人工智能时代下的信息安全问题研究

人工智能时代下的信息安全问题研究

0对移动设备的安全性分析自2007年苹果引入了手机和ios操作系统，以及谷歌android移动操作系统之后，移动设备的智能程度日益提高。根据文献[1],越来越多的互联网应用移植到了移动设备之上,尤其在社交、即时通信、新闻等方面,移动设备在人们日常使用电子产品过程中,所占时间的比重越来越大。文献[2]指出,相对于传统PC,移动设备存储更多、更重要的个人隐私信息,如通讯录、通话记录、短信等,因此移动设备的安全性将成为未来操作系统安全的重要研究课题。文中首先介绍了iOS系统的安全架构,分析其安全防护措施,以及在iOS系统越狱之后对系统安全的影响。之后详细分析介绍了iOS系统下各项敏感数据的获取手段,然后讨论了iOS程序植入方法,指出越狱后的iOS系统存在的安全隐患。最后针对这些安全隐患,提出解决方案,以增强越狱后的iOS系统安全性和稳定性。1ios系统的数据1.1难研究安全机制由于苹果公司对iOS系统采取闭源而不公开的策略,使得安全人员很难深入研究其安全机制。一些研究人员通过系统越狱、逆向分析等方法,得到iOS系统的基本安全机制、安全模型和一些数据保护机制的细节(1)ios概念的提出系统可信引导(TrustedBboot)是CediricHalbronn与JeanSigwald在黑客大会HITB2010提出的概念,描述的是iOS设计的可信的启动过程(2)实验2基于损害签名的安全机制可信引导机制保证了系统加载过程中各个阶段数据的完整性,而代码签名机制保证了iOS系统中运行的应用程序的完整性。苹果公司限制应用程序的来源,只允许用户从AppStore下载、安装应用程序,代码签名机制只允许经过苹果公司签名的应用程序进入用户系统,而未授权的第三方应用程序,则被拒绝安装。开发者购买苹果公司颁发的证书后,使用证书对开发完成的应用程序进行签名,然后提交到AppStore,再由苹果公司进行审核,审核通过后,苹果使用其私钥对应用程序进行签名,再发布至AppStore。用户从AppStore下载安装程序时,iOS系统使用相应的程序对签名进行证书校验。代码签名机制使得安装至iOS系统中的所有程序,都是经过审核和安全验证的,保证没有恶意程序进入。这样严格的审核机制,也大大减少了iOS系统上的恶意软件数量,相比开放而自由的Android系统,由单一的AppStore下载入口安装的应用程序更加安全可靠(3)扩展模块的设计iOS沙盒的实质是一个基于TrustedBSD策略框架的一个内核扩展模块。这一访问控制系统,可以针对每个进程制定单独的配置文件,用于限制如文件打开、socket访问等,达到分离应用程序运行空间的目的(4)数据和数据安全为了保护苹果设备中的数据安全,iOS系统及设备引入了数据加密机制来保护文件和数据安全。该机制确保了不同程度的敏感数据由不同强度的加密机制所保护。这一套机制包括硬件加密和软件加密,保证数据在关机时的镜像拷贝不被破解,以及设备锁定时的数据安全。(5)基于主机的区域地址空间布局随机化(ASLR,AddressSpaceLayoutRandomization)通过随机地分配内存数据区域,达到保护内存数据的目的。ASLR通常随机化分配应用程序堆空间、栈空间、共享库映射等,增加攻击者预测目的地址的难度,防止攻击者直接定位攻击代码位置,达到阻止缓冲区溢出攻击的目的ASLR是桌面和服务器操作系统中常见的安全机制,据研究表明,ASLR可有效降低缓冲区溢出攻击的成功率,如今Linux、FreeBSD、Windows等主流操作系统都已经采用ASLR技术。2cy业务安全尽管苹果公司为iOS系统提供了如此之多的安全防护措施,让iOS系统成为一个简便易用,且安全性、稳定性较好的系统,但在另一方面,部分用户对iOS系统有更加个性化的使用需求,或需要从第三方安装应用程序等,因此iOS越狱成为部分用户的选择。iOS系统越狱后,用户可以通过Cydia安装系统相关的软件和程序库,也可以安装未经代码签名的应用程序。Cydia是一个基于deb的包管理系统,可以识别软件依赖树,从而安装各项系统相关的软件。在Cydia中,可以添加“源”,来增加可以下载的软件列表。