移動互聯網安全淺析

【摘要】伴隨移動互聯網技術的飛速發展，移動互聯網安全問題愈加凸顯，成為業界討論的焦點。本文簡述了移動互聯網的發展現狀，分析了移動互聯網目前存在的主要安全隱患，最后提出一種移動互聯網安全框架，并從應用安全、網絡安全、終端安全三方面闡述了模型構架。

【關鍵詞】移動互聯網信息安全安全框架

1概述

打開新浪微博，可以看到所有關注用戶的最新動態；打開米聊，可以直接與朋友進行語音對講；打開微信，LBS（地理位置服務）功能可以幫你與附近人群搭訕……微博、米聊、微信等眾多即時通訊工具幫助人們建立起移動互聯網時代全新的社交模式。據艾瑞咨詢統計，2011年中國移動互聯網市場規模達393.1億元，同比增長97.5%，其中移動電子商務爆發式增長，在整體移動互聯網市場規模中的占比增至30.5%，成為第二大細分行業，如圖1所示。

2移動互聯網安全隱患

隨著智能手機和3G網絡的普及，移動智能終端用戶所面對的安全問題除了惡意吸費軟件外，基于智能系統平臺的病毒木馬以及系統漏洞所導致的安全問題日益嚴重。一些如360手機衛士的安全軟件可以抵御垃圾短信，但對病毒、木馬，手機系統則束手無策。此外，以Android為代表的開放源代碼式操作系統引發的安全問題也越來越多。

Android Market和Apple Store促進了移動互聯網時代的繁榮，運營商、銀行、各類商城也紛紛通過移動終端拓展營銷渠道。但對于一個完全敞開的開發平臺來說，由于不同軟件開發者的技術水平和安全意識等諸多因素的不同，軟件的安全問題不能保證。移動互聯網給整個社會帶來深刻的影響，同時也帶來新的安全性問題，這主要體現在以下幾個方面。

（1）用戶終端難以溯源

在PC互聯網時代，大多數黑客都會選擇代理服務器來隱藏自己的IP地址，從而保證穩定的網絡連接，一旦IP暴露也就意味著身份的暴露。隨著移動電信設備的引進，如電影中經常出現的情節，黑客坐在面包車里，通過3G網卡入侵網絡，即便IP地址暴露，物理位置也可以隨時移動。移動互聯網中用戶終端難以溯源的問題為不法分子提供了可趁之機，也大大增加了案件的破獲成本。

（2）用戶隱私難以保護

在PC互聯網時代，黑客攻擊PC之后可以盜取重要數據，可以作后門，可以掛馬獲利，也可能把被攻擊的電腦作為跳板，隱藏真實ip再攻擊別的機器。在移動互聯網時代，黑客的攻擊目標得以進一步擴大，以手機終端為載體的用戶隱私難以得到保護。與傳統PC相比，手機終端承載著包括通話、短信記錄，LBS等更多的用戶隱私，對于用于隱私的竊取必然成為黑客攻擊的熱點，。同時，由于各大運營商與用戶之間天然繳費渠道的存在，扣費軟件也已成為手機用戶不得不防范的安全陷阱。

（3）手機支付安全難以保證

在PC互聯網時代，傳統網銀通過UKey、口令牌等硬件加密手段保證用戶支付安全。在移動互聯網時代，繼各種網銀支付后，手機支付已成為各大運營商、銀行及如支付寶，財付通等第三方支付平臺搶占的新領地。據艾瑞咨詢發布的數據顯示，2012年手機支付交易規模將有望超出1000億元，中國手機支付用戶規模也將過億。如，谷歌推出的Google Wallet（谷歌錢包），利用NFC(近距離無線通信)技術，將信用卡、借記卡等進行綁定，在支持Google Wallet支付的商店用手機像刷信用卡一樣進行支付。因此，從技術層面來說需要一個符合金融行業標準的支付標準，以確保數據傳輸的安全性、穩定性。

（4）移動互聯網安全難以監管

移動互聯網提供的服務涉及CP（內容提供商）、SP（服務提供商）、終端廠商、平臺運營商和網絡運營商等產業鏈的多個環節以及多種內容傳播形式，為用戶消費數字媒體提供了多樣化的選擇。移動互聯網使“人人時時處處在線”、“人人都是信息源”成為現實，它的開放性和便捷性的生產模式容易帶來信息的泛濫，未加甄選的意見交織極易帶來喧嘩，缺乏自律的用戶群體促使無意義的網絡水軍橫行，為社會秩序和正義造成了挑戰。因此，從當前我國移動互聯網發展形勢來看，需要從技術、機制等方面重視信息安全工作，確保我國的移動互聯網持續、健康、快速發展。

