搜索

[27836] 2020-11-30_OPPO技术开放日第六期丨OPPO安全解析“应用与数据安全防护”背后的技术

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-19
2020-11-30_OPPO技术开放日第六期丨OPPO安全解析“应用与数据安全防护”背后的技术 O P P O 技 术 开 放 日 第 六 期 丨 O P P O 安 全 解 析 “ 应 用 与 数 据 安 全 防 护 ” 背 后 的 技 术 O P P O 安 全 应 急 响 应 中 心   2 0 2 0 - 1 1 - 3 0 以 下 文 章 来 源 于 O P P O 开 放 平 台   ， 作 者 O P P O 技 术 开 放 日 1 1 月 2 9 日 ， O P P O 技 术 开 放 日 第 六 期 在 成 都 1 9 0 6 创 意 工 厂 - A 1 1 举 行 。 本 期 活 动 以 “ 应 用 与 数 据 安 全 防 护 ” 为 主 题 ， 聚 焦 密 钥 、 恶 意 行 为 检 测 等 移 动 应 用 背 后 的 安 全 技 术 ， 分 享 O P P O 在 安 全 领 域 的 最 新 技 术 成 果 与 行 业 解 决 方 案 ， 推 动 安 全 生 态 的 建 设 。 0 1 O P P O 云 密 码 本 背 后 的 秘 密 云 密 码 本 背 后 的 秘 密 端 云 协 同 的 安 全 密 钥 技 术 端 云 协 同 的 安 全 密 钥 技 术 前 不 久 的 2 0 2 0   O P P O 开 发 者 大 会 ， O P P O 正 式 发 布 C o l o r O S   1 1 。 全 新 的 全 新 的 C o l o r O S   1 1 系 统 搭 载 系 统 搭 载 O P P O 端 云 协 同 的 安 全 密 端 云 协 同 的 安 全 密 O P P O 开 放 平 台 开 放 平 台   . O P P O 开 放 平 台 是 O P P O 面 向 应 用 开 发 者 、 游 戏 开 发 者 、 内 容 创 作 者 、 主 题 设 计 师 等 生 态 合 作 伙 伴 的 能 力 开 放 平 台 ， 旨 在 为 合 作 伙 伴 提 供 内 容 分 发 、 开 发 支 持 、 推 广 运 营 、 品 牌 宣 传 、 技 术 合 作 等 一 站 式 合 作 服 务 ， 与 合 作 伙 伴 共 同 成 长 ， 实 现 共 赢 。
钥 技 术 。 钥 技 术 。 O P P O 基 于 端 云 协 同 安 全 密 钥 技 术 为 支 撑 ， 实 现 了 用 户 密 码 的 安 全 托 管 和 安 全 同 步 。 基 于 端 云 协 同 安 全 密 钥 技 术 为 支 撑 ， 实 现 了 用 户 密 码 的 安 全 托 管 和 安 全 同 步 。 O P P O 端 云 协 同 的 安 全 密 钥 技 术 以 安 全 的 跨 平 台 自 动 同 步 、 应 用 间 互 相 隔 离 的 独 立 密 钥 体 系 、 O P P O 无 法 解 密 和 攻 击 者 无 法 窥 探 为 目 标 ， 构 建 安 全 的 密 钥 管 理 方 案 ， 进 而 实 现 保 护 用 户 数 据 的 目 的 。 我 们 来 看 看 密 钥 的 攻 击 入 口 有 哪 些 。 从 密 钥 的 生 成 、 分 发 、 使 用 、 撤 销 、 销 毁 、 归 档 、 备 份 、 更 新 、 存 储 的 完 整 生 命 周 期 中 可 能 遇 到 的 攻 击 分 析 入 手 ， 最 可 能 遭 受 攻 击 的 是 生 成 、 传 输 、 使 用 、 存 储 阶 段 。 O P P O 端 云 协 同 的 安 全 密 钥 技 术 ， 在 端 云 协 同 的 安 全 密 钥 技 术 ， 在 设 计 上 重 点 考 虑 在 以 上 敏 感 阶 段 如 何 缓 解 可 能 遇 到 本 地 暴 力 破 解 、 云 端 暴 力 破 解 、 侧 信 道 分 析 和 中 间 人 攻 击 、 端 侧 设 计 上 重 点 考 虑 在 以 上 敏 感 阶 段 如 何 缓 解 可 能 遇 到 本 地 暴 力 破 解 、 云 端 暴 力 破 解 、 侧 信 道 分 析 和 中 间 人 攻 击 、 端 侧 渗 透 攻 击 、 云 端 渗 透 攻 击 等 常 见 类 型 攻 击 。 