您好， []|
移动开发者大会主题论坛：移动与云安全
腾讯科技讯 10月20日消息，移动开发者大会进入第二天日程，在今天的“移动开发者大会”上，举行主题论坛：移动与云安全。由CSDN和创新工场联合举办的“移动开发者大会”于-20日在国家会议中心举办。会上，移动互联领域的领军人物、知名应用创始人等将共论当下的机遇与挑战，寻找和解析突破之道。以下是主题论坛：移动与云安全实录：主持人 檀林：各位来宾下午好，我是这个论坛的主持人檀林，我是那云时代首席战略官，最近我们和加拿大投资机构在过么做加速器平台，这个平台在南京，希望有机会跟大家多交流，我们主要模式从海外请一些有早期高成长性、有核心技术在移动和云计算领域高科技公司，他们把知识产权公司通过我们加速器平台，在中国成立合资公司，这种方式扩展全球化业务。非常荣幸代表这次大会主办方CSTN和创新工厂联合举办2012年移动开发者大会向各位来宾表示感谢。今天下午专场主题在“移动与云安全”，安全实际在云计算领域里头它是一个非常关键的问题，具有17%预算在云计算领域跟安全相关的，参加移动安全来宾会对深入一些技术性、在安全方面特别移动安全的问题、解决方案都是有非常想深入跟我们专家进行讨论，今天请了五个演讲人，由三个来自国内。一位从加拿大过来、一位以色列过来，他们两位会围绕云安全、基础设施安全、BYOD安全做交流。第一位演讲人肖梓航，他代表安天实验室介绍Android软件的安全缺陷和开发策略，有请！肖梓航：大家好！我之前是在做安全，在开放者社区这边大家比较陌生，我叫肖梓航，我做移动反病毒和移动安全的开发，我们公司主要做移动反病毒的中间件。业余时间我创办网站，主要公益提供相关的安全资源和咨询，包括将来发自己的白皮书和报告的东西。今天主题，我们知道对于移动安全，主要面临两个问题，包括现在非常多的破解软件，我开发一个游戏被破解、游戏里的数据被篡改、植入新的广告里边，另外问题大家关注比较少的，就是我今天讲的内容，我认为可能是爆发点，这种并不是所有安全都遇到，比如用户数据泄露、用户账户被盗，或者服务器数据泄露、或者被攻击，这就是今天讲的主要话题。先讲到底有哪些风险，然后我们分析比较多目前真实存在的安全漏洞案例，最后试图探讨出现这样的问题原因何在，可能对我们开发者和公司造成什么影响。另外怎么从防护、应对讲一讲，第一从技术角度讲一下这些问题怎么解决？另外长远的建立安全机制。我们先看一下数据，这个是CVE数据，是全球性软件漏洞数据，现在CVE收录一般Android软件漏洞，这里边不包括操作系统的侵权漏洞，都是指普通的应用软件，我们可以看到2010年的时候非常少，基本三年下来是指数的增长。国外出现漏洞的企业包括了Google官方一些应用、包括主要的手机制造商像HTC、三星、摩托罗拉、等都已经有了。国内选择本土化平台乌云，这里同时统计LOS情况，09年和10年Android都是零增长，12年IOS到了24个，Android漏洞是58个，这个月底会在我自己网站发详细的分析报告，中间我过滤虽然有上报但是不认为安全漏洞的，实际在乌云上边存在比这个数据多一些。下面是国内出现漏洞的企业，我们可以看到国内互联网前几个，包括传统的企业前几名都有这样的安全漏洞，当然这里存在这样一个问题，关于安全风险是不是安全漏洞问题上，有一个判断标准不一致的问题，作为安全工作者上报漏洞企业认为不是问题否认了，我这里标准从安全工作者角度来看认为是漏洞有这么多。前面是大概的情况，我们看具体的例子。我根据风险产生的原因和后顾做了简单的分类。我们看一下比如储存的问题，在Android上可以把数据存在内部、也可以存在外部，有很多人忽略一点SD卡全球可以读写，如果你把一些数据放在SD卡，其他SD卡可以读、可以写、可以删掉的。最普遍我们知道手机备份软件，可以把你通讯录、短信、软件信息都备份SD卡上边，但是今年5月份之前国内都是SD卡上，只要你备份一次，攻击者可以通过恶意代码把这些东西全部读到，这个也不需要齐全。我说备份软件直接把SIID备份SD上，另外大量社交软件，包括这里语音聊天工具，把语音记录全部保存在SD卡上。另外存在内部的问题，我们知道Android有一些安全机制控制权限，其他软件默认情况下不能读取的，入者在Android上，尤其国内这个非常普遍的，Android2.1、2.2、2.3都可以成功拿到权限漏洞，恶意者拿到权限完全不需要用户交互，另外一方面用户经常选择Root功能，包括第三方出的Root接口暴露出来，攻击者并不保障每个手机都有Root，他拿到之后可以拿到存在手机里的数据。我们开发把密码保存内部非常危险的，包括我们抓了移动开发者官方APP，也是把密码直接存在内部。这个是Google钱包的问题，这个在国内行业不能用，第一版出来需要填个人信息，这些信息直接明文存在本地，拿到以后按照美国当地信用卡管理方法，通过姓名、卡的后四位、住址完全可以拿到信用卡访问权限，比较敏感的个人数据也不应该明文保留本地。传输问题比较简单的，这是国内聊天软件，在登录的时候直接明文，而且明文的时候会把账号和密码直接作为参数走APP对话，这种攻击发生在这样几个情况下。实际上目前wifi环境非常糟糕，有大量的用户走wifi上网，包括我们在机场、咖啡厅，这些wifi有一些可以监听广播，所有通讯可以拿到收听软件拿到。另外一种有钓鱼的Wifi，某一天去星巴克，看到一个无线不需要密码，通过不安全的方式走明文传输。我打算做一个实验，开一个钓鱼的Wifi看看能看到什么东西。除了直接账号密码泄露之外，还有比较复杂的攻击，比如劫持会话，右边是黑客工具，在网上已经叫卖了，这个工具宣称在加密网络劫持下面网站的登录密码，包括Facebook、Twitter、Amazon等。还有一个绵羊的黑客工具，攻击验证的工具，这种也是走明文传输会话遇到的问题，就算不传输账号密码也会出现这样的问题。除了数据储存和传输以外，我们代码处理来自用户数据、来自网络数据还会有一些传统开发中间出现的问题，我们验证数据的有效性。左边是二维码扫描软件，如果构造恶意的二维码给它，它直接解析，左边出来本地储存文件出来了。我们再看一下数据验证的问题，这个例子比较独特，但是很有意思，我去推进另一个软件，比如我们公司开发五个软件，然后每个软件里边推荐用户其他四个软件，下载回来放在SD卡提醒用户安装，但是我们安装存在SD卡文件之前有没有想过验证这个东西是不是有效、是不是合法？你存在SD卡所有东西都可以改，我做一些实验，把原来软件加了恶意代码进去，照样按原来策略提醒用户安装，最后可以看到我植入代码运行起来了。刚才两个数据验证都是用户手机里边出问题，还有导致服务器出问题，我没有把怎么运用漏洞截图拿出来，很多软件有问题反馈功能，标准的问题反馈用户如果遇到问题，进界面第一行邮件，第二遇到什么问题，这个例子在Email构造代码，最后结果拿到客服后台管理人权限，可以处理企业的客服事务。登陆认证上边还有一些策略上的问题，比如左边这个例子，用户发起访问采用MEI手机序列号做手机凭据，甚至注册都不用注册，但是仅仅用这样作为用户凭据，可以伪造的。也可以在它手机加恶意软件做，或者把你软件重新打包还原这个过程。