圖1技術向金錢轉化的需求是移動互聯網發展的根本動力

3移動互聯網安全框架

健全移動互聯網安全機制，一方面要保證用戶得到合法的安全服務，另一方面要確保用戶使用的網絡資源不受非法侵害，避免網絡資源被非法、越權使用。在移動互聯網的安全機制研究中，日本曾提出一種服務提供者對服務使用者針對不同業務的認證技術，服務使用者將一種類似于客戶識別模塊的SIM卡存放所有異構網絡認證身份時所需要的信息，當使用某類服務時，從識別卡中提取出對應的認證信息。還有國外學者提出建立終端安全機制，要求終端設備具備身份認證功能，從而對各種網絡及系統資源、業務和應用的訪問進行控制；或是采用智能卡和口令卡方式、實體鑒別等技術手段進行認證，保證訪問的安全性和可用性。

基于X.805協議框架，移動互聯網絡安全體系結構可以定義三組安全特性，每組安全特性針對特定的威脅，完成特定的安全目標，包括移動互聯網的應用安全、網絡安全以及終端安全這三方面的安全，具體特性如圖2所示：

圖2移動互聯網安全模型

（1）應用安全

對于移動互聯網而言，應用一般是指與網絡緊密捆綁在一起，通過網絡向用戶提供的服務；互聯網上的各類應用是指，凌駕與網絡層上，將網絡作為通道為用戶提供的服務，如移動瀏覽、移動搜索、移動地圖、移動視頻、移動音頻等。IP網絡，特別是互聯網增值業務，使用的信令和協議由于IP網絡先天不足，通常存在大量的可被利用的各類漏洞，因此，本模型把應用安全理解為業務應用正常提供，計費等管理信息以及信令等控制信息得到安全保障，防止非授權使用和服務濫用、盜用、信令干擾等行為。來自應用層面的安全威脅，主要包括對數據和業務的訪問非法業務、DDOS（拒絕訪問）攻擊、傳播不良信息、隱私泄露、版權盜用等。

（2）網絡安全：

網絡安全主要是指如何保證結點間安全的傳輸數據，如，如何避免通過破解移動互聯網中身份鑒權算法和加密算法獲得用戶信息非法進入網絡，如何避免通過無線竊聽，收集到包含特定密鑰的分組信息，推導出密鑰進入網絡侵人網絡。網絡安全具體包括IP承載網和接入網的安全：IP承載網主要涉及交換機、路由器、接入服務器等相關設備及鏈路；接入網采用移動通信網時涉及BTS（基站）、BSC（基站控制器）、RNC（無線網絡控制器）、MSC（移動交換中心）MGW（媒體網關）等設備和相關鏈路，采用WIFI時還牽涉到AP（無線接入點）。

（3）終端安全：

移動互聯網終端安全是指，為了確保合法用戶可以正常使用，防止業務被盜用、冒名使用等行為發生，防止包括用戶密碼在內的用戶隱私信息泄露，以及采取必要的加密、隔離等手段保障通信的私密性等。移動互聯網用戶終端，應具備身份鑒別功能，對各類系統資源、業務應用訪問進行控制，能夠通過用戶口令方式或是智能芯片、實體鑒別機制等手段來保證用戶身份安全性。用戶數據的安全性保護和訪問控制，可以通過設定訪問控制策略去保證其安全性；而用戶終端存儲的數據，可通過分級存儲和隔離機制，以及數據的完整性檢查去確保安全性。目前，移動互聯網終端多屬智能設備，智能手機取代傳統手機也是未來手機發展的必然趨勢，需要能夠對常見的病毒、木馬后門和針對操作系統及應用程序漏洞的攻擊具備一定的防范能力。

4結束語

在這個移動互聯網飛速發展的年代，移動互聯網與傳統互聯網將逐漸趨同。過去幾年中，谷歌移動搜索成幾何倍數增長，2011年全球移動應用和廣告總收入高達120億美元，連續3年年復合增長17%；易趣公司2009年營業額為10億美元，2011年接近40億美元；亞馬遜2009年收入近5億美元，今年達到15億美元。隨著科技的發展，用戶將不再刻意區分是傳統互聯網還是移動互聯網，通盤考慮安全需求與技術保證移動互聯網的安全，必然成為未來安全領域的熱點。