移動(dòng)互聯(lián)網(wǎng)的信息安全防護(hù)

移動(dòng)互聯(lián)網(wǎng)的信息安全防護(hù)【摘要】本文分析了現(xiàn)階段我國移動(dòng)互聯(lián)網(wǎng)面臨的安全形勢(shì)，在技術(shù)層面、管理層面和用戶層面介紹了產(chǎn)生這些安全問題的原因，并在這三個(gè)方面提出了預(yù)防措施，為提高我國移動(dòng)互聯(lián)網(wǎng)安全水平提供了思路?！娟P(guān)鍵詞】移動(dòng)互聯(lián)網(wǎng)；安全；技術(shù)；管理；用戶近年來，隨著移動(dòng)通信技術(shù)及智能手機(jī)的飛躍式發(fā)展，全球已經(jīng)正式進(jìn)入移動(dòng)互聯(lián)網(wǎng)時(shí)代。與移動(dòng)互聯(lián)網(wǎng)用戶規(guī)模與網(wǎng)絡(luò)規(guī)模一起急速擴(kuò)張的，還有日益嚴(yán)峻的移動(dòng)信息安全問題。據(jù)中國互聯(lián)網(wǎng)絡(luò)信息中心（CNNIC）的相關(guān)統(tǒng)計(jì)數(shù)據(jù)，我國已經(jīng)有86%的移動(dòng)用戶面臨著包括個(gè)人隱私泄露、詐騙賬單等在內(nèi)的終端安全問題。隨著我國移動(dòng)互聯(lián)網(wǎng)業(yè)務(wù)的進(jìn)一步開放，其面對(duì)的安全問題必將越來越復(fù)雜，而安全問題反過來又會(huì)制約著移動(dòng)互聯(lián)網(wǎng)的發(fā)展。因此，怎樣保障移動(dòng)互聯(lián)網(wǎng)的信息安全，對(duì)于建設(shè)移動(dòng)互聯(lián)網(wǎng)顯得特別重要。本文主要探討移動(dòng)互聯(lián)面臨終端信息安全形勢(shì)，并提出相關(guān)防范措施，僅供參考。我國移動(dòng)互聯(lián)網(wǎng)常見的惡意軟件行為分析根據(jù)國際電信標(biāo)準(zhǔn)化部門（ITU-T）提出的X.805安全框架，移動(dòng)互聯(lián)網(wǎng)的信息安全主要集中在網(wǎng)絡(luò)、終端及應(yīng)用三個(gè)方面，以下主要從與用戶聯(lián)系最為緊密的應(yīng)用方面分析我國移動(dòng)互聯(lián)網(wǎng)常見的惡意軟件行為。目前世界上智能設(shè)備主流操作系統(tǒng)主要有蘋果公司開發(fā)的ios系統(tǒng)，谷歌公司開發(fā)的安卓系統(tǒng)以及微軟公司開發(fā)的wp系統(tǒng)。根據(jù)蘋果公司數(shù)據(jù)，截止2013年12月底，appstore通過審核的應(yīng)用總數(shù)已經(jīng)超過100萬個(gè)；而機(jī)鋒網(wǎng)數(shù)據(jù)表明，針對(duì)安卓系統(tǒng)平臺(tái)的應(yīng)用數(shù)量已經(jīng)達(dá)到120萬個(gè);起步稍晚的windowsphone應(yīng)用也已經(jīng)達(dá)到50萬個(gè)。數(shù)量龐大、種類繁多的應(yīng)用，必然有多種多樣的惡意軟件夾雜其間。按照應(yīng)用軟件產(chǎn)生的安全威脅等級(jí)，國家網(wǎng)絡(luò)信息安全技術(shù)研究所（NINIS）將應(yīng)用行為分為惡意行為、可疑行為和灰色行為三個(gè)級(jí)別。