大量的越狱开发者都有自己的源,形成一套iOS越狱软件体系。然而普通用户往往不具备对Cydia源安全性的鉴别能力,对于他们需要的软件,往往不假思索便会安装。与从AppStore或IPA格式安装包安装的应用程序不同,由Cydia安装的deb包软件,都是运行于root权限之下,绕过了iOS系统的沙盒系统,可以说对于由Cydia安装的程序而言,iOS设备上的文件系统,是完全暴露的,这就造成了巨大的安全隐患。因此iOS系统在越狱之后,便给了恶意程序植入的渠道,同时非沙盒机制的程序运行,也让恶意程序可以常驻后台,并且访问所有的系统敏感数据。而文中的远程控制程序,就是在系统越狱后环境中运行的。2.1ce类获取方法手机的基本信息可以使用CocoaFoundationKit中的UIDevice类获取,可以获取的信息有:手机型号、系统版本、本机手机号码、电池电量、充电状态。对于手机所使用的移动运营商、信号强度信息,可以使用CoreTelephoney库中的私有API获取。这些私有API可以使用class-dump工具(2)读取常用文件手机通讯录、通话记录、短信记录是手机中最核心、最敏感的数据。iOS系统只允许一般应用程序读取通讯录,且需要得到用户的授权。但从root权限程序的角度来看,这些数据保存在各个独立的SQLite文件中,只要通过SQLite库打开文件,即可读取其中的所有内容。敏感数据存放路径如表1所示。(3)地理位置信息移动智能设备相对于传统PC,其优势主要体现在小型化和便携化,可以方便地随时随地使用。因此在移动应用中,LBS(LocationBasedService,基于位置的服务)逐渐兴起,同时智能手机也充当GPS导航设备,在机载地图的帮助下为用户提供导航。对于移动设备获取地理位置信息,常用的方式有3种,分别是基站定位、Wi-Fi定位和GPS定位在iOS系统中,上述的3种定位方式均有使用,在不同场合使用不同的定位方式。在iOS4.2及以前版本系统,苹果手机会记录所有用户的定位历史信息,并保存于数据库中。GPS信息存储路径如表2所示。通过读取GPS缓存数据库,可以极小的代价获取手机近一周的定位历史记录,避免了通过调用iOSAPI,即CoreLocation库,来获取当前位置时,需要用户同意,以及在状态栏出现定位标志等问题。在手机越狱后,即可不获得用户授权而获取地理位置信息。即使用户关闭定位功能,也可以通过MobileSubstrate(Cydia基础库)中提供的API,来静默打开定位功能。(4)无交互功能行为的状态拦截iPhone手机的多媒体功能一方面丰富了用户使用体验,另一方面增加了设备获取环境信息的渠道,即可能遭受窃听或偷拍。在iOS系统中,普通应用程序即有权限打开摄像头或麦克风,实现没有交互的拍照或录音。iOS系统针对这一行为,会在状态拦中加以提示,以提醒使用者了解应用程序的行为。运行于系统后台的命令行程序(即以root权限运行的程序)同样可以打算摄像头和麦克风,却不会被系统监视以提醒用户,即做到了完全的后台拍照和后台录音,而不会被用户所发觉。3创建混合程序的程序iOS系统默认情况下没有为应用程序提供开机启动或者常驻后台的功能,因此在非越狱状态下是无法通过常规手段实现的。然而在越狱后,iOS系统为我们开放了诸多程序进入的通道,如Cydia软件管理、开放的SSH服务器等,都成为植入程序的切入点。在另一方面,由于越狱的设备可以修改系统配置文件,实现程序后台运行、开机自启动功能。而且用户对系统层面的管理知识较缺乏,也没有类似Windows下的启动项管理工具,一旦程序植入,将很难被发现。3.1确定并确定安装源Cydia是iOS系统越狱后自动安装的一个系统级应用,它类似于苹果公司的AppStore,提供软件的安装下载服务。在Cydia上的软件大多为系统补丁、系统插件、系统软件等运行在root权限下、并对系统进行深度定制的软件,其主要目的是弥补iOS系统的不足或突破苹果iOS系统对普通用户在应用上的限制。Cydia安装软件包时,会指定软件源,即一个基于web的软件包列表,在添加安装源后,Cydia即可获得该源下所有可以安装的包。用户通常会添加一些iPhone论坛的软件源,如178、Weiphone等,其软件大多为网友发布。