自從PC(Personal Computer，個人電腦)出現(xiàn)以來，人們經(jīng)歷了單機時代、局域網(wǎng)時代、互聯(lián)網(wǎng)時代，如今我們正在步入移動互聯(lián)網(wǎng)時代。同時，PC也經(jīng)歷了臺式機、一體機、筆記本電腦、掌上電腦、平板電腦，甚至如今的智能手機也具有了一定的電腦功能。智能移動終端與移動互聯(lián)網(wǎng)讓人們的工作、學(xué)習(xí)、生活更加的便捷，時間與空間的影響進(jìn)一步變得模糊。
那么這個移動的世界是否足夠安全呢?國內(nèi)知名密碼學(xué)應(yīng)用專家、信息安全專家王志海先生將在這里與您一同探索移動世界里的安全秘密。
讓安全變得更糟糕的移動互聯(lián)網(wǎng)
在王志海的記憶力，印象最為深刻的是2010年，在做一個移動警務(wù)的項目時發(fā)現(xiàn)，企業(yè)級移動互聯(lián)的需求開始顯露。同時隨著近年來蘋果等智能手機的風(fēng)行，也進(jìn)一步推動了移動互聯(lián)網(wǎng)的發(fā)展。
移動互聯(lián)網(wǎng)以互聯(lián)網(wǎng)為基礎(chǔ)，通過無線網(wǎng)絡(luò)實現(xiàn)移動智能終端與互聯(lián)網(wǎng)的聯(lián)通，在上運行各類移動應(yīng)用。互聯(lián)網(wǎng)、無線網(wǎng)絡(luò)、移動智能終端、移動應(yīng)用是構(gòu)成移動互聯(lián)網(wǎng)的四個關(guān)鍵要素。而作為移動互聯(lián)網(wǎng)基礎(chǔ)的互聯(lián)網(wǎng)存在著各類天然的安全缺陷，這些安全缺陷也在被移動互聯(lián)網(wǎng)所“繼承”。比如互聯(lián)網(wǎng)上IPv4協(xié)議所存在的安全缺陷，各類基于互聯(lián)網(wǎng)的安全攻擊，在移動互聯(lián)網(wǎng)上都同樣存在。而且某些安全缺陷還被移動互聯(lián)網(wǎng)所放大，比如，由于無線網(wǎng)絡(luò)沒有物理限制，具有發(fā)散性，網(wǎng)絡(luò)監(jiān)聽就愈發(fā)容易進(jìn)行。另外，數(shù)據(jù)泄密問題也被放大，智能移動終端的廣泛應(yīng)用加劇了數(shù)據(jù)的泄露途徑。
在移動時代，移動智能終端雖然在安全性上有了進(jìn)一步的加強，避免了某些PC終端病毒安全問題的襲擾，但總體而言，移動智能終端依然繼承了移動互聯(lián)網(wǎng)的安全缺陷。
移動互聯(lián)網(wǎng)在讓人們的生活變得更美好，也在讓安全變得更糟糕。
移動智能終端給移動互聯(lián)網(wǎng)帶來安全挑戰(zhàn)
移動智能終端是推進(jìn)移動互聯(lián)網(wǎng)世界快速發(fā)展的硬件基礎(chǔ)，但移動智能終端也在給移動互聯(lián)網(wǎng)帶來安全挑戰(zhàn)。
移動智能終端的移動性很強，比傳統(tǒng)手機功能更強、更靈活，這就使得越來越多的內(nèi)容會被放置到移動智能終端上，比如，個人私密信息、個人資費信息(手機流量等)、個人手機銀行賬號、個人通訊錄等，移動智能終端相當(dāng)于一個整合信息的載體。當(dāng)這些信息與PC整合在一起時，使得惡意攻擊者具有了更多有價值的目標(biāo)。另一方面，移動智能終端將PC功能整合進(jìn)來的同時，也具有了PC所攜帶的安全缺陷。隨著越來越多的應(yīng)用被用戶所使用，移動智能終端環(huán)境在變得愈加復(fù)雜。
移動智能終端的個體特征十分明顯，互聯(lián)網(wǎng)時代，個人與PC是割裂開來的，互聯(lián)網(wǎng)所具有的是公眾特性，而移動互聯(lián)網(wǎng)時代，個人移動智能終端在作為接入的主體，這使得移動互聯(lián)網(wǎng)更具有個人的特性，針對移動互聯(lián)網(wǎng)的安全威脅也更具特殊性。
云計算與BYOD
要想更加直觀的認(rèn)識移動世界里的安全秘密，那么來看看正被人們火熱關(guān)注的云計算與BYOD就十分有必要了。
云計算網(wǎng)絡(luò)里，作為云計算重要特性體現(xiàn)的移動智能終端，彷如一把雙刃劍，在讓人們體驗到云計算的強大之外，也在給云計算帶來額外的安全挑戰(zhàn)。
