梆梆安全观点安全漫谈：移动安全也需庖丁解牛

本篇文章1564字，读完约4分钟

随着信息化的逐步成熟，新的it技术的应用不断涌现。云计算、物联网、移动网络、大数据、智能和移动网络等新兴技术正在推动其他新it技术的快速发展。与个人电脑相比，作为移动网络终端的各种智能设备由于其自身的局限性，安全性较弱，因此在这些终端上运行的各种应用的安全性是可以想象的。一旦移动网络出现安全危机，由此引发的连锁反应很可能会形成一场灾难。

移动安全的变化和不变性

那么如何保护移动网络、移动终端甚至终端中的移动应用呢？你还在使用传统的防火墙和杀毒软件吗？智能移动终端的出现打破了原有的网络边界，个人隐私信息往往与企业机密数据混在一起。传统的安全防御方法显然不能有效地应用于移动网络。

数据仍然是移动安全时代的核心保护目标，但有必要在移动终端中将个人隐私数据与企业机密数据分开，同时还要考虑智能移动终端本身有限的计算能力、有限的存储空空间和有限的能量支持。此外，今天的恶意攻击开始更多地集中在应用程序级别。由于各种移动应用往往与手机账单和流量相关联，恶意攻击者可以从中获利，因此与移动应用相关的安全问题尤为突出。这意味着用于解决移动安全问题的安全产品和解决方案需要考虑上述因素，传统的防御措施不能直接应用。

由此可见，移动安全防御的性质并没有改变，但是移动安全的防御模式需要改变。

移动应用的安全危机

然而，小型移动应用面临许多威胁:二次打包和反编译、不安全的数据存储、传输层保护不足、意外的数据泄漏、弱授权和认证、破解的加密算法、客户端注入、通过不可信输入的安全决策、不适当的会话处理以及缺乏二进制文件保护。用户信息和企业业务都面临着移动应用带来的安全危机。

作为输入敏感信息的一种手段，键盘很容易成为攻击者的出发点。恶意攻击者经常将键盘挂钩(监控程序)绑定并嵌入到流行的移动应用程序中，从而监控用户输入数据。利用用户账户和密码信息，形成账户密码+短信认证的双因素认证机制，是移动应用中应用最广泛的身份安全认证模式。然而，恶意攻击者正在采取各种方法来拦截身份验证消息并发起欺诈性攻击。此外，网络钓鱼攻击也存在于移动应用中，恶意攻击者引入高度模仿的移动应用界面来帮助他们实施界面劫持攻击，诱骗用户上当，并窃取用户帐户和密码等机密信息。

针对移动应用的攻击有很多，这些攻击在攻击特征上与传统攻击相似，也有多种移动特征。因此，移动安全技术人员需要深入了解移动应用本身，找出移动应用的哪些环节存在安全隐患，从而设计出适用于移动应用、移动设备和移动网络的安全防护产品。

成为移动应用安全领域的熟练工人

一家真正的安全公司总是以技术为导向的，只有当它在专业细分领域深入发展时，它才能获得收益。这是一个像挖井一样的故事。一些人挖了一半的井，发现没有水，开始挖第二口井。最后，回头看看第三口井，没有一口井出水。有些人会挖一口足够深的井，直到水出来。

邦邦证券的创始人兼首席执行官阚志刚博士认为，如果一个人想飞得高，他必须深入。因此，邦邦安全现在的定位是使技术最深入。

阚志刚博士说，我一直本着工匠的精神做安全工作。目前，邦邦安全70%的员工是R&D工程师。我们总是把自己当成工匠，希望把事情做到极致。极端化时所反映的价值将更容易被市场认可和接受，极端化后的突破将更符合逻辑。bang safety的经验是，我们必须专注并坚持，使技术成为世界上最好的。

如今，邦邦安全正在为开发人员构建一个移动应用安全平台，帮助开发人员对其移动应用进行安全检测、安全加固和渠道监控。它的安全sdk可以帮助开发人员在开发阶段为他们的应用程序实现安全增强保护，并且开发人员不需要任何安全知识。也就是说，在开发应用程序时，开发人员不需要考虑任何安全问题，而将专业事务留给专业的安全人员。

当你像一个熟练的人一样掌握移动世界的客观规律时，你会很容易解决任何安全问题。