應用程式安全性提升計畫
透過集合功能整理內容
你可以依據偏好儲存及分類內容。
「應用程式安全性提升」計畫是 Google Play 應用程式開發人員提供的一種服務，旨在改善應用程式的安全性。這項計畫提供秘訣和推薦內容，幫助您建構更安全的應用程式，並辨識將應用程式上傳至 Google Play 時可能須採取的安全性增强措施。截至目前為止，這項計畫已協助開發人員修正 Google Play 上超過 1,000,000 個應用程式的問題。
運作方式
Google Play 同意接受任何應用程式之前，我們會掃描應用程式以檢查安全性，包括潛在的安全性問題。為了防範其他威脅，我們也會不斷重複掃描 Google Play 上超過一百萬個應用程式。
如果您的應用程式標記為可能存在安全性問題，我們會立即通知您，幫助您迅速解決問題並保障使用者的安全。我們會同時透過電子郵件和 Google Play 管理中心傳送警示給您，並附上支援網頁的連結以及關於如何改善應用程式的詳細資料。
一般來說，這些通知中包含時程，以便盡快為使用者改善現有的情形。針對某些類型的問題，您必須先在應用程式內改善安全性，才能發布更多更新。
您可以將新版本的應用程式上傳至 Google Play 管理中心，確認問題已完全獲得解決。請務必依累加原則設定已修正應用程式的版本號碼。數小時後，檢查 Play 管理中心是否顯示安全性警示；如果已不存在，就表示大功告成。
Play 管理中心某個應用程式的安全性改善警示範例。
親身參與
這項計畫的成功奠基於我們與您（Google Play 上的應用程式開發人員）以及安全性社群的合作關係。我們都有責任為使用者提供安全可靠的應用程式。若要提供寶貴意見或有任何疑問，請透過 Google Play 開發人員說明中心與我們聯絡。若要報告應用程式的潛在安全性問題，請透過 security+asi@android.com 與我們聯絡。
廣告活動和救濟措施
以下是為 Google Play 上的開發人員標記出的最新安全性問題。每項廣告活動的支援網頁連結中，都會提供詳盡的安全漏洞與修復措施相關資訊。
表 1：顯示警示的廣告活動和修復措施的期限。
|
廣告活動 |
已開始 |
支援網頁 |
|
洩露的 Firebase 雲端通訊伺服器金鑰 |
2021 年 10 月 12 日 |
支援網頁 |
|
意圖重新導向 |
2019 年 5 月 16 日 |
支援網頁 |
|
插入 JavaScript 介面 |
2018 年 12 月 4 日 |
支援網頁 |
|
配置盜用 |
2018 年 11 月 15 日 |
支援網頁 |
|
跨應用程式指令碼 |
2018 年 10 月 30 日 |
支援網頁 |
|
以檔案為基礎的跨網站指令碼攻擊 |
2018 年 6 月 5 日 |
支援網頁 |
|
插入 SQL |
2018 年 6 月 4 日 |
支援網頁 |
| 路徑周遊 |
2017 年 9 月 22 日 |
支援網頁 |
|
不安全的主機名稱驗證 |
2016 年 11 月 29 日 |
支援網頁 |
|
插入片段 |
2016 年 11 月 29 日 |
支援網頁 |
|
Supersonic 廣告 SDK |
2016 年 9 月 28 日 |
支援網頁 |
| Libpng |
2016 年 6 月 16 日 |
支援網頁 |
| Libjpeg-turbo |
2016 年 6 月 16 日 |
支援網頁 |
| Vpon 廣告 SDK |
2016 年 6 月 16 日 |
支援網頁 |
|
Airpush 廣告 SDK |
2016 年 3 月 31 日 |
支援網頁 |
|
MoPub 廣告 SDK |
2016 年 3 月 31 日 |
支援網頁 |
|
OpenSSL（「logjam」和 CVE-2015-3194、CVE-2014-0224） |
2016 年 3 月 31 日 |
支援網頁 |
| TrustManager |
2016 年 2 月 17 日 |
支援網頁 |
|
AdMarvel |
2016 年 2 月 8 日 |
支援網頁 |
|
Libupup (CVE-2015-8540) |
2016 年 2 月 8 日 |
支援網頁 |
|
Apache Cordova (CVE-2015-5256、CVE-2015-1835) |
2016 年 12 月 14 日 |
支援網頁 |
|
Vitamio 廣告 SDK |
2016 年 12 月 14 日 |
支援網頁 |
|
GnuTLS |
2015 年 10 月 13 日 |
支援網頁 |
|
Webview SSLErrorHandler |
2015 年 7 月 17 日 |
支援網頁 |
|
Vungle 廣告 SDK |
2015 年 6 月 29 日 |
支援網頁 |
|
Apache Cordova (CVE-2014-3500、CVE-2014-3501、CVE-2014-3502) |
2015 年 6 月 29 日 |
支援網頁 |
表 2：僅顯示警示的廣告活動（無修復期限）。
|
廣告活動 |
已開始 |
支援網頁 |
|
隱式 PendingIntent |
2022 年 2 月 22 日 |
支援網頁 |
|
隱式內部 Intent
|
2021 年 6 月 22 日 |
支援網頁 |
|
不安全的加密模式 |
2020 年 10 月 13 日 |
支援網頁 |
|
不安全的加密方式
|
2019 年 9 月 17 日 |
支援網頁 |
| 壓縮檔路徑周遊 |
2019 年 5 月 21 日 |
支援網頁 |
|
內嵌 Fourqua OAuth 憑證 |
2016 年 9 月 28 日 |
支援網頁 |
|
內嵌 Facebook OAuth 憑證 |
2016 年 9 月 28 日 |
支援網頁 |
|
Google Play 帳款服務攔截 |
2016 年 7 月 28 日 |
支援網頁 |
|
內嵌 Google OAuth 更新憑證 |
2016 年 7 月 28 日 |
支援網頁 |
|
開發人員網址外洩的憑證 |
2016 年 6 月 16 日 |
支援網頁 |
|
內嵌 KeyStore 檔案 |
2014 年 10 月 2 日 |
|
|
內嵌 Amazon Web Services 憑證 |
2014 年 6 月 12 日 |
|
這個頁面中的內容和程式碼範例均受《內容授權》中的授權所規範。Java 與 OpenJDK 是 Oracle 和/或其關係企業的商標或註冊商標。
上次更新時間：2024-01-05 (世界標準時間)。
[[["容易理解","easyToUnderstand","thumb-up"],["確實解決了我的問題","solvedMyProblem","thumb-up"],["其他","otherUp","thumb-up"]],[["缺少我需要的資訊","missingTheInformationINeed","thumb-down"],["過於複雜/步驟過多","tooComplicatedTooManySteps","thumb-down"],["過時","outOfDate","thumb-down"],["翻譯問題","translationIssue","thumb-down"],["示例/程式碼問題","samplesCodeIssue","thumb-down"],["其他","otherDown","thumb-down"]],["上次更新時間：2024-01-05 (世界標準時間)。"],[],[],null,["# App security improvement program\n\nThe App Security Improvement program is a service provided to Google Play\napp developers to improve the security of their apps. The program provides\ntips and recommendations for building more secure apps and identifies\npotential security enhancements when your apps are uploaded to Google\nPlay. To date, the program has facilitated developers to fix over\n1,000,000 apps on Google Play.