基于Android手機(jī)的數(shù)據(jù)泄密及其防范研究

馬國富++郭銘博++謝天元

摘要：Android手機(jī)正在被越來越多的人信賴和使用，在帶給我們便捷的同時(shí)也出現(xiàn)了數(shù)據(jù)泄密等安全隱患，造成了一些隱私泄露、財(cái)產(chǎn)被盜等后果。Android手機(jī)泄密主要是由于SIM卡、存儲設(shè)備保存不善，接入有安全隱患的偽基站、WiFi熱點(diǎn)，位置信息或其他信息被竊聽，手機(jī)應(yīng)用向外傳送隱私信息等原因。該文面向Android手機(jī)的普通用戶，對手機(jī)的數(shù)據(jù)泄密問題進(jìn)行研究，并提出了相應(yīng)的防范對策。

關(guān)鍵詞：Android；數(shù)據(jù)泄密；SIM卡；信息安全

中圖分類號：TP393 文獻(xiàn)標(biāo)識碼：A 文章編號：1009-3044（2016）09-0065-03

Android手機(jī)的功能越來越強(qiáng)大，不僅可以通話，還可以瀏覽新聞，購物理財(cái)。用戶在使用手機(jī)時(shí)，往往會有意或無意地存入電話短信數(shù)據(jù)、位置信息數(shù)據(jù)、上網(wǎng)瀏覽痕跡和手機(jī)使用痕跡等。這些信息一旦泄露，可能會給用戶帶來巨大的精神損失和經(jīng)濟(jì)損失。360手機(jī)安全中心與DCCI互聯(lián)網(wǎng)數(shù)據(jù)中心聯(lián)合發(fā)布的《2014年上半年Android手機(jī)隱私安全報(bào)告》[1]顯示，把隱私信息存放在手機(jī)中的Android用戶達(dá)92.8%，過半Android手機(jī)用戶表示手機(jī)是存儲個(gè)人隱私最多的設(shè)備。因此，防范手機(jī)數(shù)據(jù)泄密是不容忽視的重大問題。

1 SIM卡數(shù)據(jù)安全

SIM卡是當(dāng)前手機(jī)接入運(yùn)營商網(wǎng)絡(luò)的憑證，用戶通過它進(jìn)行常規(guī)的通話、短信、以及GPRS上網(wǎng)等活動，可以說是一部手機(jī)正常使用的必需之物。另一方面，許多賬號會與用戶的手機(jī)號綁定，包括銀行卡。如果SIM卡被盜取，賬號被盜、卡被盜刷、通話被竊聽這些嚴(yán)重后果就可能發(fā)生。偽基站則是偽裝成運(yùn)營商基站非法獲得用戶信息并向用戶發(fā)送垃圾短信、木馬網(wǎng)址。

1.1 SIM卡介紹

SIM（Subscriber Identity Module）卡作為識別用戶身份的IC卡，存儲了序列號、IMSI（國際移動用戶識別碼）、KI（鑒權(quán)密鑰）、PIN和PUK密碼以及運(yùn)營商的服務(wù)菜單，還可以存儲用戶的通訊錄和短信記錄等。3G時(shí)代出現(xiàn)的USIM（Universal Subscriber Identity Module）卡，即全球用戶識別卡，是升級的SIM卡，具有更安全的認(rèn)證功能，搭載了更多的應(yīng)用。USIM卡對存儲和驗(yàn)證的加密算法進(jìn)行了升級，還增加了手機(jī)卡對運(yùn)營商基站網(wǎng)絡(luò)的認(rèn)證功能[2]，這種雙向認(rèn)證機(jī)制可以有效防范他人對SIM卡進(jìn)行技術(shù)攻擊，也可以防止手機(jī)接入不正常的網(wǎng)絡(luò)，從而大大增加了SIM卡的安全性。

1.2 SIM卡的“復(fù)制”和“通話監(jiān)聽”

很多人都收到過銷售監(jiān)聽服務(wù)的短信，燕趙都市報(bào)記者根據(jù)短信上的聯(lián)系電話，與該服務(wù)的銷售人員進(jìn)行了聯(lián)系。對方表示只要提供需要監(jiān)聽的手機(jī)號碼，他就可以復(fù)制出一張具有相同號碼的SIM卡，只要把這張卡插到手機(jī)上，就可以和目標(biāo)人物同時(shí)接聽電話和接收短信，[3]從而達(dá)到監(jiān)聽的目的。

