苹果手机后门的曝光,引起了国人对手机等智能设备信息安全的高度关注。在移动互联网时代,企业和个人都有了窃取个人隐私信息的新技术,而防御技术方案也在形成。一场新领域的“黑白之战”已然打响。

  在这场注定旷日持久的战斗中,“黑方”和“白方”各有哪些技术手段?记者采访了长期从事网络安全工作的专业人士。

    三种途径可植入后门

  罗清篮,上海利物盛网络科技有限公司总经理,在第二届全国 ISG 信息安全技能竞赛中,带领团队获渗透测试组第一名、综合运维组第二名。

  据他介绍,在移动互联领域,后门植入有三种途径。第一种途径,是在操作系统中植入。苹果iOS系统是闭源操作系统,苹果公司植入后门从技术上讲非常容易;安卓虽然是开源系统,但其代码中也存在植入后门的可能。第二种途径,是在 OEM 系统中植入后门。如今,许多手机厂商对安卓系统进行了深度定制,开发出各种 OEM 系统。在开发过程中,手机厂商也可能开设各自的后门。第三种途径,是在第三方应用(App)中植入后门,通过App窃取手机、平板电脑用户的个人隐私信息。

  利用这些后门,企业和个人可远程获取用户信息。例如,手机厂商能通过其建构的云服务系统,激活任意手机客户端的信息,将其传送至云端。在此过程中,手机厂商如果不告知用户,后者根本不会察觉。

  对于操作系统、OEM 系统中的后门,政府部门应采取行动,防止用户、特别是公职人员的隐私信息被窃取。近日我国政府应对苹果后门事件,堪称经典案例。来自中国电信和国内相关政府门户网站的消息称,苹果公司将把 i-Cloud 数据存储在中国电信的云服务系统,改变 iCloud 数据此前一直存储在美国的局面。

  在罗清篮看来,在国产操作系统没有问世的情况下,使用智能手机总是存在个人隐私被外国企业获取的可能。“所以,我个人觉得公职人员,特别是要害岗位的公职人员在工作中不要使用智能手机,改用功能机。当然,做到这点可能不太现实。”

  罗清篮还指出,目前,苹果、安卓系统潜藏的漏洞、后门大多由西方专业人士发现。这说明,我国对这两种主流移动操作系统的安全研究有待加强。他建议有关部门有所作为,建立更多专攻苹果、安卓安全问题的团队。他们发现漏洞和后门后,可及时报告有关部门,做到安全预警。

  对于 App后门,用户的有效应对方法,是不轻易在来源不明的地方(如不明网站、短信)下载App。相对而言,知名企业的官方下载平台是比较安全的。

    手机骇客技术层出不穷

  除了利用后门窃取个人信息,移动时代的骇客技术还有很多,如手机木马、二维码钓鱼、邮件钓鱼、虚假短信、GSM中间人攻击。

  PC时代,木马犯下的恶行已罄竹难书,而今,它们又潜入了手机。近日,一种利用恶意App潜入用户手机的安卓木马被曝光。它能在用户不知情的情况下,读取手机通讯录,并冒充用户给通讯录里的联系人发送短信,要求他们安装该恶意App。对方一旦下载App,其中的木马又开始新一轮的短信发送……对普通用户来说,应对手机木马的办法,就是不轻易在来源不明的地方下载App;收到带有链接的短信后,也不要轻易点击并下载。

  在二维码铺天盖地的今天,二维码钓鱼已成为一种“主流技术”。具有“钓鱼”功能的二维码嵌入了恶意下载地址,人们用手机扫描这种二维码后,手机可能会自动下载恶意 App,也可能直接进行手机支付。罗清篮说,如今许多人的手机绑定了支付功能,在支付时无需输入密码,因此一旦钓鱼二维码启动了手机支付功能,就有可能窃取用户的资金账户。鉴于此,开发移动支付应用的企业应予以重视; 用户则应对二维码留个心眼,不要轻易下载出现在安全性无法保证的地方的二维码。

  邮件钓鱼,对网民而言早已不陌生。由于许多人的手机已绑定支付功能,用户在手机上点击这种邮件的链接,危害可能更大——点击链接后,手机可能直接完成支付,“坑你没商量”。

  在功能机时代就诞生的虚假短信,其危险指数在智能手机上急剧上升。借助“短信猫”或虚拟基站,不法分子能用任意手机号码给大量用户发送短信。比如,他们可冒用银行服务短信号码发送虚假短信,引诱用户点击链接,进入一个要求输入支付密码等重要隐私信息的网页。对短信号码深信不疑的用户,就会中招,导致经济损失。

  GSM 中间人攻击,是一种窃听用户语音通话的技术。GSM 是“全球移动通信系统”的英文首字母缩写,该系统是当今应用最广泛的移动电话标准。在很多地方,GSM信号是不加密的。骇客能通过刷系统,将一部手机改造成假基站,从而截获GSM信号。当骇客要通过这种技术监听某人的手机通话,就需与他保持较近的距离,比如,尾随此人进入一家酒店;随后,在“假基站”手机上输入监听对象的手机号码,便能截获该手机发出的GSM信号,充当该手机与另一台通话手机的“中间人”,监听两人的通话。

  加密通话技术,能应对 GSM 中间人攻击。两部手机进行加密通话时,一部手机将包括 SIM 卡序列号、手机序列号等信息的密钥发送给另一部手机,后者接收并解密后,即可让用户听到语音。在此过程中,通话是用密文传输的,GSM中间攻击只能截获密文,但很难破解。这种加密技术也可用于短信。

    警惕谷歌眼镜窃取密码

  如今,移动时代的黑客技术在不断发展过程中。罗清篮透露,利物盛网络科技公司的技术人员最近了解到一种国外新技术——有黑客开发出一款软件,将它安装在谷歌眼镜里。这款软件能根据手指输入密码的视频,利用手势与屏幕相对位置的分析算法,分析出输入的是哪些字符或何种手势图形。我们知道,谷歌眼镜拍摄视频十分方便,隐蔽性也很强。当一个人戴着装有这款软件的谷歌眼镜,偷偷拍摄其他人在手机上输入密码(包括字符密码、手势密码)的视频,就有可能获取密码。

  这种黑客技术的潜在威胁很大。人们不一定要借助谷歌眼镜,用装有这款软件的手机偷偷拍摄视频后,也可获知密码。如果这种技术被许多不法分子应用,那么,在公众场合用手机输入密码就存在巨大的安全隐患。

  道高一尺,魔高一丈。如何应对形形色色的新型黑客技术,成为摆在政府部门、信息安全研究人员面前的挑战。

  罗清篮指出,PC 时代的网络黑客技术与移动时代的黑客技术还能结合在一起,发挥更大的杀伤力。例如,黑客攻破网站的数据库后,可获取大量用户个人信息,再利用这些信息对用户的手机进行定向攻击。因此,在移动互联时代,各类网站应进一步加强安全维护。个人用户则应避免在各网站使用相同的密码。用户可根据“各网站域名字符+通用密码”等规则,设置一系列便于记忆的不同密码。(本报记者 俞陶然)