漏洞手机

手机从桌上滑下去的漏洞手机时候，我正低头找充电线。漏洞手机捡起来一看，漏洞手机屏幕没碎，漏洞手机边框也没磕出印子。漏洞手机但我知道，漏洞手机它已经不一样了。漏洞手机

那是漏洞手机台用了两年的安卓机，系统更新停在某个安全补丁上。漏洞手机厂商早就不管它了。漏洞手机我查过，漏洞手机这个型号最后一次收到安全更新是漏洞手机十三个月前。十三个月，漏洞手机够干什么？漏洞手机够一个漏洞从被发现到被利用，够一条攻击链从实验室流到黑市，漏洞手机够几百万人继续用着同一批没打补丁的机器。

漏洞这东西，不像碎屏那么直观。屏幕裂了你知道要去修，电池鼓包你能看见。可系统里藏着的那个洞，你摸不着。它可能藏在蓝牙协议里，可能躲在某个系统服务后面，也可能就躺在你每天点开的应用框架中。攻击者不需要你下载什么奇怪的东西，不需要你点开钓鱼链接。有些漏洞，只要你开着Wi-Fi，只要你连着基站，甚至只要你手机处于开机状态，就足够了。

我认识一个做安全研究的朋友，他桌上摆着七八台旧手机。全是不同品牌的过时机型，每台都跑着他自己写的检测脚本。有次我去他那儿，他指着其中一台说：“这台机器，我能在三米内用蓝牙让它重启。”我问他怎么做到的，他说：“厂商两年前修过这个漏洞，但只修了新旗舰。中低端机型？他们当没这回事。”

这背后是笔账。给旧手机推安全补丁，要养团队、要测试、要适配，全是成本。卖新手机多好，一台赚几百上千。所以厂商有动力让你觉得手机“卡了”“旧了”“该换了”。他们不会明说“你这台不安全了”，但系统更新列表里那个永远停在过去的日期，就是最诚实的答案。

更麻烦的是，很多人根本不知道自己的手机有漏洞。你问身边人“手机系统多久没更新了”，十个里有八个会说“提示更新我就更，不提示就不管”。可问题是，很多厂商压根不提示。他们把安全更新和功能更新绑在一起，功能更新一停，安全更新也跟着没了。这就像你家门锁坏了，物业不告诉你，还顺便把门铃也拆了。

我自己那台旧手机，后来装了个开源系统。折腾了一下午，刷机、配置、迁移数据。新系统流畅度一般，相机算法也差了点，但至少安全补丁是上个月的。代价是有的，支付软件偶尔闪退，某些银行App直接不让装。你看，安全从来不是免费的。要么花钱买新机，要么花时间折腾，要么就接受自己揣着个“漏洞手机”出门。

最让我不舒服的，是那种被默认放弃的感觉。你花几千块买的东西，在厂商眼里只有两年保质期。过了这个点，你的安全就不在他们的考虑范围内了。他们赌你不会出事，赌你出事也找不到他们头上。这个赌局里，庄家永远赢。

前几天坐地铁，旁边一个中学生掏出一台屏幕碎成蛛网的老款手机，熟练地划着短视频。我瞥了一眼系统版本，比我的还旧。他大概从来没想过，手里这个刷视频、聊微信、绑着家长银行卡的设备，可能正开着好几扇没关的后门。

漏洞手机不会爆炸，不会冒烟，不会在手里突然死机。它只是安安静静地，把你的每一次点击、每一条消息、每一个密码，都暴露在某个看不见的缝隙里。而你甚至不知道，那个缝隙是什么时候裂开的。