关于非传统型社交网络安全的报告

非传统型社交网络安全报告姓名：学号：年级：专业：任课老师：非传统型社交网络安全报告2012年OWASP中国峰会召开。讨论了基于因特网、无线电话网和物联网的应用、融合及业务方面的安全问题，其中一个议题为“非传统型社交网络安全”。随着社交网站的大规模兴起，这一平台上的安全问题逐渐显露，本文将从以下几个方面探讨关系型社交网络面临的安全威胁，社交网络现在面临新型的攻击；相比于传统的社交网络威胁的一些新特征；如何处理这些威胁；最后通过案例和趋势对当今的安全系统模式、架构进行分析。社交网络现在面临新型的攻击CNNIC统计数据显示，到2011年为止，我国微博用户数量达到2.5亿，此外，其他一些关系型社交网站如开心网、人人网用户数量也积累到了2.44亿。在海量用户基础上，社交商务得到飞速发展，企业信息在社交网络中快速流通，涉及各种公司的市场活动、客户服务、人员招聘、产品战略多个层面，其信息价值已不亚于游戏盗号所能获取的虚拟货币和装备。伴随着微博等应用蓬勃兴起，基于社交网络的钓鱼欺诈威胁正在急剧显现。SNS(SocialNetworkingServices)即社交网络，是人们根据六度分割理论创立的面向社会性网络的互联网服务。广义的说，一切将“建立关系”功能视为互动核心的网络产品都可以归于SNS的人概念之下，国内知名的微博比如新浪微博，除了信息发布，也全面整合了各种社交功能，比如聊天、微群、分类汇聚的社区等，也属SNS应用范畴。SNS主要为用户提供如下功能：在一定范围内，创建并分享公开或半公开的用户信息；提供可联系的用户列表，为用户提供交互平台；网络聊天、交友、视频分享、博客、音乐共享、添加评论等；提供用于应用插件开发的开放接口。社交网络在很人程度上为人们的社会交往提供了方便，也因此具备如下几个主要特点：①用户数日多，用户群种类复杂，交互方式多样;②应用灵活，功能繁多，用户行为难以控制；③信息量大，开放程度高，数据存储集中，管理难度大。这些特点的存在使得社交网络的安全问题尤为突出，为了利用这个交往平台，人们乐于将自已的个人信息，如爱好、日志、照片、状态，其至姓名、生日等在社交网络上与他人共享。如果没有良好的保护手段，用户信息的私密性将受到严重威胁。近些年，私密信息泄露、用户信息非法出售、用户身份假口等诸多问题不断出现。因此，安全高效的隐私保护和访问控制方案成为社交网络安全领域的重要研究内容。信息传播是社交网络的核心功能，也是安全威胁背后的利益所在，下图为社交网络信息传播流程图：第三方插件第三方插件参与交流关注发现/创造分享个人行为推送好友好友列表对好友进行维护和管理接受好友个人动态、更新内容反馈、交流、互动SNS用户基于人际关系下的信息流通个人动态由上图可以看出，社交网络具有，多维度的信息传播，多元化的信息传播途径等特点，而社交网络的另一个明显特点就是基于关系，这个特点是其他类型的网站是不具有的，所谓关系型，即好友关系，一个用户的粉丝数或收听者达到一定的数量，那么该用户发布的一些信息，就会有相当大的影响力和关注度，社交安全问题主要在于好友关系间的天然信任，从而为不法分子盗号后窃取信息、诱骗广告点击、借钱欺诈等非法活动提供了便利，OWASP中提到，恶意的冒充微博上的好友或者粉丝，收听者等，然后通过推送消息，通知等诱骗用户点击，浏览含有宣传性内容的网站。同时，大部分网民习惯以常用邮箱和密码注册各种网络服务，一旦遭遇网站被黑客“拖库”，不仅可能导致游戏账号和支付账户余额被盗，黑客还会利用其微博、聊天软件等社交账号刷粉丝，发布钓鱼网址、广告、借钱等欺诈信息。今年为止，国内共新增钓鱼网站501708家，其中约15.7%的钓鱼网站主要利用社交好友关系传播，包括虚假抽奖活动、购物欺诈、假QQ空间钓鱼等。360分析预测称，基于社交网络的安全威胁很可能在2012年翻倍增长，全方位改善社交安全将成网络安全新课题。