以通过简单地更改设置或立即应用更新来避免风险。用户可以在自己的设备上点击NFC和支付设置选项，然后为安卓Beam禁用NFC。您可以用通常的方式将更新应用到您的设备。

由于此漏洞的详细信息现已公开，它提供了CVE核心描述之外的详细信息，因此用户应该格外小心。在给系统打补丁并让用户意识到之前有一个时间间隔，这确实会带来一定的风险。然而，它很容易在几秒钟内修复。正如我之前写的许多文章一样，我们从允许廉价或免费应用程序在设备上使用的风险中得出的风险需要应用一些常识。当然，这个问题是不同的，它是一个系统问题，而不是Play store应用程序漏洞。也就是说，它确实起到了随意使用应用和安装方式的作用，可能值得考虑。