搜索
2012年4月6日移动互联网安全----问题与对策杨泽明副研究员中科院高能所网络安全实验室yangzm@ihep.ac.cn13021179127目录2移动互联网安全形势移动互联网安全分析移动智能终端安全技术移动智能终端安全工具移动互联网概念基于移动通信技术，广域网、局域网及各种移动信息终端按照一定的通讯协议组成的互联网络移动互联网特点具有终端智能化、网络IP化、业务多元化的特点移动智能终端（智能手机和平板电脑）的出现，改变了行业生态智能手机把通信行业、媒体和互联网行业自然整合在一起平板电脑把PC、媒体和互联网整合在一起最明显的特点在于终端的移动性和业务的个性化用户安全防范水平降低黑色产业链伸向移动互联网黑客的攻击目标进一步扩大，延伸到移动互联网领域移动互联网的特性决定了在其之上的威胁更要远甚于传统的互联网截至2011年12月，网秦“云安全”监测平台新增手机病毒2943个，同比增长14.4%全年查杀到手机恶意软件24794款，同比增长266%，2005年至今累计查杀42869款中国大陆地区2011全年累计感染智能手机1152万部，全球范围内，累计感染智能手机3711万部（以感染次数统计，未去重）。手机恶意软件呈现爆炸式增长手机恶意软件感染途径多种多样2011年度十大手机病毒安卓吸费王（MSO.PJApps）短信窃贼（SW.Spyware）短信大盗（SW.SecurePhone）X卧底（Spy.Flexispy）安卓窃听猫（SW.Msgspy）电话吸费军团（BD.LightDD）电话杀手（SW.PhoneAssis）联网杀手（s.rogue.uFun）跟踪隐形人（BD.TRACK）阿基德锁（a.privacy.AckidBlocker）安卓吸费王（MSO.PJApps）一款名为“欢乐斗地主”的手机游戏手机被强行定制了一项每月自动扣费的SP业务X卧底跟踪隐形人（BD.TRACK）侵入用户手机安装后无图标。收到指定内容短信后，后台自动开启GPS，窃取用户地理位置后台发送短信，消耗用户资费给用户造成经济和隐私安全的双重损失。病毒危害1.隐藏在后台，提供远程操控手机接口，给用户手机带来威胁。2.后台发送短信，消耗用户资费，造成经济损失。3.后台联网，窃取用户地理位置，泄露用户隐私。移动隐患展示木马的植入木马的隐藏位置追踪手机短信监听获取手机通讯录窃听木马手机周围环境木马手机录音遥控拨打电话遥控手机关机目录移动互联网安全形势移动互联网安全分析移动智能终端安全技术移动智能终端安全工具移动互联网产业链条复杂移动互联网的安全特点移动互联网终端的安全威胁移动互联网终端的安全威胁经济类危害：盗打电话（如悄悄拨打声讯电话），恶意订购SP业务，群发彩信等。信用类危害：通过发送恶意信息、不良信息、诈骗信息给他人等。信息类危害：个人隐私信息丢失、泄露。如通讯录、本地文件、短信、通话记录、上网记录、位置信息、日程安排、各种网络账号、银行账号和密码等。设备类危害：移动终端死机、运行慢、功能失效、通讯录被破坏、删除重要文件、格式化系统、频繁自动重启等。窃听：通过安装恶意软件，可以拨打静默电话，使得移动终端变成一个窃听器。骚扰电话，垃圾短信。移动互联网终端安全威胁的传播方式网络下载传播：是目前最主要的传播方式。蓝牙（Bluetooth）传播：蓝牙也是恶意软件的主要传播手段，如恶意软件Carbir。USB传播：部分智能移动终端支持USB接口，用于PC与移动终端间的数据共享。可以通过这种途径入侵移动终端。闪存卡传播：闪存卡可以被用来传播恶意软件；闪存卡还可以释放PC恶意软件，进而感染用户的个人计算机，如CardTrap。彩信（MMS）传播：恶意软件可以通过彩信附件形式进行传播，如Commwarrior。