我们刚才提到明文传输肯定有问题的。最常见的情况是大家使用自己签名的生成证书，而不是SSL申请权威证书，保证通讯加密，但是客户端一定验证这个服务器证书是不是真的这个证书，如果没有验证服务器发来证书是已知合法证书，可以造成攻击人攻击。如果服务器不验证客户端也会产生非法访问。刚才提到所有问题全是除了Android和IOS平台以外，这是Android独有的问题组件暴露，我们知道Android里有四个组件，这四种组件在默认情况下，很多时候可以被其他软件调用的。我们看一个例子，响应一个，我用四行代码就可以调用，这个组件暴露所有人，所有攻击者可以调用，这一段是输出系统调试信息，把数据储存SD卡某一个位置，任意软件可以读取这个程序。这个问题解决很简单，加一个组件不暴露就可以解决，当然有的组件就是暴露、或者跨应用，这个问题非常普遍的。大概这个月初出现一个漏洞，三星、摩托罗拉等出现了，访问一个wifi就可以把手机所有的东西访问掉了，原理很简单就是有一个暴露，导致你收到一个短信手机整个暴露了。还有细节的东西，比如说像这个地方Logcat非常好的东西，这里也是把wifi账号密码全部出来了，还一些可以记录键盘的，恶意代码要用的还是蛮明显的，这个上边就有争议，你的某个软件输入账号密码的时候，别人可以拿键盘记录拿到，哪些厂商呼应说不是我们的问题，是Android的问题。既然跟个人金融账号相关的，我认为这样的企业本身应该想尽办法弥补、防止导致个人账号泄露的问题出现，现在支付软件客户端自己实现虚拟客户端做记录。下面是密码学算法不当的问题，这里可逆编码、弱哈希算法，在我们大学学过像MD5不可逆，但是我们可以破解，目前用云计算、网格计算、GPO加速把用户弱密码一次算完，算完通过网络查询，我拿到哈希值可以在网络里边筛出来。包括自己定义安全算法，这种时间比较糟糕的，早期Google在预装Android所有软件，这些软件早期使用Google自己定义的登陆算法，这个算法设计很严格，偏偏第一步允许某一个参数控制它传输明文的，第一个明文后边全部加密没用，那个时候还没有Android2.3，Google会话全部劫持，攻击者可以拿到邮件和日程表，但是因为Android在国内没有普及很少有人知道。还有用弱密码或者把密码编码代码里边去。前面提到是案例。我们看一下可能带来的问题，出现这么多的问题，我认为第一个原因没有觉得这些问题是问题，我们没有觉得这样写有这样的漏洞会有多大问题。第二个真正写出比较安全的代码，还是比较多的支持和经验，比如对系统安全机制做了解，另外了解攻击者不能做什么、能做什么，我们要知道他的能力所在，才知道要防到哪一步。最后碰到我们问题，我们认为是安全漏洞的，开发团队认为这个不是，这个上边不止之间要做努力，在国家层面或者第三方组织上边应该做一些努力出一些标准。目前有OWSP安全组织已经形成标准的草稿，这个草稿比较全面。我们再看一下这个出现问题，这些问题目前来看还没有出现真的漏洞大的攻击，但是我们可以分析一下将来出现攻击的可能性，我们认为攻击者发起攻击需要四个方面的因素，第一需要工具、第二需要方法、第三需要知道怎么用这些漏洞、最后找漏洞、用漏洞发起攻击是盈利的问题，目前情况来看前面三个已经完全OK了，现在代码调试、网络分析立项工具非常成熟，挖掘漏洞的方法也不是问题、利用技术也已经不是秘密，刚才提到这些漏洞怎么用，现在国内看不明朗的问题地下产业链成熟到把个人数据变现的能力，OE代码目前做软件推广、恶意扣费等能力。从用户角度来看会遇到应用上边使用的个人数据和个人账户被盗，从企业角度来看除了一些情况后台系统以外，最主要的两个问题，第一发生攻击以后责任应该由企业提供的，包括用户这边法律上的问题，有可能遇到国家监管部门的问题，另外一旦发生这种事件，企业形象本身是很大的损失，像Facebook和Google出现漏洞就是企业信用的危机。我们简单看一下怎么解决？比如储存的问题，很多外部数据可以存到内部的，如果数据量非常大存在外部一定做两个事情，第一验证是不是完整，保证别人篡改，第二加密，防止别人读取出来。在今年上半年工作看，国内很多备份软件已经开始采用加密保存方式。内部储存首先考虑是不是存用户隐私数据的方法，现在有不保存用户登陆方法，可能带来新的问题，用户体验很糟。好的机制不存用户代码、存临时的凭证只有24小时，用户两天之后再登陆可能要求重新登陆密码，如果你的账号密码涉及用户很多资料，这个确实需要注意，就算牺牲我认为也是值得的，还有内存取证，Android4.2系统在这方面做了比较好的改进。数据传输的话我们用SSL做加密，我们注意“证书锁定”。像用户数据验证，一定分析清楚，像数据的来源和代码的来源，这个代码指可信性代码，要验证它是不是完整？是不是可信人发过来？格式是不是畸形、对必要的过滤。组件间通信，组件暴露带来数据泄露，这个话题我觉得可以讲两个钟头，我只讲一个简单的原则，从大的思路来看组件暴露最小化，如果必须暴露就是两个软件需要跨应用协作，一定设置访问组件的权限，另外要对暴露组件代码检查，像这种攻击和防护，大家可以看一下最近两年在会议都有一篇讨论这个问题。在密码与认证上边，很多问题一定缓冲用户登陆的话，可以用系统的设置菜单个人账户，那个地方允许自己公司用户账户做进去的，另外像自定义算法，我们可以向PC学习，密码学是普遍存在的一个问题，实际PC和网络编成比较好的事件。最后想简单讨论一下，不是从技术角度，从企业整体安全开发和运营角度看一下，怎么样把我们软件做的尽量减少这种问题。我们完全可以像传统厂商学习，传统厂商里边至少感觉到遇到问题最多是，微软Windows系统被攻击者利用漏洞攻击最多一个，他的方法从整个开发角度，在某一步把安全需求加进去，包括需求设计考虑可能遇到哪些安全问题，创建相应的标尺，在设计阶段做威胁建模和攻击方法的分析，代码实现做测试，发布做运营的安全。最重要我们发现和传统软件开发模式相比，多了两个步骤，第一个安全培训，我的关键确实有必要，非常多的知识我认为开发者没有时间专门学习，又需要了解的，这个时候认为培训是比较好的途径，最后加响应。目前来看如果已经有很多软件已经上线，还是有很多方法发现这个问题，包括安全测试、代码审计，漏洞挖掘、渗透测试。从整个企业建设角度来看，我认为最重要不是方法，而是知识和意识，在系统安全、网络安全、软件安全非常广的角度，在信息安全领域已经发展非常好了，但是我始终认为移动开发进行40年信息安全相比是很新的领域，这个领域有很多新出现的公司，这个公司花很长时间开发，这些积累还是需要重视。另一个问题安全木桶原则，从你设计开发、系统部署、系统运维、产品运维，这些问题都得考虑。所以总结来看，现在漏洞很多，发起针对漏洞的攻击很容易，如果发生这样的攻击后果很严重，现在没有出现，我预计未来半年到一年会有一个爆发。应对的话主要认识和重视上的问题，需要我们共同努力规范这些问题怎么样认定、怎么解决，技术方法上大部分已经成熟了，另外需要全方位的实践。最后做一个小广告，前边用的图片和案例是乌云平台和几个公司提供的，另外所有关于移动安全的知识和资源都可以在我的网站找到，这个网站刚刚创办只有几个月，但是会持续更新，谢谢大家！