海量应用扩容黑客空间 万物互联改变信息安全边界

赵陈婷智能硬件、物联网正在为我们构建一个相当美妙的生活场景，不仅手机、电脑、电视机等传统信息化设备将连入网络，甚至汽车、冰箱、咖啡机、路牌、电灯等与生活相关的基础设施都将成为互联网的一个端点，一个“万物互联”（Internet of Everything）时代正在走来。然而，这些端点却都隐藏着不同的安全风险，不良的开发习惯和数目庞大的终端会产生数量超乎想象的漏洞，而这些漏洞将越来越多地被黑客利用

赵陈婷

智能硬件、物联网正在为我们构建一个相当美妙的生活场景，不仅手机、电脑、电视机等传统信息化设备将连入网络，甚至汽车、冰箱、咖啡机、路牌、电灯等与生活相关的基础设施都将成为互联网的一个端点，一个“万物互联”（Internet of Everything）时代正在走来。

然而，这些端点却都隐藏着不同的安全风险，不良的开发习惯和数目庞大的终端会产生数量超乎想象的漏洞，而这些漏洞将越来越多地被黑客利用。

数据泄露将会随时发生，但大多数用户却全然不知。

应用市场的风险

“七夕”当天，一款名为“××神器”的安卓系统手机病毒在全国范围蔓延，超过百万用户“感染”，一度引起恐慌。

有统计数据显示，这款病毒共发送了约500万条诈骗短信，按每条短信0.1元计算，相当于造成中招手机用户50万的话费损失。

对此，有业内人士告诉《第一财经日报》记者，截至2014年7月底，恶意和高风险的Android应用程序数量已经达到290万，这些应用程序会通过窃取个人隐私数据、违规获得系统关键权限等方式对用户的移动生活产生威胁。而这个数据增量非常惊人，在去年年底还停留在100万左右。

值得注意的是，这些移动恶意软件不只是持续疯狂增长，还呈现出了跨平台和设备的趋势。

“恶意软件攻击对移动端和PC端的边界越来越模糊。一些恶意程序在进化，它在PC端和移动端会协同，在PC端抓取用户名密码，在移动端抓代码后会协同在一起，把数据统一发到黑客服务器上面偷取用户的一些资金。”上述业内人士解释道。

这意味着用户不仅要验证移动应用环境的安全性，还需要采取更加全面的网络安全解决方案来保护PC、智能家居等其他智能设备。

事实上，类似于“××神器”这种点对点的资费消耗类病毒并不是目前病毒样本中的主流。

“以前最常见的恶意软件是资费消耗型的，它会让你主动发送一些短信，从而导致你资费的消耗，对于恶意软件发送人来说就可以因此牟利。但是现在这种恶意软件出现的比例在下降，更加常见的是信息窃取类的软件，它会窃取你个人设施上面的电子邮件或者其他一些信息。”作为全球最知名的道德黑客之一，趋势科技安全研究副总裁Rik Ferguson这样点评当下恶意软件的变化形式。

“还有一种比较常见的是广告类的软件，它可以篡改你的桌面或者是一些其他的默认设置，甚至在你的桌面上加入一些按钮，用户点击后会出现一个广告的页面从而产生收入。”Rik补充道。

由于智能移动设备的迅速普及，以及移动互联网应用市场的高度繁荣，恶意软件已经得到更大的发展空间，尤其是在国内，苹果设备越狱情况泛滥、安卓第三方应用商店管理不严，都为恶意程序提供了滋生的沃土。

在Rik看来，现在中国用户无法直接使用到谷歌官方的应用商店，不得不借助第三方下载这些应用，所以风险会比较高一些，这方面谷歌应该做一些工作。“应该让用户在选择应用商店方面有更多的可控性、控制力，比如说可以建立一个值得信任的白名单，上面的那些应用商店用户可以放心地下载和应用。”

安全方法亟须改变

“后门”近来成功入选高频词汇。

2014年7月初，有消息称，公安部科技信息化局通知显示，因赛门铁克的“数据防泄漏”（Symantec DLP）产品存在窃密后门和高危安全漏洞，各地公安机关正在核查赛门铁克“数据防泄漏”、防病毒等安全产品的使用情况。

随后，苹果公司承认，别有用心的人可以通过之前未公布的技术获取iPhone用户的短信、通讯录和照片等个人数据。通过苹果手机之前连接过的“可信任电脑”（trusted computer），存在绕过手机的备份加密（backup encryption）获取个人信息的可能性。

“不久的未来，移动智能终端的数量将超过全球人口的总和，它们将存在于生活的每个角落，在保持动态运作时产生无法预知的漏洞。”在趋势科技CEO陈怡桦看来，随着云计算的普及与虚拟数据中心的发展，更私密的个人数据和商业信息将被储存至云端，云计算的发展将致使信息安全边界逐渐模糊并最终消失。

事实上，信息时代最显著的变化便是云和移动化的快速普及与深入应用。有调查预测，到了2016年，将有50%企业员工自带设备上班进行业务办公，将有38%的企业预期停止提供计算设备。而到2018年，用户所使用的信息终端将会全面移动化，每个用户平均拥有1.4台接入网络的移动设备。在催生了海量的移动应用程序的同时，也为黑客提供了全新的攻击目标与手段，企业的信息资产处于越来越危险的境地。

而这背后，尽管各家安全公司正试图利用最先进的云安全防护与大数据分析技术消除当前每个网络端点和数据中心的威胁，有效地阻止隐匿在网络深处的不法分子窥探，以及他们发动的APT攻击，但是，万物互联的“长尾效应”会产生90%以上的未知威胁，这为黑客提供了绝佳的攻击优势。

对此，陈怡桦告诉《第一财经日报》记者：“安全性原则是不变的，但安全方法必须改变。否则，这些错误将导致企业的公众信任感大幅下降，而网际间的攻击如果得不到及时的解释和修正，人们将陷入一场全球性的网络斗争。”