傳統(tǒng)虛擬化技術(shù)在移動終端比較難于應(yīng)用，所以現(xiàn)在大多采用APP的方式，這就要求終端更大的開放性，開放更多的資源。這意味著安全風(fēng)險在加劇，需要采取的安全防護(hù)也要加強。
移動智能終端的小型化，使其更依賴于云計算，與云計算之間的數(shù)據(jù)交互更多。比如醫(yī)院的電子病歷、電子CT片，這需要與云端進(jìn)行大數(shù)據(jù)量的安全問題。
另外，云計算對移動智能終端的管理也很麻煩。比如電子郵箱問題，通過移動終端登錄電子郵箱就無法進(jìn)行使用者的準(zhǔn)確定位。
許多行業(yè)用戶在實施移動信息化時，偏向于定制終端，或者集中采購移動終端，比如保險、銀行系統(tǒng)，就會采用定制化、統(tǒng)一采購的移動終端。但如果是辦公系統(tǒng)，如果用戶使用企業(yè)統(tǒng)一的移動終端進(jìn)行辦公，不僅增加了企業(yè)在移動信息化上費用的投入，還使得用戶所攜帶移動終端數(shù)量變得更多。所以，BYOD正在成為企業(yè)級移動信息化終端接入所采用的主要方式。個人移動設(shè)備開始頻繁接入企業(yè)重點包含的內(nèi)部網(wǎng)絡(luò)，企業(yè)內(nèi)部的機密數(shù)據(jù)在被個人移動設(shè)備讀取甚至存儲，移動信息化的安全性面臨考驗。
“平衡問題”對于移動信息安全至為重要，這里所說的“平衡問題”指的是BYOD設(shè)備自身的安全性與危險性之間的平衡。比如，企業(yè)對BYOD設(shè)備的管理，應(yīng)僅限于企業(yè)業(yè)務(wù)相關(guān)部分，盡量不要涉及個人信息部分，這就是移動終端管理意識的平衡問題。企業(yè)主要防止的是通過移動終端的入侵和通過移動終端的泄密。
消除移動世界里的安全隱患
移動世界里的安全問題很多，相應(yīng)的安全解決方案也不少。目前企業(yè)級的移動安全解決方案主要集中在移動終端設(shè)備管理和移動接入兩方面，移動終端設(shè)備的管理還比較簡單，移動接入也僅是基于連通方面，不夠深入，對于數(shù)據(jù)完整性等問題也還解決不到位。現(xiàn)在的移動接入主要是利用運營商的VPDN網(wǎng)絡(luò)，而VPDN本身就存在安全缺陷：VPDN主要是在基站到企業(yè)端構(gòu)建了安全通道，而手機接入基站時卻缺乏有效的安全防護(hù)。
一個有效的移動安全解決方案應(yīng)該包含接入安全、移動終端設(shè)備管理、數(shù)據(jù)安全三部分內(nèi)容。
1、接入安全：身份認(rèn)證、鏈路加密、終端安全。
2、移動終端設(shè)備管理：對設(shè)備狀態(tài)進(jìn)行管理，決定是否允許設(shè)備接入。
3、數(shù)據(jù)安全：數(shù)據(jù)僅能企業(yè)端進(jìn)行操作，移動終端不能對數(shù)據(jù)進(jìn)行操作。
現(xiàn)在某些國內(nèi)移動安全解決方案能夠?qū)σ苿咏K端上的數(shù)據(jù)痕跡進(jìn)行清理、清除操作，進(jìn)一步保護(hù)了移動終端上的數(shù)據(jù)安全。
用戶在選擇移動安全解決方案時需要從用戶自身業(yè)務(wù)需求出發(fā)：比如對于接入的嚴(yán)密程度、網(wǎng)絡(luò)的連通問題等需求。早期的移動警務(wù)應(yīng)用僅有查詢需求，所以就不需要考慮數(shù)據(jù)加密問題。另外用戶還需要了解相關(guān)技術(shù)，或者找尋專業(yè)安全廠商進(jìn)行咨詢。
最后需要一提的是，未來移動安全服務(wù)與解決方案的準(zhǔn)入與退出會面臨政策標(biāo)準(zhǔn)制定的問題。現(xiàn)在相關(guān)部門正在進(jìn)行標(biāo)準(zhǔn)和政策的制定，后繼還將成立相關(guān)的測評機構(gòu)。王志海認(rèn)為，在技術(shù)層面要能夠考慮移動接入安全、數(shù)據(jù)安全、移動設(shè)備管理等方面的問題。在政策方面要符合商密(國家商業(yè)密碼管理局)、等保的標(biāo)準(zhǔn)。行業(yè)性標(biāo)準(zhǔn)以及地方標(biāo)準(zhǔn)也很重要，但要能整合國家相關(guān)部門的標(biāo)準(zhǔn)。標(biāo)準(zhǔn)的制定最好盡可能的開放，廣泛征集各方意見，專業(yè)安全企業(yè)也要更多的參與進(jìn)來。
王志海 明朝萬達(dá)CEO
