移动互联网应用的安全问题及应对措施

移动互联网应用的安全问题及应对措施

1基于移动互联网的应用场景探索近年来，随着智能终端和移动应用程序两个最佳产品的广泛应用，中国移动互联网产业的快速发展，形成了大量典型的移动互联网产品和服务。作为移动通信和互联网产业高度融合的产物,移动互联网在满足人们基本通信和信息获取需求的同时,凭借移动互联网应用正在向金融、交通、卫生等其他行业扩展,基于移动互联网的移动社交、支付、金融、医疗等业务已深入人们的生活。随着宽带无线通信、移动智能终端操作系统和芯片等领域的技术进步,智能终端的通信、计算、存储等能力显著提升,同时电信运营商网络资费的不断下调和无线局域网接入点覆盖率的不断提高,都促进了移动互联网的应用普及以及与人们工作、生活的融合。移动互联网的出现与应用改变了传统互联网的格局和发展模式,也重构了传统行业的业务模式,极大地改变了人们的工作、生活方式,刺激互联网经济规模迅猛增长。现有一些关于移动互联网的研究认为,移动互联网是传统互联网的延伸和补充,是传统互联网的一个重要组成部分。实质上,移动互联网是将移动通信和互联网这2个发展最快、创新最活跃的领域融合在一起。从应用角度看,移动互联网是用户使用智能手机、掌上电脑(PDA)、可穿戴设备、传感器等智能终端和移动互联网设备(mobil2智能终端的发展移动互联网是一个完全以用户需求为主导的市场,移动智能终端的普及度、网络资费的合理性以及移动应用的用户基数与用户粘滞度,都对移动互联网产业的形成和发展起着决定性作用。目前,移动互联网已形成产业生态系统(如图1所示),其主要参与者有移动互联网用户、网络运营商、设备制造商、移动应用市场和开发者。其中,网络运营商为移动互联网应用提供网络支持和业务计费服务,深度参与移动互联网业务实现和商业运营;终端制造商设计、生产符合移动互联网应用需求的智能终端,并在终端设备上嵌入定制操作系统,为运营商或合作方引入移动应用或定制内容以及为第三方开发移动应用和服务提供平台;移动应用提供商通过建立移动应用发布平台,汇集移动应用开发者的产品,为移动互联网用户提供移动应用下载和相关服务,并为网络运营商提供定制化的移动应用发布平台等;移动应用开发者通过移动应用提供商的平台向用户提供移动应用服务,也有众多移动应用开发者以OTT模式直接向用户提供移动互联网服务;增值服务提供商借助运营商网络向用户提供服务,如信息聚合服务、无线局域网接入等。在经历了近几年的快速发展,移动互联网的发展速度和应用规模已超过基于PC的传统互联网。2014年I月中国互联网络信息中心发布的第33次《中国互联网络发展状况统计报告》显示,截至2013年12月,中国手机网民规模达5亿，年增长率为19.1%,网民中使用手机上网的人群所占比例提升至81%,手机继续保持第一大上网终端的地位。根据工业和信息化部近期公布的数据可知,2013年1月至10月,我国智能手机出货量达3.48亿部,销量保持快速增长;2013年11月3G移动电话用户达3.86亿户,较上年同期增长1.54亿户。移动互联网蓬勃的发展势头和巨大的发展潜力造就了移动互联网广阔的市场前景,吸引了大量的投资和关注,在移动智能终端、移动应用与发布平台、移动增值服务等领域已形成激烈竞争的局面。3移动互联网的安全面临着挑战3.1智能手机网络攻击的现状移动互联网已不再仅限于向用户提供通信和信息获取服务,还通过智能手机、平板电脑等终端向用户提供互联网服务。在以向用户提供话音服务为主的时代,网络运营商对用户终端、网络和业务具有很高的控制权,在移动互联网时代,网络运营商、终端设备制造商、移动应用提供商和开发者等都直接参与移动互联网服务的提供和运营等工作。从安全防护的角度来看,整个移动互联网生态系统的参与者越多,其面临的安全风险也越大,安全问题也更为复杂,再加上移动互联网技术的开放性和人们对移动互联网业务的高度依赖性,使其具有很高的网络攻击价值。以智能手机为例,其经历了从封闭操作系统与支持话音、短信等功能,向拥有开放操作系统与海量应用的智能终端的转变。目前,智能手机已成为移动互联网最鲜明的特征,它承载了大量与人们工作、生活相关的应用和个人信息,很多应用与用户的经济利益关联,蕴含着巨大的商业价值。受经济利益驱使,许多网络攻击者已将其攻击目标从PC转移到智能手机。