盡快完成教育App 排查備案

文/鄭先偉

近日，教育部辦公廳印發《教育移動互聯網應用程序備案管理辦法》的通知。通知要求所有目前正在使用中的教育移動App 在2019 年12 月1 日 至2020 年1 月31 日期間完成教育移動互聯網應用程序備案，并結合本單位的實際情況建立備案信息的動態更新機制，確保備案數據的完整性。若相關App 系統到2020 年2 月1 日還未完成ICP 備案和等級保護備案，App的備案信息將被撤銷并予以通報。建議學校管理員盡快排查自己學校使用的相關App，在要求的期限內完成備案，避免因未備案導致App 無法使用。

11 月，網站安全類的投訴事件數量較10 月有大幅提升，主要是因為接近年底，各大漏洞平臺集中處置之前遺留未及時處置的漏洞信息所導致的。各類勒索病毒依然是近期新增病毒中需要關注的重點。

近期新增嚴重漏洞評述：

2019 年10～11 月安全投訴事件統計

1.微軟例行的11 月安全更新修補了多個安全漏洞，涉及的系統及軟件包括Windows 系統 、IE 瀏覽器、EDGE 瀏覽器、Office 辦公軟件、Exchange Server、Visual Studio、開源軟件、ChakraCore、微軟開源軟件等。其中，Windows Hyper-V 遠程代碼執行漏洞（CVE-2019-0721）、IE 瀏覽器的引擎內存破壞漏洞（CVE-2019-1429）和Office Excel 遠程代碼執行漏洞（CVE-2019-1448），需要引起用戶的額外關注。用戶可以使用系統自帶的更新功能進行補丁更新。除補丁程序外，微軟還在本次更新中提供了Win10 v1909 版本的更新，對應的Win10 v1803 版本停止支持服務，使用該版本的用戶應該盡快將操作系統版本升級。

2.云存儲是云計算基礎上延伸和衍生發展出來的新概念，允許用戶通過移動App、網頁版程序、App 小程序（以下簡稱云存儲應用）等訪問云存儲數據。近期國內的安全研究機構發現大部分的云存儲應用由于配置不當，存在越權訪問和文件上傳漏洞，攻擊者利用上述漏洞，通過云存儲應用破解或網絡抓包獲得永久密鑰或臨時密鑰，從而實現對云存儲中的文件數據的篡改和竊取。目前漏洞的細節還未公布，但從相關研究組織對國內云存儲應用客戶端的抽樣數據來看，受影響的應用高達70%。建議云存儲應用開發者采用如下方式修復漏洞：

a)采用臨時簽名上傳文件的云存儲應用，可根據業務場景將服務端生成的臨時密鑰權限更新至最小，限定文件的上傳路徑和上傳的目標存儲桶，去除讀文件、列存儲桶、列對象、覆蓋文件等非業務必要權限。

b)采用永久密鑰簽名上傳文件的云存儲應用，可更新客戶端和服務端上傳邏輯，改為用最小權限的臨時密鑰方式或者 PUT方式進行上傳。

3.Apache Flink 是由Apache 軟件基金會開發的開源流處理框架，其核心是用Java和Scala編寫的分布式流數據流引擎。日前，Apache Flink 被披露存在遠程代碼執行漏洞。攻擊者可利用該漏洞在Apache Flink Dashboard 頁面中上傳任意Jar 包，利用Metasploit 在Apache Flink 服務器中執行任意代碼。目前，廠商尚未發布上述漏洞的修補程序。

安全提示

教育App 備案相關提示：

1.教育移動應用的備案分為提供者備案和使用者備案。提供者指的是公開使用的移動應用產品的開發者，使用者指的是使用相關應用的學校或機構。

2.提供者需完成相關移動應用的ICP 備案和等級保護備案后才可進行應用備案。提供者備案實行“一省備案，全國有效”。學校如果采購了外部的應用App，應該盡快督促應用提供方完成相關備案。

3.自主開發、自主選用和上級部門要求使用的教育移動應用均應進行使用者備案，使用者自主開發，服務于本單位內部管理且不對外單位提供服務的教育移動應用，應在使用者備案時勾選“自研自用”的選項，并提交提供者備案信息。