移動(dòng)互聯(lián)網(wǎng)安全淺析

【摘要】伴隨移動(dòng)互聯(lián)網(wǎng)技術(shù)的飛速發(fā)展，移動(dòng)互聯(lián)網(wǎng)安全問題愈加凸顯，成為業(yè)界討論的焦點(diǎn)。本文簡(jiǎn)述了移動(dòng)互聯(lián)網(wǎng)的發(fā)展現(xiàn)狀，分析了移動(dòng)互聯(lián)網(wǎng)目前存在的主要安全隱患，最后提出一種移動(dòng)互聯(lián)網(wǎng)安全框架，并從應(yīng)用安全、網(wǎng)絡(luò)安全、終端安全三方面闡述了模型構(gòu)架。

【關(guān)鍵詞】移動(dòng)互聯(lián)網(wǎng)信息安全安全框架

1概述

打開新浪微博，可以看到所有關(guān)注用戶的最新動(dòng)態(tài)；打開米聊，可以直接與朋友進(jìn)行語(yǔ)音對(duì)講；打開微信，LBS（地理位置服務(wù)）功能可以幫你與附近人群搭訕……微博、米聊、微信等眾多即時(shí)通訊工具幫助人們建立起移動(dòng)互聯(lián)網(wǎng)時(shí)代全新的社交模式。據(jù)艾瑞咨詢統(tǒng)計(jì)，2011年中國(guó)移動(dòng)互聯(lián)網(wǎng)市場(chǎng)規(guī)模達(dá)393.1億元，同比增長(zhǎng)97.5%，其中移動(dòng)電子商務(wù)爆發(fā)式增長(zhǎng)，在整體移動(dòng)互聯(lián)網(wǎng)市場(chǎng)規(guī)模中的占比增至30.5%，成為第二大細(xì)分行業(yè)，如圖1所示。

2移動(dòng)互聯(lián)網(wǎng)安全隱患

隨著智能手機(jī)和3G網(wǎng)絡(luò)的普及，移動(dòng)智能終端用戶所面對(duì)的安全問題除了惡意吸費(fèi)軟件外，基于智能系統(tǒng)平臺(tái)的病毒木馬以及系統(tǒng)漏洞所導(dǎo)致的安全問題日益嚴(yán)重。一些如360手機(jī)衛(wèi)士的安全軟件可以抵御垃圾短信，但對(duì)病毒、木馬，手機(jī)系統(tǒng)則束手無(wú)策。此外，以Android為代表的開放源代碼式操作系統(tǒng)引發(fā)的安全問題也越來越多。

Android Market和Apple Store促進(jìn)了移動(dòng)互聯(lián)網(wǎng)時(shí)代的繁榮，運(yùn)營(yíng)商、銀行、各類商城也紛紛通過移動(dòng)終端拓展?fàn)I銷渠道。但對(duì)于一個(gè)完全敞開的開發(fā)平臺(tái)來說，由于不同軟件開發(fā)者的技術(shù)水平和安全意識(shí)等諸多因素的不同，軟件的安全問題不能保證。移動(dòng)互聯(lián)網(wǎng)給整個(gè)社會(huì)帶來深刻的影響，同時(shí)也帶來新的安全性問題，這主要體現(xiàn)在以下幾個(gè)方面。

（1）用戶終端難以溯源

在PC互聯(lián)網(wǎng)時(shí)代，大多數(shù)黑客都會(huì)選擇代理服務(wù)器來隱藏自己的IP地址，從而保證穩(wěn)定的網(wǎng)絡(luò)連接，一旦IP暴露也就意味著身份的暴露。隨著移動(dòng)電信設(shè)備的引進(jìn)，如電影中經(jīng)常出現(xiàn)的情節(jié)，黑客坐在面包車?yán)?，通過3G網(wǎng)卡入侵網(wǎng)絡(luò)，即便IP地址暴露，物理位置也可以隨時(shí)移動(dòng)。移動(dòng)互聯(lián)網(wǎng)中用戶終端難以溯源的問題為不法分子提供了可趁之機(jī)，也大大增加了案件的破獲成本。

（2）用戶隱私難以保護(hù)

在PC互聯(lián)網(wǎng)時(shí)代，黑客攻擊PC之后可以盜取重要數(shù)據(jù)，可以作后門，可以掛馬獲利，也可能把被攻擊的電腦作為跳板，隱藏真實(shí)ip再攻擊別的機(jī)器。在移動(dòng)互聯(lián)網(wǎng)時(shí)代，黑客的攻擊目標(biāo)得以進(jìn)一步擴(kuò)大，以手機(jī)終端為載體的用戶隱私難以得到保護(hù)。與傳統(tǒng)PC相比，手機(jī)終端承載著包括通話、短信記錄，LBS等更多的用戶隱私，對(duì)于用于隱私的竊取必然成為黑客攻擊的熱點(diǎn)，。同時(shí)，由于各大運(yùn)營(yíng)商與用戶之間天然繳費(fèi)渠道的存在，扣費(fèi)軟件也已成為手機(jī)用戶不得不防范的安全陷阱。