中国互联网络信息中心发布的《2013年中国网民信息安全状况研究报告》显示,在使用智能手机上网的用户中,接收到手机垃圾短信/骚扰短信、骚扰电话的比例分别达68.6%和57.2%,智能手机上网用户遇到恶意程序的比例达到33.2%。通常恶意程序以提供某种服务的移动应用为载体,用户下载安装后,在其不知情的情况下,开始出现发送广告、偷刷流量、发送短信等恶意行为,造成用户经济损失。有的恶意程序还窃取用户通讯录、账号密码等个人隐私和敏感信息,给用户带来危害。有的恶意程序还可能导致终端死机、运行缓慢,甚至是软硬件损坏。目前,已发现的移动互联网恶意程序约有几千种,并呈加速增长的趋势,危害范围包括智能手机、平板电脑等多种类型的智能终端。奇虎360公司互联网安全中心的监测数据显示,2013年第三季度,共截获A由此可见,移动互联网面临的安全问题日益严重,恶意程序的行为也日趋复杂和多样化,用户、运营商等的隐私和财产以及政府部门、国防军工等重要领域的数据信息面临严重安全威胁。随着移动互联网发展速度的加快,智能终端、移动应用更加丰富和多样化,移动互联网用户数不断增多,移动互联网安全问题将更为突出,安全形势更严峻。3.2移动互联网面临的安全问题由于移动互联网与传统互联网和蜂窝移动通信网存在显著差别,使移动互联网面临的安全问题不是传统互联网和蜂窝移动通信网安全问题的简单叠加。以下从终端、网络、应用等角度对移动互联网面临的安全威胁进行分析。(1)网络边界式安全目标智能终端存储了大量的个人隐私和敏感信息,而且智能终端对于个人用户的用途已不再仅限于通信和娱乐,它是满足个人办公、交易、支付、资讯获取等需求的重要工具,已逐渐成为网络边界。由于智能终端操作系统的开放性,在设计之初并未充分考虑移动应用可能带来的安全风险,加上智能终端承载了用户金融、支付等敏感业务,给网络攻击者带来了巨大的经济利益驱动力。同时,移动互联网业务Al从移动互联网用户的角度看,智能终端面临的安全威胁主要有以下3类。一这是有害的，例如恶意扣减、关税消费等二这是个隐私泄露三是恶意的，包括垃圾电子邮件、电子邮件、语音骚扰等随着程序设计水平的提高,恶意程序的恶意行为将更为隐蔽和复杂,单个恶意程序可同时具有多种恶意行为,给用户带来更大的安全危害。(2)无线加密和无线接入安全由于移动互联网的网络边界模糊化,传统的安全域划分、等级保护等安全机制在移动互联网中难以完全适用,移动互联网网络侧面临新的安全威胁。一方面,由于采用无线接入方式,使得用户的信号容易被窃听和跟踪,如果空中接口处没有采用加密机制或加密机制不强,网络攻击者可对空中接口处传输的信息进行监听,跟踪用户的身份认证和业务鉴权等过程,非法接入网络和业务;另一方面,无线接入泛在化、IP协议的开放性和智能终端的移动性,使得伪造和隐蔽网络地址相对容易,造成对网络攻击的实时定位和对攻击行为溯源困难。还需要注意的是,被恶意程序感染的智能终端,可以被控制成为“肉机”,向网络发起攻击,耗费网络资源,造成网络拥堵或服务中止。(3)业务安全认证缺乏标准网络运营商一直重视网络安全问题,但受到业务和终端的影响,其主要关注与信息传输相关的网络设备和将话音、数据、视频等转换成数据分组过程的安全防护。移动互联网的出现使得运营商面对的不再是传统的话音、短信服务和功能相对单一的手机,而是丰富的互联网业务和各种类型的智能终端与移动互联网设备,同时又引入了更多的网元和业务平台,网络结构更加复杂,而且有些移动互联网业务支持终端节点的自组织,业务流程更加复杂,端到端的业务安全防护难度显著提高,存在业务系统被非法访问,数据、个人隐私和敏感信息泄露和违法违规信息传播等安全风险。而且,金融、支付、办公等业务安全要求更高,目前还没有统一、有效的业务安全认证标准和体系。移动互联网主要通过应用商店发布移动应用来建立用户与第三方服务器之间的业务关联。各个应用商店按照自己确立的标准开展应用审查,还没有统一的移动互联网应用安全审查标准,建立移动应用商店监管机制,国内也缺乏相关法律法规支持应用商店监管工作,导致应用商店成为恶意程序和违法违规内容的重要传播渠道。从业务实现来看,大量应用与第三方服务器之间采取私有协议和加密传输,虽然私有协议和加密机制能够在一定程度上保障用户数据信息安全,但这为违法违规信息传播提供了便利条件,妨碍了业务监管、跟踪溯源等安全工作,给国家安全带来威胁,而且移动互联网具有群组性传播特点,违法违规信息在移动互联网上传播更为迅速,监管难度更大。