但是，通過上述對SIM卡介紹可以看到，SIM卡內(nèi)部是沒有手機(jī)號碼的信息的，與運(yùn)營商進(jìn)行連接時(shí)，只是向運(yùn)營商提供自身的序列號，由運(yùn)營商識別并給出號碼，因此僅憑手機(jī)號是無法復(fù)制出能監(jiān)聽目標(biāo)人物的SIM卡的。

手機(jī)的SIM卡確實(shí)可以復(fù)制，但是必須要取得原來的卡片，用專門的讀卡器讀取原卡中的數(shù)據(jù)，隨后將讀取的數(shù)據(jù)復(fù)制到空白新卡上，這樣制作出來的兩張SIM卡序列號等內(nèi)容是相同的，但是，即使復(fù)制的卡能通過鑒權(quán)接入運(yùn)營商的網(wǎng)絡(luò)，也不能監(jiān)聽通話。

1.3 “偽基站”接入SIM卡

偽基站是利用相關(guān)設(shè)備，如筆記本電腦和主機(jī)，通過偽裝成運(yùn)營商的基站，使信號范圍內(nèi)的手機(jī)自動與其相連接，從而非法獲取附近手機(jī)的某些信息，然后利用短信群發(fā)器向手機(jī)用戶推送短信等信息或從事其他違法行為的非法基站[4]。

1.3.1 偽基站的危害

偽基站的危害主要是利用短信散播帶木馬的網(wǎng)頁鏈接；冒用其他號碼，如10086、95588甚至110等向用戶發(fā)送詐騙短信，誘使用戶匯款轉(zhuǎn)賬；用戶手機(jī)被強(qiáng)制連接到偽基站時(shí)會斷開與運(yùn)營商的連接，導(dǎo)致無法使用運(yùn)營商提供的服務(wù)；偽基站還可以分析獲取用戶的手機(jī)號碼，形成潛在的危害；此外，大量垃圾短信的也會給用戶正常使用造成困擾。

1.3.2 偽基站危害的防范

偽基站強(qiáng)行連接到用戶手機(jī)時(shí)，先要斷開手機(jī)與運(yùn)營商基站的正常通信，所以會出現(xiàn)短暫的手機(jī)信號突然消失，用戶如果留意到信號消失，繼而收到了短信，就要留意可能是偽基站發(fā)出的詐騙短信。

給手機(jī)安裝安全軟件并及時(shí)更新，也是防范偽基站危害的方法之一。安全軟件可以識別并攔截垃圾短信，當(dāng)打開詐騙短信中的釣魚網(wǎng)站時(shí)，也會提醒用戶該網(wǎng)站可能存在危險(xiǎn)，避免隱私信息被竊取。當(dāng)手機(jī)已經(jīng)被木馬潛伏時(shí)，安全軟件也可以進(jìn)行木馬查殺，提高手機(jī)安全性。更換安全性更高的SIM卡可以有效防止偽基站的連接。USIM卡則采取復(fù)雜的加密方式，并且不僅是基站對卡進(jìn)行識別認(rèn)證，卡也會對基站進(jìn)行認(rèn)證，避免接入那些無法認(rèn)證或認(rèn)證錯(cuò)誤的網(wǎng)絡(luò)。

2 位置信息安全

美國《華盛頓郵報(bào)》報(bào)道稱，美國國家安全局每天收集國內(nèi)外手機(jī)位置信息50億條，據(jù)稱只要手機(jī)處于開機(jī)狀態(tài)，且未打開飛行模式，國安局的技術(shù)人員就可以獲取相應(yīng)的手機(jī)數(shù)據(jù)。美聯(lián)社也報(bào)道稱，國安局可以監(jiān)控世界上任何一部手機(jī)，并可以根據(jù)手機(jī)之間的聯(lián)系數(shù)據(jù)，繪制手機(jī)之間的關(guān)系網(wǎng)絡(luò)[5]。手機(jī)可以通過GPS、WiFi、移動網(wǎng)絡(luò)等多種方法定位，位置信息雖然一般不會產(chǎn)生直接的損失，但對位置信息的安全防護(hù)同樣不容忽視。