\n\nHow it works\n------------\n\n\nBefore any app is accepted into Google Play, we scan it for safety and\nsecurity, including potential security issues. We also continuously re-scan\nthe over one million apps on Google Play for additional threats.\n\n\nIf your app is flagged for a potential security issue, we'll notify you\nimmediately to help you quickly address the issue and help keep your users\nsafe. We'll deliver alerts to you using both email and the Google Play\nConsole, with links to a support page with details about how to\nimprove the app.\n\n\nTypically, these notifications will include a timeline for delivering the\nimprovement to users as quickly as possible. For some kinds of issues, we\nmay require you to make security improvements in the app before you can\npublish any more updates to it.\n\n\nYou can confirm that you've fully addressed the issue by uploading the new\nversion of your app to the Google Play Console. Be sure to [increment the version number](/studio/publish/versioning) of the\nfixed app. After a few hours, check the Play Console for the security\nalert; if it's no longer there, you're all set. \n\nExample of a security improvement alert for\nan app in the Play Console.\n\nGet involved\n------------\n\n\nThe success of this program rests on our partnership with you---the developers\nof apps on Google Play---and the security community. We're all responsible for\nproviding safe, secure apps to our users. For feedback or questions, please\nreach out to us through the [Google\nPlay Developer Help Center](https://support.google.com/googleplay/android-developer/contact/publishing). To report potential security issues in apps,\nplease reach out to us at `security+asi@android.com`.\n\nCampaigns and remediations\n--------------------------\n\n\nBelow are the most recent security issues flagged to developers on\nGoogle Play. Vulnerability and remediation details are available\nin each campaign's support page link.\n\n\n**Table 1**: Warning campaigns with associated deadline for remediation.\n\n| Campaign | Started | Support Page |\n|--------------------------------------------------------------|------------|----------------------------------------------------------------|\n| Exposed Firebase Cloud Messaging Sever Keys | 10/12/2021 | [Support page](https://support.google.com/faqs/topic/11015404) |\n| Intent Redirection | 5/16/2019 | [Support page](https://support.google.com/faqs/answer/9267555) |\n| JavaScript Interface Injection | 12/4/2018 | [Support page](https://support.google.com/faqs/answer/9095419) |\n| Scheme Hijacking | 11/15/2018 | [Support page](https://support.google.com/faqs/answer/9101196) |\n| Cross App Scripting | 10/30/2018 | [Support page](https://support.google.com/faqs/answer/9084685) |\n| File-based Cross-Site Scripting | 6/5/2018 | [Support page](https://support.google.com/faqs/answer/7668153) |\n| SQL Injection | 6/4/2018 | [Support page](https://support.google.com/faqs/answer/7668308) |\n| Path Traversal | 9/22/2017 | [Support