移动互联网安全问题分析

移动互联网安全展望收费封闭应用来自上层有中心移动互联网概念小屏幕终端准确性隐私性便携性可定位实时性大屏幕终端匿名性非实时固定状态免费开放应用来自网民无中心移动互联网继承了桌面互联网的开发协作的特征，又继承了移动网的实时性、隐私性、便携性、准确性、可定位的特点技术层面定义：以宽带IP为技术核心，可同时提供语音、数据、多媒体等业务服务的开放式基础电信网络。终端层面定义：广义上是指用户使用手机、上网本、笔记本等移动终端，通过移动网络获取移动通信网络服务和互联网服务；狭义上是指用户使用手机终端，通过移动网络浏览互联网站和手机网站，获取多媒体、定制信息等其他数据服务和信息服务。桌面互联网移动网移动互联网移动互联网的相关技术4G3.5G3G2GWiMaxWiFi移动网接入互联网无线互联网移动互联网移动互联网终端和用户迅速增加据工信部统计，2010年，中国手机用户数量突破了7亿。手机网民用户数量超过2.8亿，并且以每月200万的数量飞速发展，另外上网本的出现也将极大刺激移动上网的发展。移动互联网应用爆炸式增长1.APPSTORE应用数量：25万个每月增加超过1.5万个2.AndroidMarket应用数量：4万个每月增幅约68%3.MobileMarket应用数量：3万个累计下载超过4000万次市场调研机构JuniperResearch2010年9月报告显示，到2015年，全球手机应用下载数量将从2009年的不足26亿次增加到超过250亿次移动互联网安全威胁非法访问业务、非法访问数据、拒绝服务攻击、垃圾信息的泛滥、不良信息的传播、个人隐私和敏感信息的泄露、内容版权盗用和不合理的使用接入网非法窃听、用户身份仿冒、服务滥用占用带宽、破坏数据和信令完整性·、非授权定位病毒、木马、蠕虫、网络钓鱼、身份伪冒、DDOS攻击、窃取隐私、非授权使用资源、远程控制等移动互联网安全威胁业务层面网络层面终端层面终端威胁终端威胁BECDA应用软件漏洞操作系统漏洞病毒破坏木马远程控制蠕虫攻击移动互联网不仅继承了互联网的安全问题，而且危害更加严重手机病毒发展情况截至2010年7月，手机病毒已经超过1500种，平均每天新增4-5款。其中“手机骷髅”，仅一个月的时间就感染了超过10万智能手机，受影响用户千万以上，造成直接经济损失超过2000万元。手机终端典型案例黑莓手机PDF漏洞2009年，一个黑莓手机PDF文件处理功能的漏洞被发现：当黑莓手机打开含有恶意PDF附件的邮件时，将在数据中心的服务器上安装恶意软件，安装后黑客就可以向用户发送垃圾邮件或窃取公司数据，中毒后的黑莓手机还将在升级时向Windows系统安装恶意软件。21岁病毒作者受雇开发iPhone应用软件2009年11月8日，Ikeeworm在澳大利亚首次被发现2009年11月11日，感染Ikee的iPhone手机开始通过SSH服务盗窃数据2009年11月23日，感染Ikeeworm的iPhone手机僵尸网络”Duh”出现2009年11月26日，Ikee作者town被iPhone软件公司Mogeneration雇佣“手机骷髅”病毒2010年3月，“手机骷髅”的手机病毒迅速传播，该病毒主要针对SymbianS603系列操作系统的智能手机。感染该病毒的手机会在用户不知情的情况下暗中联网且向手机通信录中的联系人大量群发带有病毒链接的彩信和短信，直接后果是导致用户手机因大量发送信息而被收取高额费用。据CNCERT调查就发现第一周内就有13万余手机用户感染了此病毒，目前该病毒日感染量已突破20万。手机骷髅病毒中毒过程Step1.用户收到一条彩信，彩信中的内容是一张黑白相间的骷髅头图案，并标有“章子怡的全私密通讯记录，尽在：”的文字和链接。Step2.如果用户一时好奇点了这个链接，就会接收到手机应用软件“系统中文语言包”的下载信息。