2.1 GPS衛(wèi)星定位

GPS，即全球定位系統(tǒng)，是當(dāng)前大部分Android手機(jī)都搭載的一個(gè)功能，可以為用戶提供精度達(dá)10m以下的定位服務(wù)[6]。一方面，這可以為我們提供很多方便，如導(dǎo)航、獲取附近商家、同城交友等；另一方面，則可能泄露我們的位置信息，一旦被別有用心的人得到，進(jìn)一步可能分析出個(gè)人去過哪里，何時(shí)去的，以及每天的生活規(guī)律。當(dāng)不需要使用GPS時(shí)，關(guān)掉功能就可以避免被實(shí)時(shí)監(jiān)控位置信息。

2.2 WiFi定位功能

經(jīng)常使用的WiFi也可以獲取我們的位置信息，而且精度往往比GPS還高。手機(jī)中有使用WiFi權(quán)限和獲取位置權(quán)限的應(yīng)用可以隨時(shí)獲得并將個(gè)人位置信息傳送給服務(wù)器或其他特定設(shè)備，很容易造成位置信息的泄露[7]。另外，WiFi提供者也可以得到手機(jī)Mac地址、接入時(shí)間或者其他更私密的數(shù)據(jù)信息。當(dāng)不使用WiFi時(shí)就將其關(guān)閉，可以避免手機(jī)位置被繼續(xù)監(jiān)聽。

2.3 蜂窩網(wǎng)定位

2G、3G、4G蜂窩網(wǎng)絡(luò)定位精度較差，但與WiFi一樣，應(yīng)用可以獲取位置并實(shí)時(shí)發(fā)送給特定對象。另外，即使手機(jī)未打開上網(wǎng)功能，也可以通過電話網(wǎng)絡(luò)，測量手機(jī)與附近幾個(gè)基站的相對位置與距離，從而分析得到手機(jī)的位置信息，這項(xiàng)功能只能通過飛行模式、關(guān)機(jī)、斷開電池等方式強(qiáng)行關(guān)閉，但同時(shí)也會關(guān)掉用戶的通信功能。

3 手機(jī)存儲信息安全

手機(jī)存儲空間是用來存儲用戶的文件和數(shù)據(jù)的，其中不乏一些私密的數(shù)據(jù)，可以說是手機(jī)中存儲隱私最多的部分[8]。存儲載體可以與電腦等其他設(shè)備連接，有的還可以拆卸下來；存儲的信息即使進(jìn)行刪除或格式化操作后，仍舊可以恢復(fù)數(shù)據(jù)。因此，手機(jī)存儲信息的安全性是比較低的。

3.1 手機(jī)存儲

Android手機(jī)一般都有手機(jī)內(nèi)部存儲和擴(kuò)展存儲兩部分。手機(jī)內(nèi)部存儲是由手機(jī)自帶的，難以拆卸更換的存儲裝置，相當(dāng)于電腦的硬盤，Android手機(jī)的擴(kuò)展存儲一般是閃存卡（T-flash卡或SD卡），手機(jī)最大可以支持32GB或64GB的閃存卡，存儲著大量的用戶信息，包括短信、通訊錄、通話記錄；安裝的應(yīng)用和使用痕跡、上網(wǎng)瀏覽痕跡和下載的文件；保存的認(rèn)證令牌、登錄憑證（如用戶名和密碼）；用戶自己拍攝錄制的照片、音視頻、編寫的文檔；以及其他途徑保存到手機(jī)的信息，因此手機(jī)存儲安全的重要性不言而喻。

3.2 防止存儲信息泄密

為防范手機(jī)存儲信息的泄露，在使用手機(jī)時(shí)，就要注意保護(hù)自己的私密信息，設(shè)置手機(jī)鎖屏密碼、開機(jī)密碼、PIN密碼都可以有效防止手機(jī)被偷窺。不要輕易把手機(jī)及擴(kuò)展存儲卡借給他人使用，以免被他人惡意獲取手機(jī)中的信息。使用USB連接電腦前要確認(rèn)電腦的安全性，以免在未授權(quán)的情況下就被電腦獲取或刪改手機(jī)存儲的內(nèi)容[9]。