page](https://support.google.com/faqs/answer/7496913) |\n| Insecure Hostname Verification | 11/29/2016 | [Support page](https://support.google.com/faqs/answer/7188426) |\n| Fragment Injection | 11/29/2016 | [Support page](https://support.google.com/faqs/answer/7188427) |\n| Supersonic Ad SDK | 9/28/2016 | [Support page](https://support.google.com/faqs/answer/7126517) |\n| Libpng | 6/16/2016 | [Support page](https://support.google.com/faqs/answer/7011127) |\n| Libjpeg-turbo | 6/16/2016 | [Support page](https://support.google.com/faqs/answer/7008337) |\n| Vpon Ad SDK | 6/16/2016 | [Support page](https://support.google.com/faqs/answer/7012047) |\n| Airpush Ad SDK | 3/31/2016 | [Support page](https://support.google.com/faqs/answer/6376737) |\n| MoPub Ad SDK | 3/31/2016 | [Support page](https://support.google.com/faqs/answer/6345928) |\n| OpenSSL (\"logjam\" and CVE-2015-3194, CVE-2014-0224) | 3/31/2016 | [Support page](https://support.google.com/faqs/answer/6376725) |\n| TrustManager | 2/17/2016 | [Support page](https://support.google.com/faqs/answer/6346016) |\n| AdMarvel | 2/8/2016 | [Support page](https://support.google.com/faqs/answer/6345881) |\n| Libupup (CVE-2015-8540) | 2/8/2016 | [Support page](https://support.google.com/faqs/answer/6346109) |\n| Apache Cordova (CVE-2015-5256, CVE-2015-1835) | 12/14/2015 | [Support page](https://support.google.com/faqs/answer/6325474) |\n| Vitamio Ad SDK | 12/14/2015 | [Support page](https://support.google.com/faqs/answer/6365106) |\n| GnuTLS | 10/13/2015 | [Support page](https://support.google.com/faqs/answer/6344084) |\n| Webview SSLErrorHandler | 7/17/2015 | [Support page](https://support.google.com/faqs/answer/7071387) |\n| Vungle Ad SDK | 6/29/2015 | [Support page](https://support.google.com/faqs/answer/6313713) |\n| Apache Cordova (CVE-2014-3500, CVE-2014-3501, CVE-2014-3502) | 6/29/2015 | [Support page](https://support.google.com/faqs/answer/6325474) |\n\n\n**Table 2**: Warning-only campaigns (no remediation deadline).\n\n| Campaign | Started | Support Page |\n|------------------------------------------|------------|-----------------------------------------------------------------|\n| Implicit PendingIntent | 2/22/2022 | [Support page](https://support.google.com/faqs/answer/10437428) |\n| Implicit Internal Intent | 6/22/2021 | [Support page](https://support.google.com/faqs/answer/10399926) |\n| Unsafe Encryption Mode | 10/13/2020 | [Support page](https://support.google.com/faqs/answer/10046138) |\n| Unsafe Encryption | 9/17/2019 | [Support page](https://support.google.com/faqs/answer/9450925) |\n| Zipfile Path Traversal | 5/21/2019 | [Support page](https://support.google.com/faqs/answer/9294009) |\n| Embedded Foursquare OAuth Token | 9/28/2016 | [Support page](https://support.google.com/faqs/answer/7050471) |\n| Embedded Facebook OAuth Token | 9/28/2016 | [Support page](https://support.google.com/faqs/answer/7126515) |\n| Google Play Billing interception | 7/28/2016 | [Support page](https://support.google.com/faqs/answer/7054270) |\n| Embedded Google Refresh Token OAuth | 7/28/2016 | [Support page](https://support.google.com/faqs/answer/7052200) |\n| Developer URL Leaked Credentials | 6/16/2016 | [Support page](https://support.google.com/faqs/answer/7026406) |\n| Embedded Keystore files | 10/2/2014 | |\n| Amazon Web Services embedded credentials | 6/12/2014 | |"]]
