今年七夕節(jié)不同以往，提防手機(jī)病毒“XXshenqi”的提示語(yǔ)，掩蓋了“有情人終成眷屬”的祝福聲。根據(jù)運(yùn)營(yíng)商公開(kāi)的統(tǒng)計(jì)數(shù)據(jù)，僅一周時(shí)間，“XXshenqi”感染了超過(guò)65萬(wàn)部手機(jī)，發(fā)出短信多達(dá)754萬(wàn)條。

　　“XXshenqi”是運(yùn)行于Android系統(tǒng)的惡意程序，兼具木馬、后門(mén)和蠕蟲(chóng)等類型惡意代碼的特點(diǎn)。它通過(guò)社會(huì)工程手段誘騙用戶安裝執(zhí)行，利用人們的好奇心騙取身份信息，然后隱藏在后臺(tái)接受作者的短信指令操控，監(jiān)聽(tīng)、攔截甚至偽造用戶短信，并將重要信息以短信或電子郵件形式發(fā)送給作者。與此同時(shí)，它還會(huì)向用戶通訊錄聯(lián)系人發(fā)送包含接收人姓名和“XXshenqi”下載鏈接的短信，追蹤下一個(gè)受害者。從攻擊手段上看，“XXshenqi”綜合了今年上半年出現(xiàn)的“北極熊”蠕蟲(chóng)(通過(guò)短信自我傳播)、Herta木馬(接受遠(yuǎn)程控制短信指令)等惡意程序的技術(shù)特點(diǎn)。整體而言，“XXshenqi”既不復(fù)雜，也不“超級(jí)”;既非“神器”，也不“神奇”。不過(guò)由于它結(jié)合了社會(huì)工程手段，利用了節(jié)日背景下人們疏于防范的心理弱點(diǎn)，最終在短時(shí)間內(nèi)形成廣泛傳播。

　　以自由、開(kāi)放為宗旨的Android系統(tǒng)，擁有大量的第三方應(yīng)用程序市場(chǎng)。為了方便安裝來(lái)自第三方市場(chǎng)的應(yīng)用程序，用戶一般都會(huì)開(kāi)啟“允許安裝未知來(lái)源應(yīng)用”選項(xiàng)，并對(duì)程序安裝過(guò)程中提示的權(quán)限需求視而不見(jiàn)。Android系統(tǒng)的開(kāi)放和用戶安全意識(shí)的淡薄，為“XXshenqi”之類惡意程序的橫行無(wú)忌提供了可乘之機(jī)。與之形成鮮明對(duì)比的是蘋(píng)果iOS系統(tǒng)，后者憑借封閉的應(yīng)用程序生態(tài)環(huán)境保證了系統(tǒng)的安全性。比如，在未越獄的情況下，應(yīng)用程序只能從App Store購(gòu)買(mǎi)安裝，而App Store會(huì)對(duì)軟件作者提交的應(yīng)用程序進(jìn)行嚴(yán)格審核，剔除不符合蘋(píng)果安全標(biāo)準(zhǔn)的應(yīng)用程序。由于應(yīng)用程序入口單一，類似“XXshenqi”的自我傳播方式，在iOS系統(tǒng)中寸步難行。有數(shù)據(jù)顯示，iOS系統(tǒng)的惡意代碼應(yīng)用家族數(shù)量不足Android系統(tǒng)的5%。