3.3 廢棄手機(jī)存儲信息泄密

當(dāng)手機(jī)不再使用，要丟棄或回收時(shí)，也要保護(hù)好數(shù)據(jù)安全。媒體曾多次報(bào)道，不法分子回收舊手機(jī)后，用過技術(shù)手段恢復(fù)獲取了手機(jī)號碼等信息，盜用支付寶賬號，給原機(jī)主帶來了經(jīng)濟(jì)損失[10]。為避免收集數(shù)據(jù)泄密，出售舊手機(jī)前要把手機(jī)恢復(fù)出廠設(shè)置，并對存儲裝置進(jìn)行格式化，對存儲裝置反復(fù)進(jìn)行復(fù)寫操作，可以使原來存儲的內(nèi)容就難以恢復(fù)，有效避免手機(jī)被恢復(fù)數(shù)據(jù)而泄露隱私。

4 應(yīng)用安全

Android手機(jī)可以像個(gè)人電腦一樣自主安裝各種應(yīng)用，在帶來方便的同時(shí)，也為數(shù)據(jù)泄露埋下了隱患。不只是官方的軟件可能造成數(shù)據(jù)泄密，那些木馬病毒造成的危害更嚴(yán)重。

4.1 官方軟件可能造成的數(shù)據(jù)泄密

為了給用戶提供更好的使用體驗(yàn)，許多應(yīng)用都會請求某種或多種權(quán)限，如手機(jī)QQ會請求位置、聯(lián)系人、讀寫存儲設(shè)備、讀寫剪貼板等權(quán)限，搜狗輸入法會請求位置、聯(lián)系人、短信等權(quán)限，還會把用戶經(jīng)常輸入的詞句保存到云端，其中就可能包含了很多賬號和密碼信息。雖然使用體驗(yàn)的確更智能，更好用，但在事實(shí)上泄露了我們的數(shù)據(jù)信息。

4.2 手機(jī)木馬病毒造成的數(shù)據(jù)泄密

另一些軟件或者說木馬病毒則是“賣你沒商量”，它們不向用戶申請權(quán)限就會私下讀取手機(jī)數(shù)據(jù)，再把數(shù)據(jù)發(fā)送至不法分子手中，這些數(shù)據(jù)可能包含手機(jī)號碼、支付密碼等重要信息，或者照片、文檔等隱私數(shù)據(jù)，給用戶造成隱私泄露和財(cái)產(chǎn)損失。

據(jù)《Mobile Security Report 2013》顯示，2013年騰訊移動安全實(shí)驗(yàn)室共檢測截獲手機(jī)惡意軟件793400個(gè)，其中Android惡意軟件占96.21%[11]；Cisco發(fā)布的《2014 Annusl Security Report》顯示，99%的手機(jī)惡意軟件是針對Android系統(tǒng)的。[12]這些惡意軟件中，惡意扣費(fèi)、竊取用戶隱私等種類的木馬病毒占多數(shù)。此類木馬病毒會在后臺自動運(yùn)行，竊取手機(jī)中存儲的數(shù)據(jù)，在聯(lián)網(wǎng)時(shí)向外傳送，直接威脅到了用戶的數(shù)據(jù)安全[13]。

4.3 防范泄密的措施

為避免應(yīng)用泄密，要選擇正規(guī)網(wǎng)站提供的應(yīng)用，不下載安全性未知的應(yīng)用軟件，也不要瀏覽可能存在風(fēng)險(xiǎn)的網(wǎng)站[14]。安裝軟件時(shí)，手機(jī)一般會提示該應(yīng)用將會請求哪些權(quán)限，用戶如果認(rèn)為某些權(quán)限可能造成隱私泄露，可以取消該軟件的安裝。給手機(jī)安裝安全軟件。當(dāng)應(yīng)用請求信權(quán)限時(shí)，安全軟件會提醒是否對該應(yīng)用授權(quán)[15]，如果覺得權(quán)限不合理或涉及重要信息，就可以選擇拒絕，限制該應(yīng)用使用某些權(quán)限。

