智能终端安全技术热点和趋势探讨(中国移动彭华熹)

智能终端安全技术热点和趋势探讨彭华熹[e-mail]2014年10月主要内容移动智能终端是我们生活的一部分移动智能终端安全风险分析移动智能终端技术研究热点研究热点1：手机恶意代码防护和检测判定研究热点2：移动智能终端漏洞检测挖掘研究热点3：移动智能终端的多域安全结语移动终端是我们生活的一部分…手机已成为生活的一部分智能手机•在当前智能手机普遍流行的时代，大家似乎都患上了智能手机依赖症•当你社交互动、购物、找美食、出行找路线、玩游戏、看视频等等的时候，第一时间都是拿起手机，打开应用，就可以完成生活中的很多事情社交互动娱乐出行购物&支付找美食便利的同时，安全问题凸显移动智能终端的发展趋势与安全挑战更加智能化移动智能终端越来越智能化，已将渗透到各个行业、领域。逐步应用于企业应用IDC预测2014超13亿人采用移动办公模式，占全球办公总数35%BYOD的工作模式使得移动终端将会存储企业化的敏感信息应用多样化更加海量的游戏、视频、下载、SNS，娱乐资源，以及更多应用将被植入到终端产品中。存储更多的敏感信息随着微信、微博社交化软件的爆发式发展，终端将存储大量的用户个人敏感信息。移动终端面临的安全风险总览•安全风险涉及硬件层、操作系统层、应用软件及数据层主要针对物理器件、芯片及通信模块等•探针、电磁辐射监测等物理攻击主要针对OS内核系统、基础功能调用模块等•OS安全漏洞被利用主要针对在OS上运行的各类应用程序、存储和处理的数据信息硬件层操作系统层安全风险机密性（C）完整性（I）可用性（A）•隐私泄露•获取本地信息•远程控制•财产安全保护•支付宝账号•网上银行账号•手机丢失或被盗•…•应用被破解•应用被篡改•…•垃圾短信•骚扰电话•流量异常•恶意吸费•恶意广告•垃圾清理•内存、进程清理•…安全风险少攻击成本高安全风险高攻击成本低应用软件及数据层研究热点1：手机恶意代码防护和检测判定手机恶意软件是智能终端面临的主要安全威胁近年来Android平台恶意程序数量呈爆发式增长，用户恶意程序感染量急剧增长•国家互联网应急中心安全报告中指出，2013年新增移动互联网恶意程序样本达70.3万个，较2012年增长3.3倍，其中99.5%针对安卓平台。2013年安卓恶意程序急剧增长•2013年新增恶意程序样本67.1万个•较2012年全年增长了4.4倍用户恶意程序感染量急剧增长•2013年用户感染恶意程序9747万人次•较2012年全年的5175万人次增长了88.3%•平均每天恶意程序感染量达到了26.7万人次2013年各季度新增手机恶意软件样本数均保持一个相对增长趋势•2013年第4季度新增样本数接近15万•而2013年全年新增样本数已达60.6万数据来源：360互联网安全中心数据来源：易观智库10业界的主要研究手机恶意软件网络侧监测和封堵各大运营商移动智能终端安全防护软件云查杀、隐私行为监控、漏洞检测、运行环境安全监测系统优化、加速360手机卫士、腾讯手机管家、百度手机卫士手机恶意软件安全性检测和判定静态分析、动态分析、敏感字符串检测、敏感api检测各主流移动安全厂商技术研究难点和趋势难点1-有效样本爬取问题•恶意软件散布渠道更多•手机WAP、论坛（需要登录或积分下载）等网站已逐步成为主要渠道•普通的爬虫手段无法满足样本爬取的需求手机恶意软件样本库1、应用软件采集手机恶意软件研判团队6、无确切结果，人工研判手机恶意代码检测5、有确切结果，核准7、核准3、软件样本培植4、应用软件行为监测2、预处理、静态分析自动分析自动化安全检测爬虫采集难点2-加密样本静态分析问题•越来越多的样本采用代码混淆、代码加密、加壳等技术抵抗静态分析•无法进行反编译安全检测•采用c/c++开发•代码保护vs静态分析的矛盾难点3-反动态分析问题•越来越多的样本采用了模拟器检测机制，导致动态分析失效•部分样本对网络处理采用加密处理，导致动态分析失效研究热点2：移动智能终端漏洞检测挖掘系统漏洞现状分析2013年第三季度，某互联网安全中心特别针对世面上比较流行的9个品牌，18个典型型号的安卓手机进行测试分析。