　　但在今年7月下旬召開(kāi)的紐約HOPE X黑客會(huì)議上，iOS系統(tǒng)數(shù)字取證領(lǐng)域安全專家Jonathan Zdziarski披露了iOS系統(tǒng)中存在的多個(gè)“后門(mén)”服務(wù)，并展示了利用其獲取iPhone手機(jī)用戶敏感信息的方法。這些“后門(mén)”服務(wù)包括：可以捕獲iOS設(shè)備網(wǎng)絡(luò)流量的“pcapd”、可以繞過(guò)iOS備份加密機(jī)制保存設(shè)備診斷信息的“file_relay”，還有可以在iOS設(shè)備與應(yīng)用程序之間傳輸數(shù)據(jù)的“house_arrest”。如果這些默認(rèn)開(kāi)啟的服務(wù)被惡意利用，將會(huì)使得用戶地址簿、剪貼板、日程表等信息遭到泄露，甚至導(dǎo)致用戶的網(wǎng)絡(luò)訪問(wèn)行為處于黑客的全面監(jiān)控之下。雖然事后蘋(píng)果公司辯稱這些只是用于向企業(yè)的IT部門(mén)、開(kāi)發(fā)者和蘋(píng)果維修人員提供所需信息的診斷功能，不會(huì)對(duì)用戶隱私安全構(gòu)成威脅，此事還是引發(fā)了業(yè)界對(duì)于蘋(píng)果是否與美國(guó)的執(zhí)法機(jī)構(gòu)、國(guó)家安全局(NSA)等部門(mén)存在合作關(guān)系的猜測(cè)。據(jù)路透社報(bào)道，俄羅斯通訊部長(zhǎng)日前曾表示希望蘋(píng)果公司開(kāi)放其源代碼供俄羅斯政府檢查，以證明iPhone不會(huì)用于對(duì)俄方機(jī)構(gòu)實(shí)施間諜活動(dòng)。

　　Android系統(tǒng)源碼公開(kāi)，擁有大量免費(fèi)應(yīng)用程序，卻因?qū)彶闄C(jī)制不健全、魚(yú)目混珠者眾多，竊取隱私、消耗流量，給用戶帶來(lái)風(fēng)險(xiǎn)，造成損失。iOS系統(tǒng)完全封閉，具有嚴(yán)格的應(yīng)用程序?qū)徍谁h(huán)節(jié)，針對(duì)該系統(tǒng)惡意代碼幾乎沒(méi)有，但系統(tǒng)自身卻具有后門(mén)功能……在這個(gè)兩難選擇的背后，體現(xiàn)出了操作系統(tǒng)安全面臨的多層次問(wèn)題。

　　操作系統(tǒng)安全是立體的、多方面的，移動(dòng)設(shè)備的系統(tǒng)安全也概莫能外。從信息安全攻防對(duì)抗的角度看，操作系統(tǒng)安全自上而下體現(xiàn)為國(guó)家、企業(yè)、個(gè)人用戶三個(gè)不同的安全層次。對(duì)于國(guó)家而言，首先應(yīng)考慮的是如何保護(hù)國(guó)家秘密，在此基礎(chǔ)上需關(guān)注操作系統(tǒng)的可見(jiàn)性與可控性;對(duì)于企業(yè)而言，首先要考慮的是購(gòu)買(mǎi)成本和保護(hù)商業(yè)秘密，在此基礎(chǔ)上需關(guān)注操作系統(tǒng)是否易于部署、易于管理以及是否易于數(shù)據(jù)聚合;對(duì)于個(gè)人用戶而言，首先要考慮的是操作系統(tǒng)是否具有良好的應(yīng)用環(huán)境、是否能夠滿足使用習(xí)慣以及是否方便易用，在此基礎(chǔ)上則需關(guān)注隱私的安全性。

　　可見(jiàn)，作為普通個(gè)人用戶，不會(huì)特別在意隱私安全問(wèn)題，更不會(huì)關(guān)心隱私是被黑客竊取，還是被手機(jī)廠商提供給國(guó)外執(zhí)法機(jī)構(gòu)。但作為可能涉及國(guó)家安全的工作人員，則需嚴(yán)格防范移動(dòng)設(shè)備具有的潛在風(fēng)險(xiǎn)：盡可能使用基于開(kāi)源系統(tǒng)的移動(dòng)設(shè)備，安裝必要的安全防護(hù)軟件，避免安裝第三方提供的應(yīng)用程序，避免使用移動(dòng)設(shè)備廠商或第三方提供的云存儲(chǔ)服務(wù)。 

核心關(guān)注：拓步ERP系統(tǒng)平臺(tái)是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請(qǐng)注明出處：拓步ERP資訊網(wǎng)http://www.guhuozai8.cn/

本文標(biāo)題：淺談操作系統(tǒng)安全的多層次性

本文網(wǎng)址：http://www.guhuozai8.cn/html/consultation/10839516412.html