目前,移动互联网上还有许多与云计算紧密结合的服务,随着服务的不断推广,海量的用户个人信息、企业业务数据等汇集存储在云计算平台,由云计算服务商进行管理。一方面,云计算技术自身存在着公共租赁、虚拟机间攻击等安全威胁;另一方面,由于云计算服务平台汇集了海量的用户和企业数据,容易招致网络攻击造成信息泄露。同时,云计算服务平台上用户和企业数据的使用缺乏监管,这些数据可能在用户和企业不知情的情况下被发掘、被有针对性地收集,甚至是被交易。此外,移动互联网还面临内容保护和版权管理能力缺乏、安全审计和防护能力不足、网络协议存在大量可被利用的漏洞等问题,阻碍了移动互联网的应用推广。4加强移动互联网生态系统建设的应对策略移动互联网面临的安全问题不能仅靠某一方面工作或防护措施就能彻底解决,需要从技术、管理、社会等层面多管齐下,需要移动互联网生态系统中各方的共同努力与协作。为了构建安全的移动互联网环境,现阶段需要抓紧开展以下6个方面的工作。(1)责任主体不明确,工作要求混乱移动互联网安全问题是随着移动互联网的出现而产生的新问题,目前,国家还没有出台专门的法律法规明确移动互联网安全管理的责任主体和工作要求。同时,移动互联网业务涉及领域众多,目前是多个部门分头对互联网进行管理,职责存在交叉重叠。为此,需要针对移动互联网技术和业务管理制定相应的法律法规,界定职责范围,明确责任主体,整合移动互联网监管职能,形成职能相对集中的监管机构。(2)终端安全防护能力目前,我国针对移动智能终端面临的安全问题已在电信设备入网检测中增加了信息安全检测环节,提高了移动智能终端安全防护能力,但是还没有对移动应用商店和移动应用开展相应的安全评测,移动应用市场仍然存在许多带有恶意行为的应用。为此,需要建立针对移动应用商店的监管机制和移动应用监控机制,开展移动应用上架前的安全检测,建立完善的移动应用和智能终端事中及事后监管制度,并开展移动应用开发者的注册备案和可信度评估与管理。(3)标准不统一以及缺乏安全标准由于多部门分头管理移动互联网,在有害内容过滤、恶意行为判定、业务安全要求等方面存在标准不统一或是缺乏安全标准的问题。为此,需要针对移动互联网面临的具体安全问题,分析研究安全需求,加快制订国家和行业标准规范,支撑智能终端、移动应用、移动互联网业务等的研发,为移动互联网安全测评、监管等工作提供科学统一的标准依据。(4)构建可信的移动互联网生态环境,支持多种业务对重要业务支持随着移动互联网与人们工作、生活的深入融合,越来越多的重要业务正在向移动互联网迁移,需要构建可信的移动互联网生态环境,支持金融、支付、办公等重要业务在移动互联网上安全运行。为此,需要开展统一身份认证与管理、可信智能终端软硬件、移动应用签名、安全芯片等的技术研究和应用推广,构建可信移动互联网生态环境。(5)缺少有效防护手段移动应用数量的快速增长与智能终端的迅速普及给病毒和恶意程序的扩散提供了环境,但是目前针对移动互联网的安全防护产品种类和数量有限,移动互联网产业链中各方还未形成协作,难以对病毒和恶意程序等形成及时、有效的防护能力,制约了移动互联网应用推广。为此,需要加大对移动互联网安全技术、产品和服务的研发投入,形成一批面向移动互联网的安全防护产品和高端安全服务,推动产业链中各方的协作和信息安全信息共享,全方位提高移动互联网安全防护能力。(6)移动互联网安全影响因素的确定要充移动互联网生态系统中各方相互紧密关联,要从保护移动互联网用户安全与利益的角度出发,通过产业链各方参与和协作,才能有效应对移动互联网安全问题。为此,需要综合考虑移动互联网中智能终端、移动应用、服务等多方面的安全防护需求,科学设计移动互联网安全防护体系架构,通过制定、出台政策要求,推动产业链各方积极参与移动互联网安全防护工作,形成多种安全防护措施与手段综合实施、整体防护的局面,为移动互联网终端、数据、业务等提供安全保障。5移动互联网网络安全防护移动互联网安全问题影响范围广,恶意程序和有害信息在移动互联网上传播速度快,防范技术难度大,使得移动互联网安全成为社会关注的焦点。移动互联网安全防护不仅需要开展技术层面的工作,也需要相关法规政策、管理机制的支持以及产业链中各方的协作和用户的参与。虽然目前移动互联网还面临着安全威胁,但通过政府、产业、用户等的共