结果显示：安卓2.x版本的9款手机平均有20个已知的安全漏洞，最少的有8个漏洞，最多的有40个漏洞而安卓4.x版本的9款手机平均有19个已知的安全漏洞，最少的有3个漏洞，最多的也是有40个漏洞使用Google原生安卓操作系统的Nexus手机的漏洞总是最少的，其次是索尼手机某互联网安全中心还专门针对漏洞进行了分类统计：签名漏洞和短信欺诈漏洞较为突出被测试的18款手机都存在一个共同的签名漏洞，是一个安卓系统原生漏洞，也被称为是史上最严重的安卓系统签名漏洞后台消息和短信欺诈漏洞的检出数量更是达到了惊人的70个和57个后台消息和后台电话漏洞很可能会被用于恶意扣费，短信欺诈漏洞则更是严重威胁每个用户的财产安全系统漏洞现状分析-发展趋势漏洞现状分析从漏洞类别来看排在首位的是sql注入类漏洞，占比38.2%，其次是webview漏洞，占比35.4%从漏洞风险级别来看高危漏洞占20.7%，低危漏洞占79.3%，其中高危漏洞主要集中在webview系列和https证书未校验上主要漏洞描述Webview相关高危漏洞：主要由代码中使用addJavascriptInterface等危险函数导致。这些漏洞可导致远程代码执行，远程安装恶意软件等问题Https相关的高危漏洞：主要由https使用ALLOW_ALL_HOSTNAME_VERIFIER等参数校验证书，没有对主机等信息进行校验导致，这些漏洞会导致攻击者劫持https会话、嗅探用户密码和其他敏感信息等问题SQL注入类漏洞：主要是代码中未过滤用户输入，攻击者可通过提交恶意sql查询语句达到其作恶目的。Sql注入虽大部分属于中低危漏洞，但仍可造成敏感数据、系统最高权限被窃取等问题数据来源：阿里巴巴移动安全团队报告•由于app越发复杂，代码开发过程中存在安全问题，相当多app都存在高危漏洞问题，可能会带来较大的安全风险•敏感数据明文或可逆存储、全局访问•敏感数据明文传输•组件暴露或意图劫持……安全事件1-安卓系统签名漏洞遭大面积利用2013年7月，Bluebox公司曝光了一个被称为史上最严重的安卓系统签名漏洞漏洞分析：安卓系统签名漏洞是指在不破坏系统或更换已签名的情况下，随机篡改原版app，甚至向原版应用中添加恶意代码利用这些被恶意篡改过的安装包，黑客可以完全控制中招手机，比如：窃取通讯录、短信、通话记录、帐号密码等信息还能完全控制手机发送短信、拨打电话甚至打开摄像头等影响范围：该漏洞使99%的安卓设备面临巨大风险安全事件2-某品牌终端曝高危短信欺诈漏洞某互联网安全中心发现某品牌终端存在一个高危短信欺诈漏洞漏洞分析：新漏洞存在于某品牌终端的“云备份”组件中，主要该系统组件并不会校验数据发送者的身份。利用该漏洞：恶意程序可在后台偷偷发送扣费短信伪造任意发送号码在中毒手机收件箱中写入诈骗短信，对机主进行恶意扣费或欺诈影响范围：除该机型外，其同系列的其他安装有“云备份”组件的机型也有可能受到这个新的短信欺诈漏洞的威胁事件举例：利用该漏洞，任何第三方程序都能冒充亲友、银行等机构组织、客户服务商等，对用户进行恶意的欺诈业界相关研究•学术界针对特定类型漏洞开展的半自动化挖掘技术研究–ComDroid–CHEX–DroidChecker•相关在线检测系统–SEDDroid–DroidBench–SCAP-Android–X-Ray•也发布了开源挖掘工具–Mercury/Drozer–IntentSniffer–IntentFuzzer–ASEF–AFE•app