智能手机签名代码

74专题研究2012年第12期程宇贤,刘志亮,殷俊,左然(公安部第三研究所,上海200031)摘要:随着移动互联网的不断发展和智能手机的普及应用,尤其是免费WiFi的大面积覆盖,智能手机面临的安全形势也日益严峻.
文章针对智能手机当前面临的各类新风险,从智能手机的系统安全、通信传输安全以及云端安全等几个方面分别阐述了智能手机的安全现状、智能手机面临的安全风险,并提出了相应的信息安全应对策略.
关键词:智能手机;WiFi;鉴权;云安全中图分类号:TP393.
08文献标识码:A文章编号:1671-1122(2012)12-0074-03SmartphoneInformationSecurityProblemsintheMobileInternetTimesandCountermeasuresAnalysisCHENGYu-xian,LIUZhi-liang,YINJun,ZUORan(TheThirdResearchInstituteOfMinistryofPublicSecurity,Shanghai200031,China)Abstract:WiththecontinuingdevelopmentofMobileInternetandthepopularityofsmartphone,especiallywiththehighcoverageoffreeWiFi,smartphoneisfacingincreasinglyserioussecuritysituation.
Focusingonthevarietyinformationsecurityproblemsofsmartphone,weexplainthesecuritysituationandsecurityriskfromthefollowingaspects:systemsecurity,communicationsecurityandthesecurityofCloud.
Atlast,weputforwardthecorrespondinginformationsecuritycountermeasuresstrategy.
Keywords:smartphone;WiFi;authentication;cloudsecuritydoi:10.
3969/j.
issn.
1671-1122.
2012.
12.
022移动互联时代智能手机信息安全问题与对策分析收稿时间:2012-11-15作者简介:程宇贤(1986-),女,江西,工程师,硕士,主要研究方向:网络信息安全;刘志亮(1984-),男,山东,工程师,本科,主要研究方向:渗透测试;殷俊(1990-),男,上海,工程师,本科,主要研究方向:无线局域网安全;左然(1985-),女,陕西,工程师,硕士,主要研究方向:移动通讯.
截至2012年9月,我国智能手机用户数量已超过2.
9亿,并正以滚雪球般的速度持续增长.
然而,随着智能手机用户数量的不断增长与各种应用程序的普及,智能手机安全问题也随之日益凸显.
1智能手机信息安全问题与对策分析1.
1智能手机系统安全分析1)智能手机系统缺陷2012年8月,手机应用系统"苹果越狱大神Pod2g"爆出一个"iPhone短信欺骗漏洞",该漏洞在iPhone上已存在5年之久.
该漏洞在UDH(UserDataheader)中插入自定义回复地址的号码[1],通过PDU模式将构造后的短消息发送给iPhone用户,目标iPhone收到短消息,显示消息的来源便是构造短信里UDH中插入的号码,进而实现了iPhone短信欺骗.
该漏洞被恶意攻击者利用来伪造用户熟知的联系人,发送各种垃圾短信、诈骗信息,间接导致用户秘密信息的泄露,并造成不同程度的经济损失.
2)智能手机操作系统源码开放众所周知,Android操作系统开放源代码,是一个具有极强开放性的平台.
然而它的开放性引发了人们对于系统的深度研究,攻击者可以轻松获取GooglePlay中的软件,通过逆向工程还原成源代码,经过修改加入恶意代码后打包,再将其发布.
于是众多良莠不齐的应用和论坛网站成为滋生各种恶意程序及恶意行为的温床.
复旦大学计算机学院研究表明,国内市场中近六成的75专题研究2012年第12期Android应用程序有问题,总体泄密率高达58%[2].
相对而言,iPhone的非公开编程语言反汇编难度很高,因此其安全威胁要小得多.
1.
2智能手机系统安全对策分析针对智能手机系统自身导致的一些安全问题,可以通过以下几种方式来加强信息安全管理.
1)检查数字签名.
检查所有智能手机设备的可执行文件和安装文件的数字签名.
这些数字签名包括塞班(Symbian)或微软Mobile2Market签署的认证程序,通过这类智能手机管理工具来管理安装文件,可以帮助用户防范恶意软件的自动安装.
另外,智能手机厂商可以创建移动软件白名单和黑名单,向手机用户普及安全防护意识,引导用户避免运行未签名代码.
2)用户访问控制.
加强智能手机操作系统的访问控制,区分普通用户与root权限用户的访问权限,阻止恶意软件篡改文件和调用敏感功能.
例如,安卓的权限管理策略可以限制程序访问系统和用户的文件.
配置这些访问控制策略有利于阻止间谍软件窃取数据,防止特洛伊木马留下后门.
3)安装手机安全程序.
智能手机没有在出厂时安装防火墙、杀毒软件或垃圾邮件过滤器.
手机用户可以考虑通过安装常驻于系统的安全程序来弥补这些安全空缺.