主持人 檀林：非常感谢肖梓航的精彩演讲。提问：刚才介绍证书，在用传统证书方式已经不行了。肖梓航：不是说不行，在安全上有这样原则，尽可能做小的问题，我们传统证书体系最大应用微博，比如我用支付宝或者网银，浏览器判断对方可信的，但是浏览器并不知道对方访问哪些网站，由于CA决定，目前移动开发这一块不需要了，移动开发做的更小，我们开发软件和指定服务器进行通信，这个软件永远知道它跟谁通信，可以把证书纲要或者指纹写软件里边要求验证，还有一个问题大部分是快速发布小周期敏捷开发的方式，你花钱申请一个证书没有必要，大部分自己生成一个证书，如果自己生成证书没有验证完全可以遭受中间人攻击。CA是不是一定可信？过去两年至少有三次CA认证书失窃，但是都出现在国外。提问：我有一个问题现在很多公司推出多客户端，客户端之间做账户信息的共享，你觉得这个上边最大安全风险是什么？肖梓航：多客户端账户数据共享，这点我的建议是这样的，如果你数据量不大的话你走服务器共享，如果数据量不大比如威信积攒数据特别多，建议你给用户临时的数字证书，用这个证书把数据加密让他走其他方式恢复、迁移，但是要注意证书本身做好安全，尽量做到你的数据一定与在线账户关联上，并且保证最后安全问题做统一控制。主持人 檀林：谢谢肖梓航。下面我们请到一位刚刚飞到13小时从加拿大友人，给大家做第二个主题演讲关于云端数据加密和密钥的管理，下面有请Afore Solutions创始人和CEO Alex Berlin，有请。Alex Berlin：大家下午好！我非常高兴到这里来，非常高兴邀请我参加今天会议，我今天想讲云安全话题。云安全和移动安全是两个不同的话题，但是他们是彼此联系。虚拟化情况下数据是到处移动的，因此数据安全是大家都关注的，特别是企业也看到，很多时候在保护敏感数据方面经常会面临一些问题，在虚拟化环境当中保护数据对他们非常大的问题。我是AF创始人和CEO。首先简要介绍一下我们公司Afore Solutions，我们是在渥太华，主要提供云环境下数据保护解决方案，我们公司主要提供解决方案进行数据加密的保护，包括数据安全、还有数据移动的保护，从2009年我们就有对移动数据的保护，是由SAN提供的，今年几个月之前我们开发另外一种解决方案，让我们在云环境下、虚拟环境下更好保护数据，我们还有一个产品可以帮助客户在托管应用环境下保护数据安全。接下来给大家讲一下，我们现在所面临的挑战，特别是在虚拟环境下保护信息方面我们面临挑战。云发展特别快，虚拟化环境发展也非常快，那么现在可以看到每年虚拟应用发展都特别快，很多企业都在利用虚拟环境和云计算，我并不是特别清楚中国环境，但是我知道现在有很多的大型数据中心来服务于云计算，全球可以说云计算技术发展非常快，毫无疑问中国也是如此，保护数据就变着非常重要了。特别是对于很多企业来说，保护敏感数据就显着更加重要，另外传统的数据保护的方法有限制的，而且成本也很高，很难保护你的敏感数据，说到云环境下虚拟数据，因为数据到处移动传统周边保护不够，我们必须开发新的方法进行数据保护，不管这个数据流向哪里、不管这个数据储存到什么地方，都能对数据进行保护。另外在这个数据加密方面，有的时候数据加密也会产生很多问题，比如有的时候可能影响公司生意和形象，因为它很多数据都加密了，还会影响公司的品牌、影响IP，数据因为每天都是移动的，比如我们会议讲数据的移动性，移动性有的时候会改变我们企业情况，每天都会让企业发生变化，我们看一下关于数据安全方面的研究，可以看到终端用户实际上在数据保护链条上最弱的，另外我们需要在VDI更好保护数据，虚拟应用和应用身上更好保护数据，对我们来说云环境下如何保护数据，想给大家介绍一下我们体验，我们主要北美和西欧有很多案例，在月环境下、虚拟环境下安全的特点，就是云多租户的特性。也就是云环境是共享的，有多个租户、而且有不同云的情况，我们需要用加密方法保护数据，同时保证多层的力度，数据保护达到一定力度，而且它的数据应该有一致性，数据持有人能够有全部的控制权，我们能够安全控制措施，完全安全控制必须放在数据持有人手里，才能真正达到我们需要的安全访问数据。接下来我给大家讲的关于基于云的储存，基于云的储存一定下一代储存方式，我们就会遇到安全问题，在云环境当中租户都有自己虚拟机在主机上运行，每个人都分类物理储存器，物理储存器也是只属于一个用户拥有的。这些租户共享虚拟完全一个，而且都是在一个物理机运行，数据没有办法得到切实保护，意味着共享环境数据受到非法的访问，对于我们来说达到法规的标准，会产生风险和问题是什么？比如有些人可能使用传统的加密方法，就把这种方法放在多租户环境当中，多租户也要达到加密合规才能保护每个租户的数据，这样情况下这样解决方式并不是有效的，或者成本非常昂贵的，因为通过这种方式对每个多租户做硬件分配，而且成本就上来了。面对这些问题我给大家推出一些解决方案，这种解决方案是Afore Solutions架构的解决方案，它通过图形加密保护数据，这是通用的做法，它非常适用于多租户环境。在这个产品当中100%软件产品放在不同虚拟环境使用，不管架构什么样，而且基于BIY环境使用，其实在2007年获得关于数据保护方面的金奖，这个对于我们来说，在颁奖的晚会其实是北美最大的虚拟化大会，大家看到安全网管，这个网管由黄色的图片表示，然后在左边大家能看到用户位置、企业机，云里边是多租户云，可以公有云供应商、也可以私有云供应商，在这样场景下你可能完全保护用户数据，因为其中有这样的软件应用，这个软件应用叫做虚拟储存应用，多租户云当中发挥作用，在这当中怎么保护数据？数据首先由终端用户以及虚拟机产生的，这些虚拟机写在磁盘上，同时提供安全监测，监测不同企业之间或者云之间沟通和对话，这样在他们对话当中不会被劫持。还有一点就是密钥，密钥必须得由企业掌握，因为我们知道如果这个云受到恶意攻击，这样密钥就会被破解。密钥绝对不能放在云端，必须放在企业手里，就好像是一个保险箱。再给大家介绍一下我们解决方案如何在高端云环境当中使用的，主要介绍一个VSA案例。一个用户都有自己的工作量，主要托管同样的主机上，这样主机同时也是储存数据创，经济上很核算，如果我们提供公共云，有效使用数据中心基础架构，大家现在看到我给每一个住户都做数据储存，然后住户对他们安全储存是有绝对控制权和访问权的。CLOUDLINK给企业级用户提供可能，这些企业级希望使用多云环境，比如VMI公司，都在使用CLOUDLINK相应等级的云安全的需要。也是最大的公有云供应商之一，所以我们架构让企业级用户使用多个环境，比如一个企业可以有不同的部门，每个部门数据都放在一个云上，按照自己的需要使用，你做测试工作也处在安全当中。我们如何支持多云之间的交流，加密的密钥一定放在企业手里，我们有这样的能力已经可以为我们企业及用户管理他们的密钥，储存他们的密钥，而且按照标准微软AB方式储存他们密钥。对于有些公司如果想使用更加复杂的密钥管理系统或者解决方案，可以为他们提供多云的解决方案，一个解决方案是ISA。