那么，当今的社交网络面临哪些威胁，举例子说明，2011年9月，首个自动通过QQ群功能传播的蠕虫病毒被截获。该病毒伪装成电视棒破解程序欺骗网民下载，盗取魔兽、邮箱及社交网络账号，中毒后病毒会自动访问QQ群共享空间，将病毒程序提交到群共享空间快速传播，其最终目的是下载更多盗号木马，窃取虚拟财产。微博成为2011年最火热的网络应用，微博传播消息迅速快捷，成为钓鱼网站传播者的天堂。特别在2011年底出现大量网民个人信息被泄露之后，微博成为事件的重灾区，每天有数千乃至上万人的ID被盗，盗号者利用偷来的微博帐号发布大量商业广告或钓鱼网站链接。2011年6月，新浪微博突然遭遇蠕虫式的“病毒”攻击，众多加V认证的名人微博自动发布带攻击链接的私信或微博。后查明，这是攻击者利用新浪微博的XSS(跨站)漏洞攻击，点击某个微博短址链接后，会自动加好友，自动发微博并同时传播攻击链接。综上，我们把社交网络新兴威胁分为：1、web攻击：XSS,CSRF,SQLlinjection，数字档案收集社交网络中的用户信息可被第三方组织下载、收集、随着不断积累，最后可以形成关于这个用户的完整档案.并用于非法用途；2、社交营销，发布垃圾信息；3、账号攻击，暴力破解账号；4、虚假账号；5、数据收集，恶意索引SNS数据。相比于传统的社交网络威胁的一些新特征首先，从功能方面，传统型威胁更多的表现为“失能”，而非传统威胁表现为“异常”。传统型威胁是基于系统的设计缺陷产生的，是单一的攻击，多数表现为业务功能遭到攻击，导致无法正常提供服务，但非传统的威胁，可以寄生在业务中的非法数据流中。传统型攻击就像中毒或者外伤，其特点是特征突出、反映强烈、迅速致命。相比之下非传统型威胁就像寄生体和毒瘤是不容易被发现的，一旦网站有类似被产业链盯上用以发布营销性消息，一般短时间内不易察觉，这种威胁越来越不被发现进而导致慢性死亡。在这里，非传统型安全，更多的表现为打破正常秩序，影响用户体验，非授权利用系统特征，严重影响服务质量。其次，从利益方面，传统攻击利益诉求急促，快速、周期短，非传统型具有利益长尾效应，他的攻击很全面而且更加隐蔽。传统型攻击利益薄风险大，已经发现便不能够继续其作用。防御相对来说比较容易。例如网站被入侵并挂载了恶意组件。非传统型攻击的另外一种表现形式是把电子营销的方式移到社交网络，也就是垃圾邮件。通过垃圾邮件来推荐一些精品的东西，购物网站的连接，招聘培训类广告等，甚至是其他恶意信息。攻击者获取了用户的E-mail，冒名登录帐号，通过通讯录、邮件来往等信息，就可以获得该用户的社会关系。而以上这些本质上是相同的，都是基于关系型营销。它带来的利益更大，具有回报高，但成本与门槛极低的特点。最后，从防御困难性方面，非传统型威胁更加防御困难，首先这种社交网络是基于关系的，例如对方在微博或者在人传照片或相册，会相应的带来一定的关注者，随着积累，过渡到发布淘宝商品信息，整个过程成本很低，一方面不需要有技术成本。这时我们防御可以通过提高人力门槛来进行，比如说限制数量操作频率，人力的门槛会比较高，但是相对于这个技术成本比较高。这种基于用户的行为关系的社交平台，更加难于处理。传统型的防御过程基本上分为，加强安全规范的实施、加强线上门槛和布控、定期扫瞄打补丁。而处理非传统型首先需要进行行为监控分类，运用统计学原理甄别用户使用的统计学规律，如在某个特殊时段发特定的内容，通过比对正常用户的活跃时间段来过滤疑似危险的内容。但是，基于统一分析的工具，往往和用户的正常行为曲线有相当大的误差或出入。它的利益长尾效应得不到很好的显现。比如说某个注册用户粉丝数的激增，必然违背统计规律，当捕获到诸如此类的不符合行为规范规律的情况，进行简单的处理或者是自动的处理，这个过程也是有一定的难度。其次需要严格给出定义、区分正常和非正常行为。再次要按照业务布控，业务布控有不同的特点。