例如,用户可以在智能手机操作系统上安装防病毒软件、短信管理软件以及反垃圾邮件程序.
2通信安全问题与对策分析2.
1智能手机通信安全分析造成上述智能手机通信安全威胁的技术原因主要有两点,其一是身份认证时仅使用了单向鉴权,其二是在数据的传输过程中采用的是不加密通讯.
1)单向鉴权认证.
单向鉴权是指身份认证过程中,WiFi热点会对接入终端进行身份鉴别,只有已被授权用户才能通过该热点接入网络.
通常智能手机用户需要利用账号密码登陆认证后才能接入WiFi网络.
然而用户却不会识别WiFi热点是否合法可靠,那么黑客就可以利用虚拟WiFi软件自制迷惑性WiFi热点,允许对移动终端的不鉴权接入,一旦智能手机用户连接上了这个热点,所有数据必定要通过黑客的计算机转发出去,黑客可以通过抓包软件,记录下智能手机用户所有的上网数据,并分析出其上网轨迹以及发送给服务器的各种账号和密码.
2)不加密通信.
造成智能手机通信安全问题的另一主要原因便是在数据传输过程中采用的是不加密通信.
不加密通信造成的安全风险更大,手机用户即使连接在运营商的WiFi热点上,黑客也可以通过"旁听"的方式进行数据窃取,这是由于无线传输区别于有线传输的特殊性质造成的.
由于无线传输主要靠电磁波来传送信息,而电磁波一旦发出便是不可控的,它会往空间的各个方向传送出去,此时黑客只需要接收这些无线信号,经解码后就能获得所有的通讯数据[3].
2.
2智能手机通信安全对策分析针对以上智能手机通信安全性问题,从运维管理的角度来说,如果能做到以下两点,则可大幅度地降低安全风险.
1)双向鉴权验证热点合法性.
对于黑客制造的WiFi陷阱,要是让智能手机用户去辨别,难度很大,因此必须从热点管理的角度去解决这个问题.
WiFi处于免费使用的无线频段范围内,任何单位或个人都可以随意部署WiFi热点,目前也没有职能部门对这些免费资源进行监督管理.
建议相关人士可以成立民间公共WiFi管理委员会,收集、发布可信WiFi接入点列表并公布于社会,以建议性文件的方式,提示智能手机用户接入安全的免费WiFi连接,以人工鉴权的方式实现对WiFi热点的合法性确认.
2)加强ARP防御.
连接了可信的WiFi热点后也存在一定的风险,因为如果黑客同时连接进了这个热点,便可以发起ARP攻击,劫持智能手机用户的访问请求,在应用层加密前采集到用户的访问账号与密码.
3)数据加密降低被窃听风险.
目前几乎所有免费WiFi网络都使用不加密开放网络+802.
1x身份认证机制,这种机制便于热点的快速部署,但在信息安全问题日益严重之际,已经不能很好保护智能手机用户数据安全,必须做出改变和更新.
从空口接入上,建议设备运维机构改变数据传输机制,采用企业级WPA2加密,密钥和证书则通过2G或3G网络发送给网络终端,这样既可以完成原有的身份认证功能,又能对空口数据进行加密,防止被不法份子窃听.
其次在数据传输上,可以使用虚拟专用网络技术,即通过隧道技术、加解密技术、密钥管理技术和使用者与设备身份认证技术在公用网络服务商所提供的网络平台中建立专有的逻辑链路供智能手机用户传输数据[4],以保证即便是空口加密被破解,黑客也不可能获取用户数据的具体内容.
3云的安全问题与对策分析在移动互联网兴起与云计算普及的技术背景下,"云"的概念也逐渐被应用于智能手机的各种业务.
目前,在智能手机行业里,加拿大RIM公司提供的黑莓企业应用服务,微软公司推出的LiveMesh应用服务以及苹果公司推出的MobileMe服务均采取了云计算的服务模式[5].
通过云计算的应用,智能手机终端的功能可以大大简化,许多复杂的计算与程序处理都将转移到大规模服务器集群所构建的云端进行.
用户通过智能手机终端接入网络,向云端提出需求;云端接受请求后组织资源,通过网络为客户端提供各种服务.
76专题研究2012年第12期3.
1智能手机云的安全分析1)云的集中化带来的信息泄露.
不难想象,云安全计划的参与者越多,云的力量就越强大,整个智能手机网络就越安全.
然而,水能载舟亦能覆舟,当云的系统变得更加集中化,移动终端提交的个人数据和样本将越来越多的被暴露.
此时,允许终端用户从任何地方访问数据,这将带来巨大的安全风险,云系统将可能成为探测隐私的绝佳武器.
2)云的集中化带来的存储安全.
云的集中化能够放大正向能量,云的过度集中将以同样的方式带来负面效应的汇聚.
2009年10月,由微软负责提供软件运维的Sidekick(智能手机品牌)手机服务遭遇技术故障,使得存储在云端服务器上的智能手机用户的联系人、照片以及其他用户个人信息完全丢失,导致手机用户不能访问邮件、日历等个人数据.