但是这个软件的真实面目是彩信骷髅病毒伪装而成，出于好奇心的用户以为是安装阅读彩信的支持语言包，很自然的点击安装，然而却上了彩信骷髅病毒的当。Step3.下载完成后无需任何签名，无需任何操作，自动在零点几秒内安装。安装后，会启动手机浏览器，进入开心网手机登陆页面，以迷惑用户。接下来，中毒的手机会不停的自动联网，并以“章子怡的全部私房短信，尽在：”等社会热点内容向外发送彩信，诱使接收到信息的用户点击恶意链接，同时还会向一些随机号码发送短信。手机骷髅病毒的危害行为频繁关机或重新启动锁定程序管理，无法正常卸载第三方文件管理工具失效，且开机自启动自动联网和安装程序私发彩信和短信中毒的手机会不停自动联网、并私自向手机里存储的联系人发送大量彩信，内容同样是一张黑白的骷髅头和具有诱惑性的文字及链接，同时会向随机号码发送短信，直至手机费耗尽或电池耗尽才停止，给手机用户带来无尽骚扰和金钱损失。彩信骷髅还会在后台悄悄下载和安装另一程序“设置向导”，该程序也会联网，消耗流量。会使Activefile、TaskSpy等常用的文件浏览软件失效，并且病毒会开机自启动，使用户无法手动停止病毒进程。会终止程序管理进程，x_plore无法删除相关程序和目录，使用户无法卸载病毒程序。手机处于被控制的状态，不停的被关机和开机。移动互联网网络威胁网络威胁BECDA用户身份仿冒接入网非法窃听服务滥用占用带宽破坏数据和信令完整性非授权定位服务移动互联网网络威胁案例新西兰电信公司从去年12月至今的短短三个月时间，该公司的3G网络因为流量激增而四度瘫痪，首席技术官被辞退，公司恶评如潮。该公司自推出了iPhone之后，公司网内的数据流量3年内激增了50倍，导致其提供的语音服务质量大幅降低，AT&T一度在纽约地区停售i-Phone手机以减轻压力。在过去6个月中，iPhone等智能手机用户所产生的数据流量令其伦敦通信网络备感压力，导致一些用户周期性无法拨打接听电话或传输数据。去年，其网络中的数据流量增长了18倍。AT&T公司西班牙电信流量过大导致网络瘫痪移动互联网业务威胁业务威胁BECDA非法访问不良信息传播垃圾信息泛滥内容版权盗用和非法使用个人隐私和敏感信息泄露移动互联网业务威胁案例手机惊现“钓鱼王”病毒模仿招行短信套取密码手机QQ盗号，偷偷盗取QQ账号手机骷髅变海盗话费隐私都难逃短信海盗病毒传播过程Step1.用户收到一条彩信，内容是“欲览本人的全部私密短信，请上：……”这样的形式。Step2.当用户因好奇点击后，会出现好友或者陌生人的一堆短信息，和一个“点击查看更多”按钮Step3.如果用户点击了“点击查看更多”，那么手机会自动下载名为“Lanpackage.sisx”的安装包，下载完毕后会提示用户是否安装“中文系统语言包”。Step4.当用户选择安装时，进程lanpackage.exe会立即后台运行，并以用户手机imei号为参数、Get方式向某一动态网站发送请求数据。lanpackage.exe运行大约一小时后，会自动联网下载新的病毒plugucsrv.exe和SmsPatch.exe，plugucsrv.exe和SmsPatch.exe会马上后台运行并且联网窃取用户收件箱中的短信。Step5.当病毒窃取完短信后，会开始向其它号码发送彩信，彩信内容为“欲览本人的全部私密短信，请上：***.com/***。这样，“短信海盗”就广泛传播了，且是以你的隐私作为敲门砖。短信海盗病毒的危害行为破坏系统管理程序，无法手动删除自动联网下载病毒私自发彩信，消耗话费窃取用户隐私中毒后手机会将用户手机中的短信收件箱内容自动发送给其他手机号码，造成用户隐私的严重泄露，如果手机中的短信内容是银行账号等私人信息，那后果更加严重。中毒手机会自动向其他手机号码发送大量彩信，内容是“欲览本人全部私密短信，请上http://……”给手机用户带来金钱损失。