这是给大家讲的另外例子，也是基于云的储存，它是关于终端用户敏感信息的保护，尤其在多住户环境当中，很显然大家都面临这样的挑战，我们知道大家都在谈应用、都在谈移动，在整个中国移动()开发者大会上，大家都在谈应用，我们每天暴露这些漏洞和攻击可能下，有很多恶意软件可以渗透企业级用户那里，最后可能产生什么样结果？可能会产生安全战争。最近我们发布一款产品是CX，是安全虚拟云器，提供前所未有高级别的数据保护方式，尤其移动或者虚拟环境当中，这里边使用非常复杂的技术，以便提供不同层级的托管权限，如果想访问这个数据必须保护这个数据，不管数据在哪里，起码显示出来托管数据身份、托管成分、托管虚拟机只有三个条件都满足才能进行访问。CLOUDLINK第一代主要保护基于office的数据，在这个案例下安全保护或者管理，主要针对企业级用户的，在这个方面没有任何改变，因为我们相信最基本一点就是加密钥匙，以及安全策略，必须由企业级用户持有的，当然加密的密钥放松CLOUDLINK这一段，就会产生虚拟容器。CK能够实现什么？首先能够提供一致性的加密尤其保护敏感数据，在传统环境当中如果你加密一个数据，如果离开这个数据中心外围环境的话，就失去管理密钥的能力或者失控制的能力，这就是用户的数据，不管数据在哪里都要得到安全的保护。在管理策略方面我们必须达到一定的力度，这是什么意思？从机器设备以及使用者、应用三者连通起来，只有当三者数据都满足才能真正满足这些数据，托管机器、托管用户、托管技术必须同时满足，达到这样高级别力度数据可以得到很好的保护，而且可以随意选择什么样用户有什么权限、可以访问什么样级别数据。另外一个朴实性，环境每天都在变，总是有新的环境，之前提到MY、亚马逊、微软大力推动，还有思杰等公司，最近我得到一个文章，说在代码方面成为最大的，也非常高兴看到在中国有很多的公有云，在开发者社区方面我们对公有云有很大的兴趣。朴实性指适合于任何云，另外涉及安全的问题就会涉及保护的策略，有的时候要进行保护的话，必须有很好的跟踪，同时应该有关于安全信息审计的日志。最开始关注基于微软的环境，我们也是最开始从微软环境开始考虑的，现在希望我们技术也可以应用于W8移动设备，以及正在开发测试的设备，总的来说持续的加密可以帮助我们保护敏感信息，比如用平板电脑连接企业内网，这个时候需要安全的防护，他们机器就是平板电脑，如果访问值得信任应用的话，它的电脑也就会形成值得信任的平板电脑。这样乐观话用户可以在多个环境下使用这些数据，有的时候可能就不需要再进行重新的登陆和注册。最后总结一下，我想强调一下，根据我们云客户互动和沟通，还有我们产品部署、以及我们案例总结到经验是什么？我们认为敏感数据、敏感信息加密对于云以及移动安全来说非常重要的，最复杂应该是密钥的管理还有现任政策的管理，同时我们也要确保可以更好保护他们数据，政府部门、金融机构、医疗提供商或者军事机构都需要非常复杂的虚拟保护。领域我们确保公有云和私有云安全性，除此之外确保密钥的安全性，同时对密钥使用和管理，应该是在数据所有人那里，而不是提供商那里。除此之外应该对静态和活跃数据进行全面保护，另外就是值得信任的一个应用，还有对游戏相关的数据进行更好的保护，在云环境以及移动安全环境下进行更多的保护，这些就是我全部的发言。提问：谢谢，我有一个问题，在多租户系统将密钥管理放在客户端很安全，如果是储存不知道数据语意什么，他提供索引等功能无从谈起，比如将加密后数据传进去，从储存获取搜索其他功能简直不可能，这方面安全和功能性平衡怎么考虑的？Alex Berlin：非常好的问题，因为这个加密确实在用户方面有一些限制，你刚才讲到多租户储存的环境，对于我们部署来说最常见的例子，中型以及大型企业并不是以用户、消费者中心这样的环境，其中有一个应用应该非常流行、非常普遍，就是人们所说安全灾难恢复，我们假设一下，如果有一个企业环境是透明的，比如说企业内部可以使用这些应用，我们在内部可以创建应用灾难恢复，比如说在北美还有很多时候这是必须的，因为有的时候确实出现这样的灾难问题，无法进行恢复，如果把服务器放在储存地方，但是不在控制之下，比如第三方数据中心那里，即使把服务器托管在那里，但是依然有漏洞的，因为如果托管第三方用的是一个共享的储存架构，我们解决方案是什么，我们使用是未知的应用？因为在虚拟环境下，虚拟机比如储机应用以同样的方式进行，因为数据得到加密，只有在实际储存环境下才会得到加密，因此在这里我们并不会对应用有太多的影响。提问：我有一个关于AWS问题，我也得到AWS服务白皮书，他们有一些EC2事件，他们也是开始考虑多租户共享的问题，对于这样一种解决方案和WS相比，特别安全方面我们优势在哪里？Alex Berlin：在说到亚马逊应用服务，可以说最近亚马逊最近提出加密的选择，如果你信任亚马逊，比如你想加密你的数据，需要在亚马逊云内部加密你的数据，亚马逊会对我们加密工具进行控制，如果你的企业环境，比如首席安全官觉得没有问题的话，如果他觉得可以信任我们公司这个数据，亚马逊没有对这个数据进行控制可能也没有问题，对于我们情况不一样，我们希望企业对这个密钥进行控制，不是依赖于公共云提供商确保，主要因为40%安全问题由于用户使用错误造成的，并不是恶意的，很多时候不是恶意问题只是用错的问题，主要云的运营商使用出现问题，如果你企业环境是敏感的环境，并不是建议所有信息都必须保护和加密，在我们企业应用当中比如必须保护我们数据的话，但是企业又不能进行自己保护，就不能让这个数据不保护了，而且你又不想公共云提供商为你保护，亚马逊就无法帮助你，可以亚马逊购买虚拟云的产品，我们也可以利用云环境储存数据，委托我们对这个数据进行加密、保护，如果希望离开这个云的话，人们会发现在云当中，如果决定进入这个云是挑战，有时候需要离开云也是很大的问题，因为不知道这个数据是否得到完全删除，可以说加密是非常好的一种方法，它可以确保你的数据得到很好的储存，因为你加上密钥数据完全在你控制之内，可以进行删除和使用，相当于把储存盘毁掉一样。主持人 檀林：下面请明朝万达董事长王志海给大家演讲，主题是“企业级移动安全技术框架解析”，欢迎！王志海：大家下午好！感谢主办方、感谢各位能够有这个机会跟大家分享企业级安全技术。以前大家说到移动开发，感受最深或最多是面向个人或者娱乐、交友等应用，在企业级移动应用技术领域里边，甚至比我们3G时代个人应用走的更早，大约十年前开始起步，在这个过程中我们明朝万达有幸跟进移动应用发展过程，今天主要简单跟大家分享一下，我们在这个过程中看到和目前针对企业级移动安全思路和防御的框架。今天我的内容会分成四大部分讲。一、第一部分企业级移动发展历程及现状。基于2G、GPS应用还在使用，但是逐步被3G取代，像所有街头巡警应用都是面向我们机构应用，当时主要以短信为主、还有少量的基于查询，比如户籍查询，以前看到身份证查罪犯这个人犯罪信息，主要基于单项查询，3G时代企业级应用非常蓬勃了，我们判断还是百花齐放，这个应用典型OA为主，把以前企业OA移植移动应用，第二是邮件，在IOS和Android系统企业邮件应用非常多，再有其他跟企业和机构紧密在一起，比如保险业移动展业、银行卡可能现场客户开卡或者交互业务，还有证券公司马上开放、开户的业务，3G时代应用已经快速增长。