事后,微软承认在技术故障中完全失去了云存储数据,显然,相关工作人员对于云存储的数据并未作备份.
3)云的集中化带来的服务安全问题.
2009年3月,微软云计算平台Azure停止运行约22个小时,云服务中断;2009年6月,Rackspace供电设备跳闸,备份发电机失效,不少机架上服务器停机,导致了云服务中断;2011年4月,亚马逊某云计算中心的宕机导致云服务中断4天.
频频不断的云服务中断事件,使得依赖于这些云端服务的网站和企业受到了不同程度的影响,同时也进一步加深了人们对于云的安全的质疑.
业界普遍认为云策略是行业未来的趋势.
然而,以上几起云安全事件事关云端数据的安全、存储安全以及服务安全,暴露了云自身的安全隐患,更让人担心云策略的安全性.
3.
2智能手机云的安全对策分析针对云可能带来的安全问题,如何从云端采取行动,尽量降低智能手机终端被攻击的可能性,保证数据及其他信息的安全.
海量数据是"云计算"、"云安全"的命脉,本文主要围绕数据安全给出以下几方面考虑:1)自建私有云.
部分移动终端应用服务商将计算与存储外包给第三方公有云来做系统的运维,虽然具有很大的灵活性和成本方面的优势,然而,计算与存储的外包意味着数据的外包[6].
数据的外包极大程度地降低了数据的可控性,直接导致数据安全性的下降.
所以,有条件的应用服务商应尽量根据企业的需求量体裁衣,自创私有云框架,建立和维护私有云,增强对存储云数据的可控性.
2)数据的加密上传与存储.
数据加密是保护云端数据的基本手段,可以采用用户上传敏感数据之前进行数据加密的方式来保护数据安全.
这样即使攻击者获得了完整数据也无法知晓加密前的内容,从而保护了云中存储的数据.
此外,在服务程序调用加密数据的过程中可以利用虚拟机技术使加密数据在指定的空间被解密释放,通过内存隔离的方式保证数据在内存中的信息安全.
以上两种加密策略既可以保证数据的传输安全又确保了数据的本地存储安全.
3)权限访问控制.
如果不限制云端运维人员的数据访问权限,那么云端数据没有任何的机密性可言.
所以很重要的一点是需要根据运维人员的不同工作任务对其访问数据的权限进行严格的访问权限分级与限制.
此外,还可以根据访问用户的物理位置来进行数据的区域访问控制.
4)提高云端的综合服务能力.
首先,加强云端系统及其应用程序的健壮性与安全性建设,尽量减少云端系统与应用程序方面的漏洞,在云端的外部打造钢铁长城,防止外部黑手的入侵.
其次,根据云端服务系统的实际情况来定制容灾备份的一体化解决方案,做好数据的实时备份与瞬间恢复,即使云端服务器发生恶意的程序破坏、文件损毁、人为误删误改、宕机等意外,都可保障数据安全无虞.
4结束语当前,智能手机面临着恶意程序破坏、数据泄露、信息窃听等诸多信息安全威胁的挑战.
本文根据当前手机信息安全发展的现状,从智能手机的系统安全、通信安全以及新兴的云安全等几个方面对智能手机可能面临的安全风险进行了简要剖析,并针对目前的安全现象提出了相应的应对策略.
然而,从大环境来看,移动终端的信息安全健康快速发展还需要国家政策与相关立法的大力支持.
近日,工信部发布了《关于加强移动智能终端进网管理的通知》的征求意见稿,规定申请入网的智能手机终端不得安装有恶意代码或者擅自调用终端通信功能而造成用户流量耗费、费用损失、信息泄露的软件.
相关政策法规的制定和完善将进一步维护用户的个人信息安全与合法权益,将为智能手机用户提供更大的信息安全保护屏障.
(责编杨晨)参考文献:[1],Radiowar.
iPhone短信欺骗漏洞披露[EB/OL].
http://radiowar.
org/security/disclosure-iphone-sms-spoof-vulnerability.
html,2012-08-22.
[2]东方早报.
复旦大学:国内安卓应用程序隐私泄露问题严重[EB/OL].
http://news.
itxinwen.
com/communication/inland/2012/0830/439257.
html,2012-08-30.
[3]杨哲.
无线网络安全攻防实战进阶[M].
北京:北京电子工业出版社,2011.
[4]贺娇琳,张剑.
虚拟专用网简介[J].
有线电视技术,2005,(16):12-13.
[5]CIO时代网.
移动云计算的成功案例分析[EB/OL].
http://it.
gxsky.
com/tech/949545/251639637584b.
shtml,2012-06-13.
[6]张逢,陈进,陈海波,臧斌宇.
云计算中的数据隐私性保护与自我销毁[J].
计算机研究与发展,2011,(07):1155-1167.