（3）手機(jī)支付安全難以保證

在PC互聯(lián)網(wǎng)時(shí)代，傳統(tǒng)網(wǎng)銀通過UKey、口令牌等硬件加密手段保證用戶支付安全。在移動(dòng)互聯(lián)網(wǎng)時(shí)代，繼各種網(wǎng)銀支付后，手機(jī)支付已成為各大運(yùn)營(yíng)商、銀行及如支付寶，財(cái)付通等第三方支付平臺(tái)搶占的新領(lǐng)地。據(jù)艾瑞咨詢發(fā)布的數(shù)據(jù)顯示，2012年手機(jī)支付交易規(guī)模將有望超出1000億元，中國(guó)手機(jī)支付用戶規(guī)模也將過億。如，谷歌推出的Google Wallet（谷歌錢包），利用NFC(近距離無(wú)線通信)技術(shù)，將信用卡、借記卡等進(jìn)行綁定，在支持Google Wallet支付的商店用手機(jī)像刷信用卡一樣進(jìn)行支付。因此，從技術(shù)層面來說需要一個(gè)符合金融行業(yè)標(biāo)準(zhǔn)的支付標(biāo)準(zhǔn)，以確保數(shù)據(jù)傳輸?shù)陌踩?、穩(wěn)定性。

（4）移動(dòng)互聯(lián)網(wǎng)安全難以監(jiān)管

移動(dòng)互聯(lián)網(wǎng)提供的服務(wù)涉及CP（內(nèi)容提供商）、SP（服務(wù)提供商）、終端廠商、平臺(tái)運(yùn)營(yíng)商和網(wǎng)絡(luò)運(yùn)營(yíng)商等產(chǎn)業(yè)鏈的多個(gè)環(huán)節(jié)以及多種內(nèi)容傳播形式，為用戶消費(fèi)數(shù)字媒體提供了多樣化的選擇。移動(dòng)互聯(lián)網(wǎng)使“人人時(shí)時(shí)處處在線”、“人人都是信息源”成為現(xiàn)實(shí)，它的開放性和便捷性的生產(chǎn)模式容易帶來信息的泛濫，未加甄選的意見交織極易帶來喧嘩，缺乏自律的用戶群體促使無(wú)意義的網(wǎng)絡(luò)水軍橫行，為社會(huì)秩序和正義造成了挑戰(zhàn)。因此，從當(dāng)前我國(guó)移動(dòng)互聯(lián)網(wǎng)發(fā)展形勢(shì)來看，需要從技術(shù)、機(jī)制等方面重視信息安全工作，確保我國(guó)的移動(dòng)互聯(lián)網(wǎng)持續(xù)、健康、快速發(fā)展。

圖1技術(shù)向金錢轉(zhuǎn)化的需求是移動(dòng)互聯(lián)網(wǎng)發(fā)展的根本動(dòng)力

3移動(dòng)互聯(lián)網(wǎng)安全框架

健全移動(dòng)互聯(lián)網(wǎng)安全機(jī)制，一方面要保證用戶得到合法的安全服務(wù)，另一方面要確保用戶使用的網(wǎng)絡(luò)資源不受非法侵害，避免網(wǎng)絡(luò)資源被非法、越權(quán)使用。在移動(dòng)互聯(lián)網(wǎng)的安全機(jī)制研究中，日本曾提出一種服務(wù)提供者對(duì)服務(wù)使用者針對(duì)不同業(yè)務(wù)的認(rèn)證技術(shù)，服務(wù)使用者將一種類似于客戶識(shí)別模塊的SIM卡存放所有異構(gòu)網(wǎng)絡(luò)認(rèn)證身份時(shí)所需要的信息，當(dāng)使用某類服務(wù)時(shí)，從識(shí)別卡中提取出對(duì)應(yīng)的認(rèn)證信息。還有國(guó)外學(xué)者提出建立終端安全機(jī)制，要求終端設(shè)備具備身份認(rèn)證功能，從而對(duì)各種網(wǎng)絡(luò)及系統(tǒng)資源、業(yè)務(wù)和應(yīng)用的訪問進(jìn)行控制；或是采用智能卡和口令卡方式、實(shí)體鑒別等技術(shù)手段進(jìn)行認(rèn)證，保證訪問的安全性和可用性。

基于X.805協(xié)議框架，移動(dòng)互聯(lián)網(wǎng)絡(luò)安全體系結(jié)構(gòu)可以定義三組安全特性，每組安全特性針對(duì)特定的威脅，完成特定的安全目標(biāo)，包括移動(dòng)互聯(lián)網(wǎng)的應(yīng)用安全、網(wǎng)絡(luò)安全以及終端安全這三方面的安全，具體特性如圖2所示：