短信海盗会在运行约一小时后会通过网络下载两个新的病毒到手机，新病毒下载到手机后立即后台运行并且联网窃取用户收件箱中的短信。该病毒具有保护机制，感染后病毒会导致系统程序管理和多种第三方文件管理软件（比如ActiveFile）无法使用，因此用户无法手动删除病毒！移动互联网安全框架信息自身信息内容设备/环境业务应用•身份认证功能•对各种业务应用访问控制能力•3GPP安全机制•3GPP2安全机制•WAP安全机制•定位业务安全机制•移动支付业务安全机制•垃圾短消息的过滤机制•DRM标准等信息自身信息内容设备/环境业务应用信息自身信息内容设备/环境业务应用网络与信息安全分层不传播非法，违背社会公德，侵犯公民隐私的信息信息完整性，保密性，不可否认性业务管理信息安全和控制信息安全设备环境符合标准要求，防攻击防入侵信息内容安全信息自身安全业务应用安全设备/环境安全移动互联网终端安全机制合法用户可以正常使用，防止业务被盗用、冒名使用等防止包括用户密码在内的用户隐私信息泄露，在承诺范围内随时使用防范DDoS等攻击必要的加密、隔离等手段保障通信秘密等设备符合中国强制认证(CCC)要求无线电技术应符合无线电管理局的型号核准认证(TYC)设备应符合包括网络安全要求在内的工信部的通信入网认证(NAL)。涉及较少，当前主要关注保护青少年在使用移动互联网的过程中免受包括黄色、暴力在内的不良信息侵扰。存储在终端中用户隐私信息、个人信息不被非法获取主要考虑终端内信息的授权访问、防入侵、加密存储等。设备/环境业务应用信息自身信息内容移动互联网网络安全机制主要是指接入服务的安全性，主要采用认证等技术手段确保合法用户可以正常使用，防止业务被盗用、冒名使用等网络设备自身的安全性、所处环境符合标准要求操作系统、数据库、中间件、基础协议栈等具备必要的防攻击、防入侵能力；大量业务来自传统互联网，传递信息为公众信息应有必要的有害信息过滤与检查主要包括信息空口传播、IP承载网，互联网传递时网络所提供必要的隔离和保密以及接入网络所涉及的用户注册信息安全目前信息自身安全主要依赖端到端实施设备/环境业务应用信息自身信息内容移动互联网业务安全机制采用认证等技术手段确保合法用户以正常使用，防止业务被盗用、冒名使用等攻击由移动互联网终端与移动互联网业务设备端到端实施。应用服务器、Web服务器、数据库服务器、邮件服务器、网关，存储介质符合标准要求设备操作系统、数据库、中间件、基础协议栈等具备必要的防攻击、防入侵能力设备/环境业务应用信息自身信息内容应采取足够有效的措施来防范应用所涉及内容不包括违法信息、侵权信息、不良信息以及侵犯公民隐私的敏感信息等。业务应用相关信息完整性、机密性和不可否认性主要依靠移动互联网终端与移动互联网业务设备端到端实施。对移动互联网安全战略的思考手机入网检测是否应对系统软件进行把关？有漏洞缺陷的手机要不要召回？手机应用软件的安全应该如何管理？谁来管，管什么？如何帮助手机用户维护自己的安全和利益？建立什么渠道？政府移动通信企业，用户各自要承担什么责任？移动互联网的产业链用户内容提供商政府软件提供商系统集成商设备商通信运营商从产业链角度保障移动互联网安全政府设备商运营商建立完善网络安全体系框架加强设备安全性研究完善监管制度加强安全宣传建立并完善移动互联网的安全监管机制，要建立完备的移动互联网信息服务许可、备案制度和信息发布制度，建立完备的移动互联网新闻登载业务的审批制度。同时，要严格监管移动互联网的内容传播，建立和完善相应的法律、法规，对各类移动互联网犯罪行为进行追踪惩戒，加大执法力度。政府部门要广泛地开展移动互联网安全宣传教育工作，强调用户的自我安全保护。分析存在的各种安全风险，建立一个科学的、全局的、可扩展的网络安全体系和框架，综合利用各种安全防护措施，保护各类软硬件系统安全、数据安全和内容安全；对安全产品进行统一的管理，包括配置各相关安全产品的安全策略，维