还需要分析攻击链条、多点打击等都要兼顾。云计算在2009年取得了长足的发展，因此还应该意识到，市场的快速发展会牺牲一定的安全性。攻击者今后将把更多的时间用于挖掘云计算服务提供商的API(应用编程接口)漏洞。毋庸置疑，已经开始有越来越多的IT功能通过云计算来提供，网络犯罪也顺应了这一趋势。安全厂商Fortinet预计，网络犯罪借鉴“服务即安全”(security-as-a-service)的理念，网络犯罪也将效仿企业的做法使用基于云计算的工具，以便更有效率地部署远程攻击，甚至借此大幅拓展攻击范围。同时，随着移动应用的不断增多，智能设备的受攻击面也在不断扩大，移动安全所面临的局面将会越来越严重。虽然我们已经看到了iPhone上的蠕虫病毒，虽然它还不能自我传播，还得依靠电脑来传播，但是我们预计，2010年，将会出现真正可以自我传播的病毒，严重威胁iPhone和Android等设备。总体而言，安全专家认为，随着用户将智能手机作为迷你PC来处理银行交易、游戏、社交网站和其他的业务，黑客将越发关注这一平台。如何处理这些威胁社交网络的个人信息泄露是多方面的，包括用户自身原因，社交网站自身原因以及第三方应用程序等原因。1、用户自身方面，用户自身的疏忽导致隐私泄露；用户在注册信息时，将重要信息毫无防范的提交于网站，导致个人信息泄露。其次，是没有设置信息访问权限，导致将所有信息公众于下。再者，注册账号时，牢记密码找回提示以及邮箱。2、社交网站自身的原因导致隐私泄露社交网站之间共享用户信息，社交网站之间，或者社交网站与其他网站之间，出于用户互补，或者营销宣传上的考虑，会共享用户的隐私数据在用户不知情的情况小造成隐私泄露。例如，2009年12月2号，雅虎宣布了一项与Facebook的合作：雅虎将认可Facebook的用户注册身份，让他们能与朋友分享博文、照片和其他内容。未公布的合作协议显示，雅虎希望使用Facebook的用户数据，并在其个人页面上放置针对个人的展示广告。理论上讲，如果Facebook的用户与网站共享授权，广告主可以通过雅虎向特定人群投放广告。此外，还有很多可以共享账号的网站，例如人人网注册时，会提示可以用MSN或者360的账号登陆，这里面肯定就涉及到用户隐私信息在网站间共享，造成泄漏。社交网站售卖用户隐私信息例如，据新浪科技，北京时间2010年3月18日早间消息，据国外媒体今日报道，MySpace将出售网站信息给第三方，包括学术研究者、市场调研机构甚至营销人员。这将使社交网站的用户隐私面临更大危险。MySpace出售的信息将包括用户账户的任何活动内容和信息，也就是说将涵盖博客日志、用户所在地信息、照片、评论和状态更新等等。网络数据交易公司InfoChimps将负责MySpace信息的出售。3、社交网站自身漏洞造成用户隐私泄露社交网站与其他的网站服务器一样，肯定会存在这样那样的漏洞，这就为不法分子获取用户隐私提供了可能。据国外媒体报道，WhiteHat的调查发现，目前64%的网站仍含有重大漏洞，而含漏洞比例最高的网站类别则是社交网站，高达86%。近年来，利用社交网站漏洞造成用户隐私泄露的事件比比皆是。例如，2011年2月，据国外媒体报道，近日，Facebook网站出现了一个新的安全漏洞。只要具备相关的链接，Facebook网站的用户就能够访问其他任何在线用户的相册。第三方应用程序造成隐私泄露一般的，在社交网络中用户会用到很多的第三方程序。用户在安装并开始使用第三方程序的时候一般需要签一份隐私说明，即同意该程序获得用户信息。由于所有程序说明都是一致的，一般用户只要想用这个程序都会同意，这样该程序便获得了用户的资料。由于目前的架构下，第三方程序都是在各自服务器上跑的，没有任何监控，所以可以任意向外泄露信息，造成严重的隐私安全隐患。在网络社交中，尽量保护个人隐私。