圖2移動(dòng)互聯(lián)網(wǎng)安全模型

（1）應(yīng)用安全

對(duì)于移動(dòng)互聯(lián)網(wǎng)而言，應(yīng)用一般是指與網(wǎng)絡(luò)緊密捆綁在一起，通過網(wǎng)絡(luò)向用戶提供的服務(wù)；互聯(lián)網(wǎng)上的各類應(yīng)用是指，凌駕與網(wǎng)絡(luò)層上，將網(wǎng)絡(luò)作為通道為用戶提供的服務(wù)，如移動(dòng)瀏覽、移動(dòng)搜索、移動(dòng)地圖、移動(dòng)視頻、移動(dòng)音頻等。IP網(wǎng)絡(luò)，特別是互聯(lián)網(wǎng)增值業(yè)務(wù)，使用的信令和協(xié)議由于IP網(wǎng)絡(luò)先天不足，通常存在大量的可被利用的各類漏洞，因此，本模型把應(yīng)用安全理解為業(yè)務(wù)應(yīng)用正常提供，計(jì)費(fèi)等管理信息以及信令等控制信息得到安全保障，防止非授權(quán)使用和服務(wù)濫用、盜用、信令干擾等行為。來自應(yīng)用層面的安全威脅，主要包括對(duì)數(shù)據(jù)和業(yè)務(wù)的訪問非法業(yè)務(wù)、DDOS（拒絕訪問）攻擊、傳播不良信息、隱私泄露、版權(quán)盜用等。

（2）網(wǎng)絡(luò)安全：

網(wǎng)絡(luò)安全主要是指如何保證結(jié)點(diǎn)間安全的傳輸數(shù)據(jù)，如，如何避免通過破解移動(dòng)互聯(lián)網(wǎng)中身份鑒權(quán)算法和加密算法獲得用戶信息非法進(jìn)入網(wǎng)絡(luò)，如何避免通過無(wú)線竊聽，收集到包含特定密鑰的分組信息，推導(dǎo)出密鑰進(jìn)入網(wǎng)絡(luò)侵人網(wǎng)絡(luò)。網(wǎng)絡(luò)安全具體包括IP承載網(wǎng)和接入網(wǎng)的安全：IP承載網(wǎng)主要涉及交換機(jī)、路由器、接入服務(wù)器等相關(guān)設(shè)備及鏈路；接入網(wǎng)采用移動(dòng)通信網(wǎng)時(shí)涉及BTS（基站）、BSC（基站控制器）、RNC（無(wú)線網(wǎng)絡(luò)控制器）、MSC（移動(dòng)交換中心）MGW（媒體網(wǎng)關(guān)）等設(shè)備和相關(guān)鏈路，采用WIFI時(shí)還牽涉到AP（無(wú)線接入點(diǎn)）。

（3）終端安全：

移動(dòng)互聯(lián)網(wǎng)終端安全是指，為了確保合法用戶可以正常使用，防止業(yè)務(wù)被盜用、冒名使用等行為發(fā)生，防止包括用戶密碼在內(nèi)的用戶隱私信息泄露，以及采取必要的加密、隔離等手段保障通信的私密性等。移動(dòng)互聯(lián)網(wǎng)用戶終端，應(yīng)具備身份鑒別功能，對(duì)各類系統(tǒng)資源、業(yè)務(wù)應(yīng)用訪問進(jìn)行控制，能夠通過用戶口令方式或是智能芯片、實(shí)體鑒別機(jī)制等手段來保證用戶身份安全性。用戶數(shù)據(jù)的安全性保護(hù)和訪問控制，可以通過設(shè)定訪問控制策略去保證其安全性；而用戶終端存儲(chǔ)的數(shù)據(jù)，可通過分級(jí)存儲(chǔ)和隔離機(jī)制，以及數(shù)據(jù)的完整性檢查去確保安全性。目前，移動(dòng)互聯(lián)網(wǎng)終端多屬智能設(shè)備，智能手機(jī)取代傳統(tǒng)手機(jī)也是未來手機(jī)發(fā)展的必然趨勢(shì)，需要能夠?qū)ΤＲ姷牟《尽⒛抉R后門和針對(duì)操作系統(tǒng)及應(yīng)用程序漏洞的攻擊具備一定的防范能力。

4結(jié)束語(yǔ)

在這個(gè)移動(dòng)互聯(lián)網(wǎng)飛速發(fā)展的年代，移動(dòng)互聯(lián)網(wǎng)與傳統(tǒng)互聯(lián)網(wǎng)將逐漸趨同。過去幾年中，谷歌移動(dòng)搜索成幾何倍數(shù)增長(zhǎng)，2011年全球移動(dòng)應(yīng)用和廣告總收入高達(dá)120億美元，連續(xù)3年年復(fù)合增長(zhǎng)17%；易趣公司2009年?duì)I業(yè)額為10億美元，2011年接近40億美元；亞馬遜2009年收入近5億美元，今年達(dá)到15億美元。隨著科技的發(fā)展，用戶將不再刻意區(qū)分是傳統(tǒng)互聯(lián)網(wǎng)還是移動(dòng)互聯(lián)網(wǎng)，通盤考慮安全需求與技術(shù)保證移動(dòng)互聯(lián)網(wǎng)的安全，必然成為未來安全領(lǐng)域的熱點(diǎn)。