1.1惡意行為惡意行為是指明確帶有惡意目的并且會(huì)對(duì)系統(tǒng)和用戶利益造成直接侵害的行為。主要包括未經(jīng)用戶允許私安裝惡意插件、誘導(dǎo)用戶獲取root權(quán)限（針對(duì)安卓用戶）、在后臺(tái)私自訪問鏈接、向非法服務(wù)器發(fā)送扣費(fèi)短信、攔截運(yùn)營商服務(wù)短信、后臺(tái)釋放安裝程序并修改系統(tǒng)分區(qū)等。包括但不限于以上的惡意行為最終會(huì)造成用戶系統(tǒng)破壞、資費(fèi)不明流失等嚴(yán)重后果。1.2可疑行為可疑行為是指存在一定風(fēng)險(xiǎn)，但不能直接被確認(rèn)為惡意行為的行為。這些可疑行為如：泄露用戶終端的IMEI串號(hào)、私自獲取并泄露位置信息、泄露用戶SIM卡信息及聯(lián)系人信息、自動(dòng)連接網(wǎng)絡(luò)或自動(dòng)接入wifi、自動(dòng)開啟并搜索藍(lán)牙設(shè)備等。包括但不限于以上的惡意行為造成用戶隱私泄露、用戶終端運(yùn)行緩慢等后果。1.3灰色行為灰色行為是指通過后臺(tái)或者誘騙用戶進(jìn)行特定網(wǎng)絡(luò)訪問，但又難以判斷是否具備惡意目的的行為，主要指的是嵌入廣告的流氓行為。主要包括在程序運(yùn)行時(shí)彈出廣告彈窗、不定時(shí)推送廣告信息等，灰色行為并不會(huì)產(chǎn)生特別惡劣的后果，但是卻使用戶體驗(yàn)急劇降低。帶來信息安全問題的原因分析雖然獲取非法利益是不法分子攻擊移動(dòng)互聯(lián)網(wǎng)、造成信息安全隱患的根本原因，但是我們可以在源頭上尋找在移動(dòng)互聯(lián)網(wǎng)的哪個(gè)環(huán)節(jié)產(chǎn)生漏洞并讓不法分子有機(jī)可乘。2.1技術(shù)層面的安全漏洞首先，移動(dòng)終端操作系統(tǒng)本身是存在漏洞的，這些漏洞成為黑客攻擊的切入點(diǎn)。其次，為了跟上移動(dòng)互聯(lián)網(wǎng)的高速發(fā)展的腳步，很多應(yīng)用在設(shè)計(jì)初期便由于種種原因存在技術(shù)上的漏洞。例如，很多移動(dòng)支付應(yīng)用采用的是預(yù)留手機(jī)號(hào)碼進(jìn)行短信驗(yàn)證的身份認(rèn)證方式，該認(rèn)證方式基于客戶預(yù)留手機(jī)號(hào)的短信驗(yàn)證，一旦手機(jī)卡被復(fù)制或驗(yàn)證短信被劫持轉(zhuǎn)發(fā)等情況發(fā)生，犯罪分子就可以非法控制被害人的手機(jī)銀行，甚至“幫助”被害人注冊(cè)開通手機(jī)銀行，進(jìn)行犯罪活動(dòng)。從目前主流的移動(dòng)支付方式看，如果用戶辦銀行卡時(shí)有在銀行預(yù)留手機(jī)號(hào)，那么只需填寫銀行卡號(hào)、姓名、身份證號(hào)和預(yù)留手機(jī)號(hào)就可實(shí)現(xiàn)與銀行卡的綁定，然后通過設(shè)置的支付密碼就可實(shí)現(xiàn)消費(fèi)，并不需要銀行卡的密碼，而姓名、身份證號(hào)、銀行卡號(hào)等信息在網(wǎng)絡(luò)上很容易泄露，存在較大的身份盜用風(fēng)險(xiǎn)。從國家的層面上看，四大主流智能終端操作系統(tǒng)：蘋果IOS、谷歌Android、微軟WP以及諾基亞塞班（被微軟收購）均是美國公司所有。同時(shí)，我國并沒有自主的包括最重要的加密算法在內(nèi)的技術(shù)上的安全策略。