从自身方面：1、在社交网站填写任何个人资料之前，都要了解到其中蕴含的风险。尽量不要在社交网站填写过于详细的个人资料。尤其是自己的收入水平、婚姻状况，自己是否买股票、基金等个人隐私，很容易被有心人利用，进行商业推广和诈骗。2、在使用SNS网站时，要充分利用其安全机制。例如，通过SNS网站邀请好友时，如果输入了自己的MSN帐号密码、邮箱帐号密码，在使用完该功能之后要马上修改密码。这样，就可以规避掉一些安全风险。3、不要轻易加MSN好友、QQ好友、SNS网站好友。4、要严密防范SNS网站的蠕虫攻击。对于普通用户来讲，可以安装免费杀毒软件，利用其中的漏洞扫描功能，弥补系统漏洞，拦截SNS网站上的盗号木马、蠕虫等。从社交服务商方面：1、在社交网站或者客户端设计时，充分考虑安全要求，减少漏洞的存在；在发现漏洞后，及时提醒用户安装补丁，从技术上杜绝用户隐私泄露。2、对第三方应用，社交网络服务商要加强监管。3、社交网络服务商保持职业操守，不要出售用户隐私信息。4、规范企业内部工作流程，防止企业内部工作人员出售用户隐私信息。对当今的安全系统模式、架构的分析社交网络安全涉及外部环境、基础设施、加密技术、认证技术、数据隐藏技术等。本文通过分析社交网络安全的特有信任问题，设计用户之间的信任机制和后台数据库的信任机制，并以此为基础构建社交网络安全模型。4.1社交网络安全系统模式的设计社交网络的安全问题集中在以下几个方面，一是网站用户信息发布与隐私保护存在矛盾；二是在未告知用户的情况下，存储于后台数据库的个人资料数据被网络管理人员泄露；三是来自于网络黑客对后台个人资料数据实施攻击；四是来自然灾害对社交网络个人资料数据可用性的破坏。社交网站与其他网站相比所特有的安全问题集中在第一、二两个问题上。4.1.1用户之间的信任机制设计针对用户信息发布与隐私存在矛盾，本文基于限制发布数据隐藏技术提出了细粒度信任管理机制，以方便用户能够智能管理个人资料信息。细粒度信任管理机制的设计要点有三：直接信任的设计：用户在社交网站上注册后，用户A和用户B之间如果完全信任，则可由用户相互给予信任值为1的良好评价；如果用户A和用户B素不相识，则可由用户相互给予信任值为0的中性评价；如果用户A给予用户B一个介于0和1之间的信任值，则此值的大小就是用户A对用户B的信任程度；用户A也可以因为之前的交往，给予用户B以信任值为-1的恶评。间接信任的设计：尽管用户A对用户B的信任值为x（-1<x<1），且用户B对用户C的信任值为y（-1<y<1），但，用户A对用户C的信任值与x、y无关。限制发布的设计：与用户之间细粒度信任度赋值相对应，用户在管理个人资料信息时，可对自己的姓名、年龄、家庭住址、电话号码等信息分别赋介于0和1之间的门限值。当用户B的信任值大于用户A对年龄所赋的年龄门限值时，用户B就可以看到用户A的年龄信息；当用户B的信任值小于用户A的家庭住址门限值时，用户B就看不到用户A的家庭住址信息。这部分功能的底层实现由限制发布隐私保护技术实现。考虑到成本，使用离散值表示用户之间的信任度，使用eBay系统中的信任模型（TrustModelineBaySystem，TMBS）为基本模型。细粒度信任管理机制是一个集中式的体系结构，存储和管理评价信息均在中心服务器完成。4.1.2后台数据库的信任机制设计后台数据库存储了整个社交网站的用户资料信息和社交活动信息，后台数据库管理人员的可信活动是信任机制设计的关键。PKI体系、动态口令为信任机制设计的基础。PKI体系（PublicKeyInfrastructure，公钥基础设施）是指在分布式计算环境中，使用公钥加密技术和证书的安全服务集合。PKI公钥基础设施采用了证书管理公钥，通过第三方的可信任机构认证中心，把用户的公钥和用户的其他标识信息捆绑在一起，在Internet上验证用户的身份。