［本站讯］近日，第31届ACM移动计算与网络国际会议(ACM MobiCom '25)在中国香港举办。软件学院教授沈益冉、硕士研究生李增参加会议并汇报了题为”WinSpy: Cross-window Side-channel Attacks on Android's Multi-window Mode“的论文成果。李增为论文第一作者，沈益冉为论文通讯作者，山东大学为论文第一完成单位。

随着智能手机屏幕尺寸的增大和多任务处理需求的提升，“多窗口模式”已成为安卓系统的一项核心功能。然而，该功能在带来便利的同时，其背后的安全与隐私风险却未得到充分研究。本次发表的WinSpy论文，首次系统性地揭示并利用了安卓多窗口模式下存在的高风险侧信道，可导致严重的用户隐私泄露。

研究团队提出并实现了一个名为“WinSpy”的新型攻击框架，该框架主要利用两种新发现的侧信道进行攻击：1.资源争用侧信道 (Resource Contention Side-channel)。恶意应用可以在多窗口模式下与正常应用同时运行。通过持续占用CPU资源并精确监测自身资源消耗的微小波动，恶意应用能够构建出用户正在使用的另一款应用的“行为指纹”，从而以高达70%-80%的准确率识别用户启动了哪个App、浏览了哪个网站，甚至能以超过97%的准确率识别用户在应用内的关键操作（如点击“转账”“发送语音”等）。2.共享传感器读数侧信道 (Shared Sensor Readings Side-channel)。在多窗口模式下，安卓系统对传感器（如加速计、陀螺仪）的权限管理过于宽松。恶意应用无需申请特殊权限，即可在用户无感知的情况下，以最高频率读取传感器数据。通过分析用户点击屏幕时手机产生的微小振动差异，WinSpy能够精确推断出用户在另一窗口中的触控位置，对数字键盘的密码输入等构成直接威胁。

这项工作不仅为移动操作系统开发者敲响了警钟，也为未来的系统安全加固和用户隐私保护机制的设计提供了关键的科学依据和改进方向。

ACM MobiCom是计算机网络与移动计算领域国际顶级会议，被中国计算机学会（CCF）推荐为A类会议。