移动互联网网络的安全威胁移动互联网的接入方式多种多样，引入了IP互联网的所有安全威胁通过破解空中接口接入协议非法访问网络，对空中接口传递信息进行监听和盗取尤其是大量恶意软件程序发起拒绝服务攻击会占用移动网络资源如果恶意软件感染移动终端后，强制移动终端不断地向所在通信网络发送垃圾信息，这样势必导致通信网络信息堵塞接入带宽的提升加剧了有效资源的恶意利用威胁信令干扰移动互联网应用的安全威胁SQL注入、DDoS攻击隐私敏感信息泄露移动支付安全威胁恶意扣费业务盗用业务冒名使用业务滥用违法信息不良信息移动互联网安全的影响安全威胁将给参与移动互联网的各方造成损失对于用户而言，不仅将面临着经济上的损失，还将面临着隐私泄露和通信方面的障碍对于运营商而言，这些威胁不仅会让他们的业务运营成本增加，还将大大降低他们在用户心目中的好感度对于终端厂商而言，售后服务成本增加，手机耗电量的上升是他们不得不面对的问题内容服务商与政府主管部门同样会受得这些安全威胁的影响移动互联网与等级保护CSDN泄密门告破：网站吃罚单5黑客被拘北京警方对CSDN网站开展全面调查，发现其未落实国家信息安全等级保护制度，安全管理制度和技术保护措施落实不到位，是造成用户信息泄漏的主要原因。市公安局于是向CSDN网运营公司提出了具体整改要求，并依据《中华人民共和国计算机信息系统安全保护条例》（中华人民共和国国务院令147号）第二十条第（一）项规定，对CSDN网站做出行政警告处罚。信息安全等级保护首例“罚单”自2012年1月起，北京警方对全市106家互联网网站开展信息安全检查工作，发现并现场纠正206处安全隐患，有效提高了首都互联网网站安全管理水平。移动互联网与等级保护物理安全技术要求管理要求基本要求网络安全主机安全应用安全数据安全及备份恢复安全管理制度安全管理机构人员安全管理系统建设管理系统运维管理根据信息系统在国家安全、经济建设、社会生活中的重要程度；遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度；将信息系统划分为不同的安全保护等级并对其实施不同的保护和监管。信息系统安全等级保护基本要求计算机信息系统安全保护等级划分准则（GB17859）信息系统通用安全技术要求信息系统物理安全技术要求技术类其他技术类标准信息系统安全管理要求信息系统安全工程管理要求其他管理类标准信息系统安全等级保护定级指南信息系统安全等级保护基本要求的行业细则信息系统安全等级保护测评过程指南信息系统安全等级保护测评要求信息系统等级保护安全设计技术要求管理类产品类数据库管理系统安全技术要求其他产品类标准信息系统安全等级保护行业定级细则操作系统安全技术要求信息系统安全等级保护建设整改网络基础安全技术要求网络和终端设备隔离部件技术要求安全定级基线要求状态分析方法指导信息系统安全等级保护实施指南移动互联网与等级保护信息安全管理的持续改进-ISO27000系列信息安全管理要素模型应用于ISMS的PDCAISMS是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它是直接管理活动的结果，表示成方针、原则、目标、方法、过程、核查表（Checklists）等要素的集合。风险评估在移动互联网生命周期过程中的应用项目规划分析设计工程实施项目规划运行维护系统报废支持安全需求分析，安全保护等级确定支持系统架构的安全性分析评估对安全需求的实现周期性的确定系统的安全状态硬件、软件和数据的处置移动互联网的安全监管问题微博和博客大量使用“新的技术与社交媒体正在转变整个世界，它正在使全球转型”“人人都是信息源”，管理的难度和复杂性前所未有部分移动智能终端采用了应用层加密技术，如RIM公司的黑莓手机部分移动智能终端甚至可内嵌VPN和SSH隧道实施加密传输现有传统互联网的监管技术手段难以覆盖移动互联网，缺乏针对移动互联网的有效管控平台移动互联网的安全监管问题移动互联网的安全监管框架政策法规标准2009年年底，工信部公布了《通信网络安全防护监督管理办法征求意见稿》2011年6月9日，中国互联网协会反网络病毒联盟近日发布了我国首个关于手机病毒命名及描述的技术规范——《移动互联网恶意代码描述规范》2011年12月09日，工信部印发了《移动互联网恶意程序监测与处置机制》（以下简称《机制》），这是工业和信息化部首次出台移动互联网网络2012年4月，工信部联合30多家单位起草的《信息安全技术、公共及商用服务信息系统个人信息保护指南》已正式通过评审，正报批国家标准。