今年七夕節不同以往，提防手機病毒“XXshenqi”的提示語，掩蓋了“有情人終成眷屬”的祝福聲。根據運營商公開的統計數據，僅一周時間，“XXshenqi”感染了超過65萬部手機，發出短信多達754萬條。

　　“XXshenqi”是運行于Android系統的惡意程序，兼具木馬、后門和蠕蟲等類型惡意代碼的特點。它通過社會工程手段誘騙用戶安裝執行，利用人們的好奇心騙取身份信息，然后隱藏在后臺接受作者的短信指令操控，監聽、攔截甚至偽造用戶短信，并將重要信息以短信或電子郵件形式發送給作者。與此同時，它還會向用戶通訊錄聯系人發送包含接收人姓名和“XXshenqi”下載鏈接的短信，追蹤下一個受害者。從攻擊手段上看，“XXshenqi”綜合了今年上半年出現的“北極熊”蠕蟲(通過短信自我傳播)、Herta木馬(接受遠程控制短信指令)等惡意程序的技術特點。整體而言，“XXshenqi”既不復雜，也不“超級”;既非“神器”，也不“神奇”。不過由于它結合了社會工程手段，利用了節日背景下人們疏于防范的心理弱點，最終在短時間內形成廣泛傳播。

　　以自由、開放為宗旨的Android系統，擁有大量的第三方應用程序市場。為了方便安裝來自第三方市場的應用程序，用戶一般都會開啟“允許安裝未知來源應用”選項，并對程序安裝過程中提示的權限需求視而不見。Android系統的開放和用戶安全意識的淡薄，為“XXshenqi”之類惡意程序的橫行無忌提供了可乘之機。與之形成鮮明對比的是蘋果iOS系統，后者憑借封閉的應用程序生態環境保證了系統的安全性。比如，在未越獄的情況下，應用程序只能從App Store購買安裝，而App Store會對軟件作者提交的應用程序進行嚴格審核，剔除不符合蘋果安全標準的應用程序。由于應用程序入口單一，類似“XXshenqi”的自我傳播方式，在iOS系統中寸步難行。有數據顯示，iOS系統的惡意代碼應用家族數量不足Android系統的5%。

　　但在今年7月下旬召開的紐約HOPE X黑客會議上，iOS系統數字取證領域安全專家Jonathan Zdziarski披露了iOS系統中存在的多個“后門”服務，并展示了利用其獲取iPhone手機用戶敏感信息的方法。這些“后門”服務包括：可以捕獲iOS設備網絡流量的“pcapd”、可以繞過iOS備份加密機制保存設備診斷信息的“file_relay”，還有可以在iOS設備與應用程序之間傳輸數據的“house_arrest”。如果這些默認開啟的服務被惡意利用，將會使得用戶地址簿、剪貼板、日程表等信息遭到泄露，甚至導致用戶的網絡訪問行為處于黑客的全面監控之下。雖然事后蘋果公司辯稱這些只是用于向企業的IT部門、開發者和蘋果維修人員提供所需信息的診斷功能，不會對用戶隱私安全構成威脅，此事還是引發了業界對于蘋果是否與美國的執法機構、國家安全局(NSA)等部門存在合作關系的猜測。據路透社報道，俄羅斯通訊部長日前曾表示希望蘋果公司開放其源代碼供俄羅斯政府檢查，以證明iPhone不會用于對俄方機構實施間諜活動。

　　Android系統源碼公開，擁有大量免費應用程序，卻因審查機制不健全、魚目混珠者眾多，竊取隱私、消耗流量，給用戶帶來風險，造成損失。iOS系統完全封閉，具有嚴格的應用程序審核環節，針對該系統惡意代碼幾乎沒有，但系統自身卻具有后門功能……在這個兩難選擇的背后，體現出了操作系統安全面臨的多層次問題。

　　操作系統安全是立體的、多方面的，移動設備的系統安全也概莫能外。從信息安全攻防對抗的角度看，操作系統安全自上而下體現為國家、企業、個人用戶三個不同的安全層次。對于國家而言，首先應考慮的是如何保護國家秘密，在此基礎上需關注操作系統的可見性與可控性;對于企業而言，首先要考慮的是購買成本和保護商業秘密，在此基礎上需關注操作系統是否易于部署、易于管理以及是否易于數據聚合;對于個人用戶而言，首先要考慮的是操作系統是否具有良好的應用環境、是否能夠滿足使用習慣以及是否方便易用，在此基礎上則需關注隱私的安全性。

　　可見，作為普通個人用戶，不會特別在意隱私安全問題，更不會關心隱私是被黑客竊取，還是被手機廠商提供給國外執法機構。但作為可能涉及國家安全的工作人員，則需嚴格防范移動設備具有的潛在風險：盡可能使用基于開源系統的移動設備，安裝必要的安全防護軟件，避免安裝第三方提供的應用程序，避免使用移動設備廠商或第三方提供的云存儲服務。 

核心關注：拓步ERP系統平臺是覆蓋了眾多的業務領域、行業應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業務領域的管理，全面涵蓋了企業關注ERP管理系統的核心領域，是眾多中小企業信息化建設首選的ERP管理軟件信賴品牌。

轉載請注明出處：拓步ERP資訊網http://www.guhuozai8.cn/

本文標題：淺談操作系統安全的多層次性

本文網址：http://www.guhuozai8.cn/html/consultation/10839516412.html