同时用户可以上传自己的deb包,与网友分享软件。将程序制作成deb软件包,上传到比较热门的软件源中,即可被用户搜索到,或者自行制作软件源,只要用户添加此源,即可安装软件,实现程序植入3.2僵尸网络病毒在iPhone越狱后,不少用户会在手机安装SSH(SecureShell)服务器(SSHd),来对设备进行命令行操作根据文献[17],iPhone僵尸网络病毒iKee.B就是利用越狱设备安装SSHd而未修改root密码的漏洞,进行攻击和传播的。该文献中指出iKee.B通过扫描特定的移动网络运营商IP段,来提高扫描效率。例如可以根据APNIC的最新IP地址列表3.2qlite软件介绍物理接触iOS设备也是植入程序的有效手段。当iOS设备解锁时,可以通过iTunes协议,使用USB线缆对iOS设备进行备份,将通讯录、短信、通话记录等内容保存在PC上,并可以使用SQLite软件进行查看和编辑。通过iTunes协议与iOS设备进行通信,有名为libimobiledevice的开源库实现,以及使用此库的实用工具iFuse如今物理接触的难度随着计算设备小型化而降低,通过物理接触,使用libimobiledevice库进行通讯的设备,可以使用一种称为树莓派(RaspberryPi)的单片机电脑(见图1)。树莓派的大小仅为一张信用卡那么大,采用主频700MHz的ARM处理器,512MB内存和SD存储卡,配备Ethernet、两个USB接口,并可以使用电池供电。使用树莓派作为植入设备,可大大提高物理接触便携性和隐蔽性。4检测和安全维护ios系统恶意软件4.1设置、复制可疑文件对于iOS系统的恶意程序,往往具有修改系统设置、复制可疑文件、存在网络通信、产生系统日志待特点,根据其特点,可以针对性地查找恶意程序的踪迹,从而达到检测与清除恶意程序的目的。(1)启动项信息增加在iOS系统中,系统服务的自启动均通过launchctl服务进行注册。在命令行中输入launchctllist,即可得到所有启动项信息列表,如图2所示。在列表中标识了正在运行的进程的PID和label,其中label为唯一标识,具体的配置文件保存在/System/Library/LaunchDaemons/下,以label命名的.plist文件。iOS系统中注册的自启动应用程序较为固定,通过比对相同系统的启动项列表,可以排查出可疑启动项,进而分析其行为。(2))对正常流量进行过滤恶意程序在上传数据和获取通信命令时,会通过网络进行通信,通过在iOS设备上运行TCPDUMP程序,或者在设备网关处截取流量,采集通信数据。可以通过黑白名单的方式过滤正常流量,再对其余流量进行分析。对网络流量的分析可分为两种,一种为内容分析,如对网络通信明文进行查看和分析,这种方式仅对明文通信的数据有效。另一种为时间和空间的分析,通过查看网络活动的周期性,以及手机操作情况的相关性,进行分析。如在手机接听或拨打电话、收发短信时,画出的操作频率图,与网络流量图进行比对,如果出现相关性,则可认定恶意程序记录并发送了用户个人信息。(3)输出调试测试苹果iOS系统与Mac系统一样,有统一的系统日志记录和查看接口。在iOS开发中,常用NSLog()方法进行输出调试。如果恶意程序在开发过程中使用了NSLog,则其输出会被记录在系统日志中,可以通过Xcode的设备管理器查看和保存日志。通过对日志内容进行分析,可以采集所有运行的进程的输出。一旦恶意程序使用了NSLog,相比可能会加密的网络通信,其输出的系统日志往往是明文而且可读的,这便为分析恶意程序留下了线索。4.2其他锁屏密码俗话说“防范于未然”,恶意程序在植入后,往往做很多隐蔽性手段以防止检测。但提高安全意识,可以很大程度上防止恶意程序的入侵。对于iOS系统,其漏洞与入侵渠道极少,而安全措施很多,只要根据iOS恶意程序可能植入的渠道,进行针对性的加固,。首先应该修改SSH密码,将root账户的默认密码设置成较为复杂的密码,同时修改/etc/ssh/sshd_config文件,把SSHd的监听端口修改非22端口,防止被扫描或被攻击者猜解弱密码。设置复杂的锁屏密码。iOS系统的锁屏密码不仅保护系统不被其他人直接使用,同时也阻止了iTunes备份,只有在设备解锁的情况下,手