安全开发规范–AndroidBestPracticesforSecurity&Privacy–OWASPMobileSecurityTesting–viaForensics42+BestPractices技术研究难点和趋势•代码类型复杂–Java，C/C++onARM,Lua,html5…–语言繁杂，白盒审查工具需要支持多种语言•黑盒检测不一定有效•检测方并不一定可以拿到app的源代码，需要支持黑盒检测•代码混淆提高了检测难度•Native的代码很难开展黑盒检测•UI交互–代码和UI紧密交互，对程序分析和自动化挖掘造成困难–如何让app自动运行遍历业务流程•业务关联性–与PC不同，绝大部分漏洞均与应用的业务相关–机器如何产生有效的业务数据来驱使自动化动态分析？–如何判断什么业务数据是关键的、重要的–…•静态分析工具误报率较高，需进一步改进，构造半自动的动态挖掘工具研究热点3：移动智能终端的多域安全随着BYOD的发展，企业用智能终端逐渐成为攻击的目标•越来越多的个人和企业深度使用移动终端进行办公，这已经成为当前的主流趋势。•而办公数据也正是高价值数据目标的最大来源BYOD电子邮件VPN内网Wi-Fi内部IM办公软件已经出现基于邮件附件的移动恶意代码钓鱼攻击已经出现通过移动设备渗透进办公内网的案例MDM、第三方的BYOD方案的漏洞均有可能被攻击者利用22多域的应用场景•为保证支付/BYOD环境的安全，应实现数据之间的完全隔离•安全域：进行企业级的、较高安全需求的操作：企业OA、企业邮件、VPN等•个人域：个人普通应用：通话、短信、游戏等安全域个人域企业网络•通过VPN等安全通道与企业网络进行交互•禁止访问较一般安全需求较高的安全需求•通信录、短信、邮件等应保密，不得被其他域非授权访问•企业级的app不得被其他域非授权访问•工作域可安全连接企业网络多安全域的技术原理•实现域与域之间的安全隔离•域中的进程/应用无法非授权访问其他域中的数据•在安全策略允许的情况下，才能进行授权访问APPAPPAPPAPPAPPAPPAPP共享数据数据共享数据域A域B业界的主要技术研究基于SEAndroid增强的OSApplication Layer (Domain) 通过沙箱技术保证进程和数据的隔离Android FrameworkLinux KernelSecure Boot LoaderHardware (TrustZone) Linux Kernel (SEAndroid MAC) 实现安全域隔离、强访问控制Secure Boot Loader防止启动时载入非法的进程Hardware (TrustZone) 硬件级别的安全芯片，验证loader的完整性基于可信模块向上验证各层的安全个人域ApplicationandData安全域ApplicationandData沙箱BootLoaderHardwareLinuxKernelNativeAndroidapplicationanddataWorkspaceapplicationanddataSystemSwitch(APP)Android1Android2VirtualMachineModule用户域安全域•基于SEAndroid的沙箱技术•虚拟化技术多域的用户体验个人域切换到工作域工作域技术研究难点各类技术各有优缺点，尚无一个主流的技术和产品对硬件性能要求较高需求市场仍需培养结语智能终端在给我们生活带来便利的同时，也带来了相当多的安全隐患当下，手机恶意软件防护和检测判定是智能终端研究的主要热点明天，智能终端系统和app漏洞将是攻击者攻击的重点目标之一，其防护手段应尽早开展研究主动防护手段：多域安全隔离技术是解决支付、企业等高安全需求的主要技术之一现有安全方案存在不足，大量技术和非技术问题需要解决…谢谢！