用户对视频和储存需求很强烈的，目前3G网络稳定性和梳理还存在问题，最典型在“平安城市”里边，现在部署摄象头很多是有线部署，成本非常高、维护非常不方便，目前对视频需求非常高，目前3G网络还是一个瓶颈，企业希望通过移动网络随时随地获取企业里边的文件等这些信息，但是目前3G网络对视频培训交互还存在一些瓶颈，总体来说企业级应用发展非常快速的，我看这两天关注我们会议，在安全机制，恶意木马可能会把本地其他应用软件拿来，这也是企业级用户关注的，手机端会不会成为一个问题。在这些问题下边其实有几个大的方面考虑：技术风险、BYOD，个人手持设备参与企业办公，比如防止数据拷出去，比如这个手机是我个人的，个人拍了很多视频，在家里电脑备份了，BYOD是管理边界的问题，怎么把边界明确定义，定义只管企业所属的应用和数据，之外不能干涉。用户采用什么措施是另外的问题。最后政策合规性的问题，中国从密码政策来说，企业在政策合规性会有的，我们最多采用加密措施，这时候需要密码局算法，有时候会提高我们成本，因为设备是专供的。另外还有几个问题，因为在其他企业应用中非常注重审计和追溯，比如你做过什么事情，任何应用操作都要求有审计，可能在个人移动应用不会考虑太多，还有数据交互的安全，通过网络或者外设交互的安全。还有用户缺乏安全意识，特别是手机丢失率非常高，一旦做企业应用安全意识可能提高。我们认为在技术来看，整个企业级移动应用信用安全风险，个人开发者日常工作中可能跟开发比较相关的领域，比如接wifi，银行ATM机采用无线方式，关注接入3G基站是不是可信的，在我们应用开发。身份安全、传输安全、储存安全、终端安全。三、企业级移动安全技术框架企业级应用涉及很多BYOD问题，在中国目前大部分政府和国企大部分买手机，这里BYOD很少存在，但是依然存在。之前我们知道我们国家特殊部门发保密手机，但是这个保密手机基本没人用，一个手机只能单位通信，一旦丢掉责任非常大，所以一下班就会锁起来，企业应用不是这样子，这里就有BYOD问题。有些企业他会开发力量比较强或者委托开发，他专门的应用和相关的配套比较全面，另外有的企业应用比较弱，必须使用第三方的阅读器，除了身份安全、传输安全、终端安全，我们应该给企业级应用整套SDK，这套SDK跟平常开发过程中提供SDK，或者针对Android习惯一样的，基础上覆盖比如身份认证技术、数据加密技术、阅读浏览器、图文本应用等，对企业级应用提供安全的支撑。1、在企业级所有信息化过程中，首先面临问题身份认证的问题，很多用邮件、口令就行了，但是企业级对这些问题关注比较多，总体来说围绕移动应用过程中，我们总结几种：首先口令，现在最常用的，对用户来说存在很多问题，第一绕口令的问题，最近发生很多泄密的事件，13456最常用的密码，企业级应用目标非常明确的，另外价值远远高，我们做了很多应用。现在都是互派间谍，到里边偷数据，还有非常简单邮件，破解邮件的软件一大堆，某个公司老总的邮件很容易得到，用破解的软件一下把邮件获取到了。在个人移动应用不可想象的事情，在企业级应用中很难发生的事情，再有一个拖库。口令是对称的方式，必然某种形式存在服务器端，有些程序员偷懒做的很简单，所以破解起来很容易，基本在企业级应用用户很难接触单纯口令作为认证方式。第二是短信的随机码，一旦登陆生成短信发到手机上，PC好，但在移动应用中，同时在手机输入，又发到发到这个手机上，现在安全性比较脆弱的。第三种方式在企业级应用比较多输证书的方式，采用非对称认证方式，认证钥匙掌握个人手中，存在服务器公钥，在这个过程中输证书相对安全，会比口令和短信随机码安全，也是中国大部分企业级应用采用的方式，目前技术已经支持，输证书加隐秘，传统攻击内存里边，密钥可能很长保存很好，如果你还是计算机内存，通过监控这个线占用时间就可以获取。在移动设备上一般情况下不存在这种问题，如果这个设备用录的方式或者越狱方式就不行。硬件方式就是SDK，最早我们在SM卡加公司钥兑，目前用SDK。IOS非常封闭，目前我们看到趋势，用户来看很多愿意采用硬件证书，Android厂商占很大的便宜。企业级移动应用跟我们开发个人移动应用有很大的不同，比如Windows域很常用，一个账号在所有应用统一账号，统一账号像Windows用户、CA、甚至有的用户跟本身的应用，我们知道一些OA用户希望原有OA集成一起，这是我们做企业应用开发面临的问题。可能企业应用用USP做认证，在移动设备可能采用不同的方式，甚至不同级别的人员采用方式不一样，要求你认证技术、认证方式有不同的应用，比如企业有财务系统、OA系统，希望一个账户登陆有不同的权限管理体系，这在我们个人移动开发可能都不会考虑这些问题。2、企业级移动应用传输安全。在企业级应用中几个方面：第一建立通道，企业级应用不愿意直接暴露公网；第二传输加密，防止网络窃听等问题；第三网络控制，内网可能很多应用需要访问控制。这些问题比较成熟的技术，移动过程中有几个问题需要大家注意和解决的问题。以前很多企业级应用用虚拟网卡实现，手机如果没有破解，其实虚拟网卡建立不起来，这时候必须走代理的方式或者SOL代理方式。还有国家加密算法的问题。3、企业级移动应用数据储存安全。访问控制的问题，比如邮件收下来手机端就有了，你每次打开应用甚至这个手机处于休眠状态唤醒的时候，都要输入用户密码，防止丢掉，跟刚才说的身份认证结合起来。还有企业级数据谁能用，可能控制非我信任手机上装的应用都不能调用这个应用。还有储存加密，在企业应用中为了安全，比如手机丢失或者木马比较好的方式加密，通过在手机里边构建虚拟的文件层，对所有调动接口数据和企业级应用都进行加密，来达到其他木马没有授权，调用这个数据调用不了，如果丢掉访问措施可以使这个手机不能用。这里边有几个问题？密钥问题，密钥一旦丢失带来怎么恢复的问题。还有加密效率的问题，很多企业如果用加密算法经常用SDK算法，怎么在里边取折中，有文件和数据库加密这些都需要考虑的。最后作为企业提到，我丢掉把数据清楚掉，一旦打开企业应用就把数据删除掉，这也是一个问题。4、终端安全管理企业经常会对终端本身状态需要有要求，很多发烧友愿意把数据越狱，一旦越狱手机可能通过禁止企业应用，还有网络边界的问题，因为有木马摆渡情况，连接企业内部网络同时和互联网连接的话，这时候不断偷数据，一旦介入企业内网希望把互联网断掉，还有软件安全的问题，希望你装哪些软件才能用，比如装病毒软件才能使用。还有位置检测，像海关报关员，如果出了海关范围内应用就不允许连进来，类似这种位置监测，包括快递公司。快递员就在海淀跑，但是跑到朝阳和东城，说明你的应用不允许介入进来，这些是位置监测控制在里边。还有设备控制，甚至有的用户提出来只能通过移动网络接，wifi不允许你接入的，类似控制设备的情况都有。四、企业级移动应用演进趋势目前处于初试阶段，接下来会跟未知、方向感知移动特点整合一起，这些移动特点对企业政府效率提高更大的意义。第二个阶段结合我们支付、视频交互等现场业务处理，在企业移动应用中越来越多，因为会把这种效率极大的提高。第三阶段移动云储存，因为移动本身跟云计算特别储存方面有天然的结合点，现在很多用户已经思考这个问题。今天我简单讲这些。