這些操作系統(tǒng)是否留有后門，這些加密算法是否如宣傳中所說的那么完美，我們并不十分清楚。美國“棱鏡門”事件的爆發(fā)更是提醒我們，移動(dòng)互聯(lián)網(wǎng)是不安全的。2.2管理層面的安全漏洞終端設(shè)備主要通過兩種途徑獲得應(yīng)用：一是設(shè)備出廠即有的預(yù)裝軟件，二是用戶通過官方或非官方應(yīng)用商店安裝應(yīng)用軟件。按設(shè)備的操作系統(tǒng)分類，全球范圍內(nèi)，主流的官方應(yīng)用商店主要有蘋果公司的AppStore、谷歌公司GooglePlay、微軟公司的WindowsphoneStore以及諾基亞公司的諾基亞OVI四家；非官方應(yīng)用商店則包括第三方應(yīng)用市場(chǎng)、電信運(yùn)營商應(yīng)用商店、終端制造商、定制系統(tǒng)提供商等。就如一般商品的實(shí)體店一樣，非官方應(yīng)用商店數(shù)量繁多。在中國，僅僅是安卓的主流第三方應(yīng)用商店便多達(dá)三四十家。所有的第三方軟件應(yīng)用商店并沒有對(duì)應(yīng)用軟件采取統(tǒng)一的審核標(biāo)準(zhǔn)，部分應(yīng)用商店甚至不對(duì)開發(fā)者上傳的應(yīng)用進(jìn)行病毒查殺。由此造成的后果便是各應(yīng)用商店的應(yīng)用質(zhì)量良莠不齊，山寨和仿冒應(yīng)用層出不窮，第三方廣告和敏感權(quán)限濫用難以規(guī)范等混亂現(xiàn)狀，導(dǎo)致用戶無法分清應(yīng)用是否安全。2.3用戶層面的安全漏洞我國的數(shù)億移動(dòng)互聯(lián)用戶中，由于他們性別、年齡、學(xué)歷以及使用習(xí)慣方面千差萬別，導(dǎo)致用戶在智能移動(dòng)終端的安全意識(shí)、信息安全常識(shí)呈現(xiàn)參差不齊的現(xiàn)象。用戶急需信息安全方面的常識(shí)普及以及權(quán)威的引導(dǎo)，但目前移動(dòng)互聯(lián)領(lǐng)域卻恰恰缺乏這方面的宣傳。據(jù)CNNIC的統(tǒng)計(jì)數(shù)據(jù)，僅41.1%的用戶在移動(dòng)智能終端安裝了安全防護(hù)軟件，大多數(shù)用戶沒有安裝甚至不清楚是否安裝了安全防護(hù)軟件。在安裝安全防護(hù)軟件的用戶中，僅有42%的用戶是出于安全必要性考慮主動(dòng)安裝的，其他大部分用戶則是由于系統(tǒng)預(yù)裝、朋友或廣告推薦等原因安裝了安全防護(hù)軟件。另外，部分智能手機(jī)發(fā)燒友喜歡破壞手機(jī)原有的操作系統(tǒng)以獲取更大的權(quán)限，即蘋果手機(jī)用戶的“越獄”與安卓手機(jī)用戶的獲取root權(quán)限。雖然獲取更大的權(quán)限之后，用戶可以在手機(jī)的某些方面獲得更舒適的用戶體驗(yàn)，但卻帶來極大的安全隱患。例如，很大一部分，越獄”用戶是為了“越獄”之后安裝一款顯示來電號(hào)碼歸屬地的插件，該插件可能給用戶造成聯(lián)系人信息泄露等問題。防范安全漏洞的措施3.1技術(shù)上防范雖然智能終端的操作系統(tǒng)以及相關(guān)加密算法短期內(nèi)無法實(shí)現(xiàn)自主化，但我們可以采取多種技術(shù)手段組織惡意程序的傳播與運(yùn)行。首先，要求所有官方與非官方應(yīng)用商店對(duì)應(yīng)用程序的代碼采取強(qiáng)制檢測(cè)。