通过自动管理密钥和证书，为用户建立起一个安全的网络运行环境，使用户可以在多种应用环境下方便地使用加密和数字签名技术，从而保证网上数据的机密性、完整性、有效性。动态口令（One-Time-Password，简写OTP）是根据时间、事件等因素即时产生的随机密码。动态密码的需要通过一个手持设备产生，该设备每次生成的密码随时间变化，每次的密码都不相同。以此防范网络管理人员盗用他人口令，以他人身份在社交网站后台数据库非授权复制用户个人资料信息。由省数字证书中心或者国家数字证书中心颁发证书给社交网站的法人代表，社交网站法人代表在自己的CA服务器上再为社交网站管理人员颁发证书，同时社交网站服务器分发动态口令给每一个网站管理人员。以此，省/国家数字证书中心、社交网站法人、社交网站管理人员之间形成信任链，而社交网站管理人员通过动态口令技术可以澄清内部责任。4.2社交网络安全模型的构建为综合解决以上问题，借鉴P2DR、PPDRR、IATF等安全模型，针对社交网络特殊的安全需求，提出了社交网站安全模型（图2）。社交网络外环境社交网络外环境细粒度信任管理机制防火墙/入侵检测/病毒防范/应急响应/容灾恢复/风险评估隐私保护PKI体系/动态口令/基于角色的访问控制安全的操作系统（漏洞扫描）安全的社交网络基础设施图2社交网络安全模型社交网络外环境指的是除了技术以外的法律法规、政策激励等，良好的外环境是社交网站良性发展的前提。社交网络基础设施的安全是安全模型的基础，即社交网站的基础设施保护要满足防盗、防水、防火、防磁等功能。操作系统要定期扫描漏洞并及时打上补丁。PKI体系管理证书，保证数据发布时不被篡改，保证数据存储前的验证。动态口令技术产生动态密码，使得社交网站管理人员之间不能假冒身份。基于角色的访问控制在保证“一次登录，资源享尽”的同时，方便在单一平台上对不同角色拥有不同权限进行细粒度的管理。隐私保护技术是不破坏数据统计特性，在保证数据挖掘等工作能够顺利进行的前提下，对数据进行加密、扰动或者限制发布。防火墙是指设置在可信任的企业内部网和不可信的公共网和不可信任的其他部门之间的一系列部件的组合。它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护。入侵检测通过监控、分析用户和系统活动，发现入侵企图或者异常现象，记录并作出报警等响应，审计系统的配置及弱点，评估关键系统及数据文件的完整性。细粒度信任管理机制针对用户之间个人资料信息泄露问题提出来的解决方案。4.3社交网络安全建议4.3.1推进社交网站安全相关的立法工作社交网络安全需要对数据隐私的保护给予相当的重视，立法可以给数据隐私侵害行为最直接打击。目前，世界各国都加强了数据隐私保护的立法工作，欧盟制定并通过了《个人数据保护法指令》、《电子通讯数据保护指令》、《私有数据保密法》、《互联网上个人隐私权保护的一般原则》、《关于互联网上软件、硬件进行的不可见的和自动化的个人数据处理的建议》、《信息公路上个人数据收集、处理过程中个人权利保护指南》等相关法律法规。美国颁布了一系列保护隐私权的法律法规《隐私权法》、《金融隐私权法》、《家庭教育权和隐私权法案》、《联邦电子通讯隐私权保护法案》、《网上儿童隐私保护法》、《全球电子商务发展框架》；英国制定了《数据保护法》。我国目前还没有制定专门的保护隐私权方面的法律，只在《宪法》、《计算机信息网络国际联网安全保护管理办法》、《计算机信息网络国际联网管理暂行规定实施办法》等法律法规中间接作了规定。但是些法规比较分散，而且较简单。我国企业在欧盟、北美等地区已遭遇到了被禁止收集客户信息的局面，缺乏隐私权立法已使我国的企业处于“不平等竞争”的地位。4.3.2购置VDMA标准数据保险柜，保证社交网站基础设施安全为了预防火灾、房屋倒塌、高磁场等自然灾害，提倡将数据存储设备置于VDMA标准保险柜。目前世界上最权威的此种产品测试机构是德国VDMA。VDMA标准保