主持人 檀林：非常感谢王总的精彩演讲，接下来是提问时间。提问：有没有一些例子分享一下？王志海：我分享中信银行信用卡中心，他从去年已经做现场信用卡开卡服务，最早走的3G网络，因为他考虑安全性，最早为了安全性找三家厂商定制片，定制片因为量不大，几千台就不错，质量就成问题，因为把所有外口端口切除掉，选用通用的移动设备，就要考虑介入问题、还要专门开发移动应用，跟一些刷卡器刷卡的设备通用结合，因为是用SM系统，客户管理系统有很多数据落到本地需要加密，最终采用的方案是SDK本地加密整套方案做。主持人 檀林：谢谢王总。接下来一位演讲嘉宾是Anthony Turco先生，有请！Anthony Turco：非常感谢，我们刚才讲到确保移动设备的安全性，讲到了加密这些问题，其实是一个个人设备，现在它已经不再一个非常单一的工具，因为我们在全球有销售、全球都有客户。我们发现在工作场所个人设备远远超过公司所拥有的设备，因此我们就应该讲一讲个人设备，个人设备应用量非常大，这里是BYOD情况。BYOD指个人的设备，这是非常有意思的研究，这里是在美国所开展的研究，在这个调查研究问的问题，除了手机之外你最愿意放弃是什么？比如你是否愿意放弃酒精，70%人宁愿不喝酒也不愿意放弃手机，大概22%人愿意不洗澡但是不能说没有手机，所以手机对他来说非常重要。这里由另外一个尼尔森所做调查研究，哪些已经有移动设备的人和最近刚买移动设备人，大概50%被调查人购买智能手机，还有一些人刚刚购买移动手机大约占67%，将近70%人开始购买智能手机，以前并没有使用任何手机。这是由IDS开展的研究，可以看到我们对不同的移动设备调查，它在工作当中活跃程度。这里是另外一个统计数据，问的问题在哪里检查自己邮件？大约60%人在吃饭的时候看自己的工作邮件，20%人他们会在约会读自己的电子邮件，这些都是非常有意思的发现。这就说明对于我们在哪里做工作、在哪里工作概念已经完全改变了，我们并不是说在上班的时候才工作，我们在吃饭或者在约会也在读电子邮件，更多通过个人设备、手持设备手机读工作邮件，我们再看一下个人设备，为什么会选择这样手机牌子呢？有时候喜欢三星、喜欢iPhone就决定购买这样手机，并不是我们因为工作场合选择手机，现在个人喜好改变我们工作的模式，可以看到即使它是一个黑霉手机，我们利用黑霉手机机会越来越少了，很少有人利用黑霉手机，很多时候我们利用黑霉手机上网或者收发邮件。有的iPhone手机也是如此，即使公司买的工作中使用的iPhone，也不仅仅局限工作当中使用iPhone，可能用这个iPhone给朋友发电子邮件，这样的问题可能影响公司安全问题，公司可能会说哪些个人拥有手机不会进行控制，但有的时候进行平衡因为涉及安全问题，因为我们都知道个人手机和公司PC不一样，对于公司PC按照公司需求装上公司所需要的应用或者杀毒软件，但是对于员工自己手机或者平板电脑就不能随便给它加上一些应用，所以在这里我们需要考虑一下用户所需以及公司IT所需，我们需要移动手机解决这些问题。我们可能会想能否在网管解决这个问题，并不是我们要拦截个人的手机上网等。2002年开始新的研究，可以看到人们使用移动设备经常做什么？第一发电子邮件占86%，浏览8%，日历75%，这些事情跟手机基本功能没有太大的联系，如何确保这种手机安全性。所有这些都会涉及人们把电子邮件或者信息发到个人手机上，我们如何保证安全性。我们必须关注一些信息安全、数据安全政策，让数据无论在什么移动设备传输确保安全性，在全球应该有一千多种安全性，假设Android系统，每一个运行Android设备都是有不一样，80%Android系统运行都是老版本的Android，并没有添加任何的补丁，也就是我们不能够完全依赖移动设备确保数据的安全性。我们再看一下这个网管，通过移动设备在人的环境下、功能环境下运行、也可能在客户网络下运行如何确保安全性？一边有移动设备，如果有对话直接电子邮件进行，如果我们停止这样的对话，另外我们通过这个网管确保这样的沟通，而不是直接电子邮件基础设施到用户移动设备之间进行沟通，我们可以通过网管的方式确保沟通，这样确保更多的安全性。这样的话公司关键的信息就不会直接从电子邮件基础设施发到用户移动设备上，或者移动设备上发到电子邮件基础设施，我们可以在网管上进行地理定位或者安全确定、或者防止数据损失等，如果监管网管可能改变用户体验，但是我们并不想改变用户体验？如果通过网管让用户觉得发电子邮件非常麻烦，用户就非常憎恨我们，希望加上网管功能，也不希望用户使用邮件功能有任何的改变，有的时候比如使用日历，也可能有网管添加的日历用起来会特别不方便，因此我们希望尽量减少这些麻烦。我们看一下这个手机的界面，在这里有一个对象，工作邮件之前已经被拦截了，也就是你打开一个工作邮件，你看到里边根本没有内容，他说电子邮件得到保护，需要登陆，实际上就是一个多方面的认证，需要有用户名、账户、同时需要得到注册的设备才能登陆这个邮件，同时在合适的地方才能登陆邮件。邮件的内容得到非常好的保护，但是我们希望如果这个设备给别人或者忘了带，其他人即使捡到手机，他不知道密码、或者只有主人知道保护方式，就登陆不了公司信息，公司信息安全也得到足够的保证。最近有一个人把他手机丢掉了，他没有办法只能给网管打电话把公司信息删除，他们不知道偷他的手机干什么，手机丢掉企业信息全部泄露出去，我们提供解决方案可以作为一个网管进行把关，不管手机有什么信息，都能够得到完全的保护，不管这个手机丢了，企业数据不会被无关人看到的。再总结一下我们解决方案好处，要自助式，并不影响正常使用方式，完全保护数据，一提到安全让用户体验变着非常差，但是我们解决方案不会影响用户使用。通过这个方式完全控制你的设备，也就是使用设备的时候不会受到任何的干扰，不管企业定的安全策略什么样，通过网管可以把企业安全策略得到良好的落实。这对于IT技术部门安全方面有好处。对于所有企业来说为什么使用这样技术呢？从客户角度来讲就是企业数据不会丢掉，不管电子邮件密码丢掉，因为这些密码并没有储存设备终端上，比方说如他们想能够窃听，也窃听不了什么，因为数据并没有在网上传输，我们有中间人监测，如果发现这个网络不安全有中间人监测，我们就不允许数据发出。还有一点邮件服务器，通过网管保护不完全暴露公共网络环境，当然也可以提供授权以及认证等功能，这样以来同步功能完全受到网管保护，并不是依靠某一个设备，我们也不需要这个设备本身性能非常高，我们自己设备提供这样的功能，与终端性能没有关系的，可以提供关键词的过滤或者地理位置、还有其他一些功能，但是绝对不会把附件传输设备终端上，这样就不会发生附件丢失的问题，安全策略管理下会管理所有的附件。还有特别的好处，我们今天没有办法给大家做演示，但是可以给大家讲一讲多租户得到的好处，这个仪表板有你需要网管做的事情，你不需要安装任何的客户端，也不需要改变企业架构，基本来讲非常容易使用的解决方案。我们希望解决这样解决方案满足客户需要，我们有非常强的密码保护机制，而且不需要给本地终端设备施加任何压力，但是从企业角度来讲企业数据总是得到保护，跟你具体使用数据无关。