運(yùn)用軟件代碼自動(dòng)檢測(cè)機(jī)對(duì)應(yīng)用的代碼進(jìn)行逐行檢測(cè)，分析每一條指令的目的，并將惡意應(yīng)用、可疑應(yīng)用與安全應(yīng)用區(qū)分開，以此在源頭上最大限度遏制惡意應(yīng)用的傳播。其次，通過各種分析技術(shù)監(jiān)測(cè)惡意應(yīng)用網(wǎng)絡(luò)通道上的活動(dòng)，可以發(fā)現(xiàn)惡意應(yīng)用的各種活動(dòng)，并在條件允許的情況下進(jìn)行攔截，這便在網(wǎng)絡(luò)通道上架起了一道安全屏障。第三，在所有終端出廠時(shí)便強(qiáng)制預(yù)裝安全防護(hù)軟件，并堵死蘋果的“越獄”渠道與安卓系統(tǒng)的root權(quán)限獲取，這相當(dāng)于在終端架設(shè)一道防火墻。3.2管理上防范管理層面的安全防護(hù)主題主要是各應(yīng)用商店。各應(yīng)用商店需建立一套統(tǒng)一的應(yīng)用審核機(jī)制，對(duì)審核通過的安全應(yīng)用打上醒目的綠色安全標(biāo)志。對(duì)于審核不通過的應(yīng)用，除了不允許該應(yīng)用被用戶下載之外，開發(fā)者還需接受一定的處罰。除了建立準(zhǔn)入機(jī)制外，各應(yīng)用商店應(yīng)建立抽檢制度，并明確由第三方安全機(jī)構(gòu)對(duì)應(yīng)用進(jìn)行抽檢。同時(shí)對(duì)開發(fā)者采取實(shí)名制制度，對(duì)惡意應(yīng)用采取黑名單制度。這套機(jī)制建立并嚴(yán)格執(zhí)行之后，除了可以保障信息安全之外，還可以打擊山寨與仿冒應(yīng)用，維護(hù)開發(fā)者的合法權(quán)益，可謂一舉多得。3.3用戶的自我防范如今，智能終端，特別是智能手機(jī)存儲(chǔ)了用戶的身份信息、金融信息、工作信息等重要數(shù)據(jù)，養(yǎng)成安全使用智能終端的良好習(xí)慣可以明顯降低設(shè)備感染木馬、病毒等惡意軟件的概率。建議用戶盡量到官方應(yīng)用商店下載官方發(fā)布的或者經(jīng)過官方認(rèn)證的軟件，切勿下載來歷不明的應(yīng)用。用戶在安裝應(yīng)用時(shí)應(yīng)留意安裝信息，應(yīng)特別留意系統(tǒng)提示的應(yīng)用將獲取的權(quán)限信息，如發(fā)現(xiàn)應(yīng)用獲取了與該應(yīng)用功能不相符的權(quán)限，應(yīng)停止安裝或選用其他功能類似的軟件代替。用戶應(yīng)盡量安裝口碑較好的廠商出品的安全防護(hù)軟件，并及時(shí)更新病毒庫，確保防病毒軟件隨時(shí)擁有最佳查收能力。最重要也是最容易做到的一點(diǎn)是，用戶最好不要講自己的蘋果設(shè)備“越獄”或者root自己的安卓設(shè)備。這兩種操作都將獲得設(shè)備的最高權(quán)限，容易使病毒的破壞能力與范圍擴(kuò)大化。4.總結(jié)我國移動(dòng)互聯(lián)網(wǎng)發(fā)展迅速，面臨的安全形勢(shì)勢(shì)必越來越嚴(yán)峻。面對(duì)夾雜在光明未來中間的不和諧一面，移動(dòng)互聯(lián)網(wǎng)廠商應(yīng)加大技術(shù)上的投入，從技術(shù)層面對(duì)惡意應(yīng)用以及將來出現(xiàn)的其他安全威脅嚴(yán)防死守；應(yīng)用商店及其監(jiān)管