Android手機(jī)在帶給我們極大的便利的同時(shí)，也很容易造成隱私的泄露，包括手機(jī)硬件信息、號碼、賬號密碼、存儲的信息以及位置信息等。因此，使用Android手機(jī)要養(yǎng)成良好的使用習(xí)慣，注意防范手機(jī)造成的數(shù)據(jù)泄密。一方面要保護(hù)好自己的手機(jī)硬件，設(shè)置手機(jī)密碼，不隨意借給別人用，更換更安全的USIM卡；另一方面要從軟件和網(wǎng)絡(luò)方面入手，不連接不明WiFi、偽基站及其他網(wǎng)絡(luò)，不打開安全性未知的網(wǎng)址，不下載安裝危險(xiǎn)的手機(jī)軟件，安裝并及時(shí)更新安全殺毒軟件等。使我們的手機(jī)成為身邊的好幫手，而不是出賣隱私的“間諜”。

參考文獻(xiàn)：

[1] 盧海英.身邊“竊聽風(fēng)云”多子虛烏有個(gè)人信息安全是最大隱患[N].燕趙都市報(bào).[2014-12-24].

[2] amea2008.USIM 百度百科[DB/OL].http：//baike.baidu.com/link？url=8PT4aehGK-8TLlOt7h8SsDio-L6bdvO6uaK_0wv0cgKsyhdBl-VsgCPYanLN7U3xhZWtr55bunEb99VM-5iAAK.2015-05-05.

[3] 屈勝文.每天收集手機(jī)位置信息50億條[N].西安晚報(bào).[2013-12-06].

[4] 柳州報(bào)告.偽基站 百度百科[DB/OL].http：//baike.baidu.com/link？url=r8PeG303H6y_C1_Ab9KAbE9RVNyV1xNwlrJslxdTmvF5Wu0XGM5cHdz5QFJ5QW9Hat4PJexJYDzqdsLiyeB94_.2015-05-20.

[5] 趙靜.Android智能手機(jī)安全隱患分析及解決對策[J].電腦編程技巧與維護(hù)，2014，18：102-110.

[6] 于長斌.當(dāng)心舊手機(jī)成“危機(jī)”[N].人民郵電，[2015-01-26].

[7] 李淑民.Android手機(jī)隱私泄露研究[J].軟件，2015，36（2）：69-72.

[8] 薛峰.常用電子產(chǎn)品泄密隱患與對策[J].電腦知識與技術(shù)，2014，26：60-60.

[9] 曾立鹍，唐泉斌，牛斗.Android系統(tǒng)應(yīng)用程序組件安全性分析[J].軟件，2014，35（3）：147-151.

[10] 騰訊.騰訊移動實(shí)驗(yàn)室2014年第三季度手機(jī)安全報(bào)告[DB/OL].http：//m.qq.com/security lab/news detail 281.html.2014-11-20.

[11] 苑青.手機(jī)失泄密途徑及防范措施[J].新聚焦，2014，5：21-21.

[12] Android手機(jī)隱私安全報(bào)告[DB/OL].http：//www.dcci.com.cn/media/download/621085acc07ddcc7c076c09b84c6c34da0b0.pdf.2014-09-02.

[13] IT168.移動互聯(lián)網(wǎng)面臨三大問題[DB/OL].http：//wenku.baidu.com/link？url=0xxHVk_xgW8xRoRQ0VOwGwufwS1yK0eqCPTM3OmQq-kZjDKvYzFd8RMweTy1NnkPiRAbbS4gfptQdMi-JYK6b79ziymyKBBnMJN1BflExca.2015-05-06.

[14] 李暉，王博洋.公共云存儲服務(wù)數(shù)據(jù)安全及隱私保護(hù)技術(shù)綜述[J].計(jì)算機(jī)研究與發(fā)展，2014，3：54-56.

[15] 馮棟.移動互聯(lián)網(wǎng)中的云計(jì)算研究[J].信息技術(shù)與信息化，2014，6：60-61.