安全管理方面的规范性文件，引起了业界的广泛关注。工信部正会同有关部门制订《移动智能终端管理办法》筹备针对智能终端安全测评专项研究目录移动互联网安全形势移动互联网安全分析移动智能终端安全技术移动智能终端安全工具移动智能终端的CVE安全漏洞-Android2006：12007：52008：32009：92010：222011：822012：56(Q1)移动智能终端的CVE安全漏洞-iOS移动智能终端安全层次体系Smudge攻击加拿大卡尔顿大学carletonuniversity图形密码是一种认证系统，通过让用户在图形用户界面上显示的图像中按照特定的顺序进行选择来工作图形密码方法有时也称为图形用户认证（GUA）对于大多数人来说，图形密码比文本方式的密码更容易记忆图形密码比文本密码提供的的安全性更强通过ADB进行物理访问•如果坏人能不受限制的对您的手机进行物理访问，那他就不再是您的手机了•Ifabadguyhasunrestrictedphysicalaccesstoyourphone,it’snotyourphoneanymore利用恢复模式获取权限恢复模式没有认证机制黑客可以加载恶意的镜像在不影响用户数据的情况下，访问用户数据注入攻击android系统sqlite数据库注入攻击编程过程中，经常会把用户输入的数据拼成一个SQL语句，然后直接发送给服务器执行，比如：stringSqlStr=select*fromcustomerswhereCompanyNameLike%+textBox1.Text+%;这样的字符串连接可能会带来灾难性的结果，比如用户在文本框中输入：aor1=1那么SqlStr的内容就是：select*fromcustomerswhereCompanyNamelike%aor1=1整个customers数据表的所有数据就会被全部检索出来，因为1=1永远true权限提升攻击社会工程学•如果坏人能说服你安装并运行应用程序，那它就不再是您的手机了•Ifabadguycanconvinceyoutoinstallandrunanapp,it’snotyourphoneanymore2011年十大最易被手机病毒植入的应用特点1:恶意软件被大批植入到热门应用中特点2:手机ROOT权限一再被滥用特点3:APP应用发布前缺乏安全审核主要的安全技术手段谷歌Bouncer谷歌并未对应用程序上架AndroidMarket要求太多审核的过程，这对开发者而言十分便利，却也为恶意软件提供了可乘之机。2012年2月3日，谷歌发布了用来维护AndroidMarket安全性的机制“Bouncer”。与苹果以人工审核AppStore的形式不同，Bouncer是自动扫描AndroidMarket上的应用程序，分别对新上传的、已上传的应用程序做分析，比对是否符合已知恶意软件特征，或是应用程序有不正常行为。谷歌会在云端实际执行每个应用程序，模拟手机上的运作状况，以便找出潜藏其中的病毒或木马。Android操作系统本身也提供了沙盒、权限、移除三种安全机制。有必要时，谷歌AndroidMarket甚至可以远端移除移动设备上的恶意程序。Android手机防盗-DroidRingDroidRing是一款Android手机防盗程序通过发送短信给丢失的手机，可以得到当前手机地理信息（地图链接，街道名称）此外提供更换SIM卡提示，响铃提醒等功能，帮助您找回手机。主要功能通过发送短信得到当前丢失手机地理位置。(地