给大家讲一讲ACIP，关于ACIP特别好的功能，你进行自动同步的时候，比如通过手机发一个附件，它不会经过病毒的扫描，只要手里有这个移动手机信就可以发出去，一直到数据传输网管的时候才进行病毒扫描，使用ACIP好处可以在安全网管的时候进行病毒的扫描，就是这个邮件真正到达企业账户或者账户之前进行病毒扫描，还有一点其他好处简单了，首先这设备终端不储存任何企业数据和密码，而且风险可以控制的，当然其中有非常好的监督和监测的日志，而且费用不是非常昂贵，我们设备已经在很多个人终端上使用，而且非常易用使用，成本不贵。给大家重新总结一下我所说重点，因为我们知道现在个人移动设备非常地多，我们怎么管理设备终端呢？怎么管理内部人员？如果管理人员以及设备的话，如果有这么多设备每个设备都特别安全策略制定出来，也不可能做出来，这就是为什么用统一网管做安全防御的事情。这是我给今天大家讲的内容，如果有问题可以现在问。主持人 檀林：如果大家对Anthony Turco有问题，可以针对LetMobile解决方案或者需要了解的问题可以提问。提问：如果我在工作邮件把附件挡住，需要同时其他网页登陆，如果iPhone装客户端，怎么保证客户端自身的安全？Anthony Turco：信息是在我们移动设备，内容通过安全渠道发送的，如果这个设备它被篡改了，可能被篡改你读信息这样的试图，并不是邮件，邮件并不会篡改，如果里只是用CK的话没有问题，因为所有邮件都会在你移动设备上，那么你的内容、还有一些联系方式、还有密码等都会被篡改，如果你使用我们网管的话就不会出现这样的问题。LetMobile它会把你密码放回到服务器那里，每一个设备都是独特的，比如你注册同一个账户都是不一样的，都能区别的。提问：我这个问题从企业角度问一个问题，我想问一下你们公司在美国的主要成绩是什么？另外在中国主要业务是什么？Anthony Turco：我们公司很年轻只有两年，我们在市场也推出商业软件大概只有一年时间，我们已经有30个客户，我们有一个政府客户，在政府内已经运行我们软件，同时政府四个部门也运行这个软件，还有一些银行利用我们软件，还有电信设备、制造商应用我们软件，还有一些做软饮客户应用我们软件，很多订单都是全球的订单，比如有一些欧洲客户，我们也非常关注中国客户，现在开始对中国进行评估，有多少人有自己的移动设备，以及我们软件是否适应中国市场的情况，我们现在开始做这方面的评估，如果没有觉得没有问题，适当时间会把产品推向中国市场。提问：你的单元需要防火墙设置，可以扫描多少病毒？每秒处理多少软件？Anthony Turco：必须把网管放到防火墙后边，因为我们本身就是一个防火墙，有一些客户他即使在不同网络应用防火墙后边运行特别好，对于网管能力主要看我们放上的硬件，即使在最差情况下，我们可以把网管组件拿出来，然后把它安装在不同的机器上，是一个不同的答案。刚才讲到单个CPU，它可以同时支持35个，有的客户有四个不同的服务器，也能够支成千上万活跃用户。提问：我对用户体验有一个问题，让我们打开电子邮箱的时候，可能需要扫描，用户每次把信息放到邮箱里边。Anthony Turco：如果每次用户体验肯定不好，我们有一系列保护政策出来。比如你是否在工作网里边，可能八个小时之内。提问：可能让设备休眠再打开需要再扫描吗？Anthony Turco：这个是由企业决定的，比如默认情况大概45分钟时间，只要在自己国家之内，如果我们离开自己国家这个政策就发生变化，变成15分钟，如果工作环境当中，周围都是工作网络，这个时候是48秒默认时间。主持人 檀林：接下来是我们最后一位演讲嘉宾，是安全宝联合产品副总裁吴翰清先生，他今天会讲云WAF的安全机遇与挑战。有请！吴翰清：大家下午好，非常高兴在这里跟大家做安全方面的分享，这也是我第一次在移动互联网主题分会上边做演讲，对我来说也是挺好玩的事情，我一直对这个领域非常敬仰，但是轻易不敢涉足这个领域，因为我觉得移动互联网安全领域包括整个移动互联网竞争太激烈，在这个领域做安全可能面临像腾讯、360竞争，移动互联网和云计算是未来得主题，我相信会有很多的挑战。更多想讲一讲关于看到移动互联网存在的安全问题，接下来讲一下什么是云网，为什么云网未来帮助移动互联网创新。我叫吴翰清，之前在做安全，我是云安全的第二个员工，上个月跳槽安全宝，我非常认可他的理念就过来了，同时写了一本书今年出版《白帽子讲Web安全》。互联网发展到今天，我们都不说手机互联网或者手机上网，而是移动互联网，其实今天可以很清晰看到互联网未来对屏幕的争夺，有手机屏幕、以及平板电脑屏幕、智能电视屏幕、PC屏幕。为什么腾讯、阿里做手机？就是因为他们需要占领这块屏幕，占领未来互联网的制高点，包括移动互联网是屏幕争夺，对于一些大公司来说野心实际超出几块屏幕，放在眼球上边。这是今年Google创新大会Google眼镜，未来移动互联网不仅仅手机和平板电脑上的东西，已经普及我们生活方方面面，甚至控制你的眼球，所以未来竞争是屏幕的竞争。未来占用人们碎片时间最多的还是几块屏幕，对于安全来说随时随地上网极大的改变人们使用互联网的方式，随之而来带来很多安全挑战，这些安全挑战和过去安全挑战有一些新的变化，在接下来会一一讲到主要的变化。首先由于屏幕变多，所以攻击面变着扩大，同样一款产品可能分布平板电脑、PC、手机上，可能共用一个云端，只要任何一个屏幕客户端出现安全问题或者被攻击，都有可能导致云端泄露、导致用户账户不再安全，未来移动互联网导致最大变化就是攻击面扩大。今天我这里主要关注真正移动互联网的安全，移动互联网安全除了应用层安全还有技术层安全，比如我进到会场，会场注册人员递到IP接入点以及口令，因为是开发者大会，平时参加黑客大会不敢随便接wifi，即便官方wifi也可能被破解，包括你的微博这些数据包都会被黑客获取，在移动互联网还有这些问题存在。第一个恶意APP，这是发现第一款恶意APP，这款是Find and Call，在云端发现这些用户，云端就向这些用户推送广告。苹果APP控制非常严格，但是也不能幸免。Android更加混乱了，甚至包括盗口令、或者盗流量，APP是以后移动互联网面临更大的挑战。第二个手机木马，这里有一个手机木马“X卧底”，已经搜不出这个木马，但是通过Google可以搜出来，可以下载这个木马的官方网站，装上可以接听你通话记录，还能够察看所有短信、以及偷偷打开你的摄象头，黑客可以打你手机，你的手机如果不在通话状态不会显示，会把你的话筒打开，让手机成为窃听器。主要在塞班平台，Android和IOS平台已经出现这样的木马，但是更多是实验性，还没有成为民用的。手机木马今天已经开始出现，其实明确的信号，告诉我们移动互联网安全会有质的变化。第三短信欺骗。这个是对IOS短信欺骗，10086发出来是黑客伪造，短信以纯文本方式、另外一种PDU方式，在PDU方式可以通过用户数据头其中有一个字段，用户可以自己定义恢复的号码，这个号码篡改之后在IOS里边直接显示这个号码，回复这个号码。这个东西已经流传开了，未来可能用于诈骗，类似问题越来越多，包括除了短信之外即时通讯平台，这个都是需要关注的事情。第四个钓鱼，手机平台钓鱼会比PC平台更简单，最左边是一个钓鱼网站，因为手机浏览器会默认，中间就是钓鱼网站缩放之后形成假的地址栏，右边是正常的地址栏，在手机屏幕上边钓鱼更加简单。第五个最近腾讯主推这个，二维码。腾讯通过二维码改变移动互联网未来，但是二维码最大问题用户看不到里边是什么东西？比如右下角二维码是什么东西？其实是威信加好友的东西，同时构造一个二维码变成一个网页，你扫一扫手机就中了木马，所有通讯录、照片都被黑客拿走了。我个人对于二维码改变世界未来画上问号，最大问题用户并不能看到这个二维码代表什么。腾讯推出相应的解决方案，会有一个URL安全认证，这个软件和云端URL同步，看是不是安全？最后这个软件告诉你是不是安全但是这个问题仍然存在，因为我们做攻防对抗钓鱼、木马同步没办法做的太快，所以需要时间差。现在钓鱼网站缩短使用一次作废，比如云端发现之后就算十分钟推送客户端，用户损失已经造成了，这个问题仍然很难解决。还有一种攻击“点击劫持”，一个正常网页上面覆盖透明的网页，这个就是点击劫持欺骗用户点击行为，让他点到不应该去的地方，这个传统PC有这样点击行为，手机叫触屏劫持，这两张图是手机触屏劫持案例。比如iPhone提示新的短信，但是这个屏幕上覆盖透明的浏览器窗口，实际打开腾讯微博，如果显示短信实际点击腾讯微博立即收听，就成为这个黑客的粉丝。这个东西是有完整代码设置，被写在《Web前端黑客》，大家可以看到现在开发技术中，黑客已经很好利用前端的技术完成欺骗的攻击，这些攻击技术只要构造比较巧妙，特定场景有可能产生比较大的欺诈。手机NFC安全，在今年Pwn2own2012年三星galaxy S3，黑客只要从你身边经过，直接给你手机植入一个木马，盗窃所有的短信、图片，整个过程都是在今年大会由这个团队实现了。三星这款手机默认开启打开文档的功能，默认把传过来文档打开，但是这个功能存在一个漏洞，这个漏洞可以利用，被黑客植入可视性程序。比如你身边走过甚至不用和你接触，手机就被植入一个木马。现在看起来IOS做的安全比Android安全好一些。前面讲那么多问题，还敢相信手机支付还安全吗？这是我用手机做网银支付，如果我手机存在各种钓鱼诈骗的威胁，那么我还敢安全支付吗？手机大多APP都设置一个云端，这个云端也可能存在传统的Web安全问题。还有Html5让开发更简单也让黑客更强大，有的黑客甚至可以利用Html5技术把黑客技术写的更加美好，以前看到很多黑客程序做的可以拿出去卖了，比一般的APP体会更加好。只要你手机浏览器支持Html5，不管你有没有使用，黑客可以利用Html5做一些功能。接下来可能是创业者最头疼的问题DDOS/CC攻击，前边漏洞可以改架构可以解决的，但是DDOS没有办法。如果开创一个新公司做手机APP，但是手机APP一般有云端，如果你遭受DDOS或者CC攻击整个就不能用了。同时在云端特别是对移动开发者来说，用的非常多是就是Web API怎么防CC攻击？比如下发一个GS或者下发一个验证，如果CC发起方是脚本不认识这些东西，但是对于Web API调用本身就是脚本，这个时候需要更智能分析，需要我们更大的计算量分析用户的行为。综上所述，我认为移动互联网安全的引爆点尚未到来。我认为没有一款非常大众化、极度傻瓜化的攻击软件，所以这款软件没有出来，移动互联网完全引爆点没有到来，还有黑色产业链肆虐的时代，首先第一个网游，其次到现在网游产业链慢慢平淡，接下来电商钓鱼、电商诈骗也是非常泛滥的领域，这两个领域有一个共性，用户有购买行为的，以及电商用户直接购买产品，黑客比较好销赃。移动互联网手机支付尚未成为主流，所以这两个原因直接影响到移动互联网安全的引爆点没有到来。它大面积推广没有看到非常好的机遇，所以整个移动互联网安全体系从端到云、从手机端到云都有不同的产品满足不同的需求。手机端安全产品这是腾讯去年发布的《腾讯移动安全白皮书》，目前已经更新3.0版本，用户最关注安全需求是防骚扰、网络连接监控、强力卸载恶意软件，这也印证前边观点，真正黑客关注的产业链没有形成。在手机端对应这些需求做我们的安全产品。在云端安全产品比较杂，比如二维码扫描到底是不是安全？库存就是从云端来，云端会建立非常庞大的UAM扫描机制，这个就是从云到端非常好的模式。包括反钓鱼、反挂马。在云计算时代和移动互联网时代创业方式会发生变化，原来需要精英团队才能解决的事情，变成可以消费的基础服务。像主机、存储、带宽都变成安全，安全变成消费的服务，从原来的奢侈品变成普通消费者消费起的消费品，比如DDOS问题，最好的解决方案买几十万的设备，但是一个小的创意公司一年收入也只有几万甚至十几万，让他一开始买几十万设备不太现实，但是在云计算环境下边有可能把安全变成可消费的服务，按需消费。云WAF，WAF就是外部应用防火墙，我们不是要扫描器，你发现这个网站很多漏洞，但是对于用户来说没有一个专家团队，告诉他怎么解决这些问题，他拿这个报告直接傻眼了。这是WAF界面发现所有攻击，所以对所有攻击进行拦截，WAF是十多年基于Web研究集大成者，从发现漏洞、验证解决问题最后验证问题。比如一款开源软件，它可以拦截用户ATP请求、以及响应，他可以看是不是合法、是不是恶意？云WAF就是加速，流量也会指向我们CDN，你的性能更加好，同时能够介入安全。云WAF集成安全和加速，我认为这家公司代表云计算、云安全未来发展方向，也是真正帮助创业者东西，不需要再花几十万钱买一个设备、买一个安全服务，这会非常臃肿，你需要做的事情就是托管过来，流量既然过来，我们帮你们做托管，不仅发现问题还解决问题。未来安全云的理想是：零部署、零维护；我们不需要加客户端，你托管过来，建站必备的工具；兼备加速、安全、运维等基础服务；由于DNS、CDN所以成为云计算的入口；建设更安全的互联网这也是我们云WAF最终梦想。我今天讲的就是这些，谢谢大家！主持人 檀林：谢谢吴翰清精彩演讲，看看在座有什么问题。提问：针对安全宝的问题，第一安全宝除了考虑创业者服务以外，是否考虑企业级市场？第二个问题你刚才讲到云WAF针对解决问题，而不是发现问题，客户如何感知，云WAF真正起到作用？DOSS比较简单有就是有，没有就是没有，其他攻击可能很难感知。吴翰清：非常好的两个问题，首先安全宝肯定针对企业级市场，我们定位未来希望做到大中企业，巨型企业肯定想都不用想，未来会有越来越多中型企业甚至大型企业跑到我们上边用，对于这些企业可能买CDN加速，对于七层攻击问题等可能理解有限，我们兼顾这个东西帮他们做服务，这是我们未来的发展方向。对于用户感知方面来说，虽然做的云WAF不仅仅发现问题，而且解决问题，对于安全宝已经发布一个功能一键修复，帮用户发起安全扫描，让用户知道存在什么问题，可以点一键修复把这些问题解决掉，不需要改他的代码。这是用户感知上边我们能够做的事情，未来在用户体验更进一步研究感觉它的安全是什么情况。主持人 檀林：再次感谢各位光临，也希望今后有更多的机会就移动与云安全问题进行深入的探讨。谢谢！
[责任编辑：quarkqiao]
(请登录发言，并遵守)
如果你对科技频道有任何意见或建议，请到交流平台反馈。【】
新闻排行财经科普数码科技
Copyright & 1998 - 2017 Tencent. All Rights Reserved