渗 透 攻 击 、 云 端 渗 透 攻 击 等 常 见 类 型 攻 击 。 在 端 云 协 同 的 安 全 密 钥 技 术 使 用 的 安 全 工 具 方 面 ， 主 要 通 过 硬 件 安 全 环 境 （ S E 、 T E E 、 H S M 集 群 ） 保 障 密 钥 的 生 成 、 使 用 安 全 ， 同 时 使 用 H T T P S 、 S R P 、   E 2 E 安 全 信 道 保 障 传 输 交 互 的 安 全 性 ， 并 使 用 账 号 密 码 、 安 全 密 码 、 短 信 安 全 码 、 可 信 设 备 证 书 等 诸 多 因 子 保 证 身 份 认 证 的 安 全 性 。 O P P O 端 云 协 同 的 安 全 密 钥 技 术 具 备 非 常 广 泛 的 应 用 场 景 ， 例 如 对 地 图 收 藏 、 历 史 轨 迹 、 个 人 浏 览 记 录 、 浏 览 标 签 同 步 、 屏 幕 使 用 时 间 等 行 为 特 征 类 数 据 的 保 护 ， 以 及 对 W i - F i 密 钥 、 蓝 牙 密 钥 、 l o T 设 备 配 对 密 钥 等 密 钥 类 数 据 的 保 护 。 未 未 来 ， 来 ， O P P O 端 云 协 同 的 安 全 密 钥 技 端 云 协 同 的 安 全 密 钥 技 术 会 应 用 到 更 多 的 场 景 ， 为 用 户 数 据 隐 私 保 驾 护 航 。 术 会 应 用 到 更 多 的 场 景 ， 为 用 户 数 据 隐 私 保 驾 护 航 。 0 2
O P P O 通 过 通 过 A E S 密 钥 白 盒 密 钥 白 盒 解 决 密 钥 安 全 问 题 解 决 密 钥 安 全 问 题 现 如 今 ， 数 据 及 信 息 安 全 已 逐 渐 演 变 为 密 钥 安 全 。 如 果 密 钥 不 安 全 ， 加 密 便 形 同 虚 设 。 目 前 ， 业 内 密 钥 安 全 需 求 主 要 包 括 核 心 技 术 保 护 、 终 端 数 据 安 全 、 防 止 密 钥 窃 取 和 数 据 传 输 安 全 四 个 层 面 ， A E S 密 钥 白 盒 的 出 现 在 一 定 程 度 上 解 决 了 密 钥 的 安 全 问 题 。 白 盒 将 密 钥 扩 展 并 融 入 到 了 加 密 运 算 中 ， 使 得 密 钥 在 整 个 加 密 过 程 中 不 再 明 文 出 现 ， 从 而 达 到 隐 藏 和 保 护 的 目 的 。 白 盒 的 实 现 方 式 主 要 有 三 种 ， 分 别 是 查 找 表 技 术 、 插 入 扰 乱 项 和 多 变 量 密 码 。 即 使 有 了 白 盒 的 保 护 ， 密 钥 也 并 不 绝 对 安 全 ， 白 盒 也 面 临 着 多 种 多 样 的 攻 击 。 A E S 密 钥 白 盒 受 到 的 攻 击 方 式 主 要 包 括 两 种 ， 一 种 是 密 钥 白 盒 受 到 的 攻 击 方 式 主 要 包 括 两 种 ， 一 种 是 B G E 攻 击 ， 另 外 一 种 就 是 攻 击 ， 另 外 一 种 就 是 D F A 攻 击 。 攻 击 。 O P P O 安 全 针 对 以 上 攻 击 方 式 ， 提 供 了 扩 展 T - B o x 、 随 机 置 换 、 迭 代 混 淆 等 多 种 防 护 方 案 ， 在 性 能 保 证 的 基 础 上 更 进 一 步 保 障 密 钥 的 安 全 。 除 了 A E S 算 法 之 外 ， O P P O 安 全 还 深 度 研 究 了 国 密 S M 4 、 E C C 、 R S A 等 算 法 ， 在 更 多 的 安 全 技 术 探 索 和 算 法 研 究 的 基 础 上 ， 为 开 发 者 和 应 用 平 台 提 供 更 优 质 的 解 决 方 案 ， 携 手 保 护 用 户 隐 私 。 0 3 检 测 移 动 恶 意 应 用 检 测 移 动 恶 意 应 用
与 提 升 恶 意 行 为 检 测 能 力 与 提 升 恶 意 行 为 检 测 能 力 随 着 移 动 恶 意 应 用 的 恶 意 行 为 和 攻 击 方 式 愈 加 复 杂 ， 加 固 保 护 愈 来 愈 多 样 化 。 当 前 ， 恶 意 行 为 的 静 态 代 码 分 析 面 临 着 程 序 化 难 度 大 、 人 力 投 入 大 、 成 本 变 高 等 难 点 ， O P P O 为 应 对 以 上 难 点 并 弥 补 静 态 检 测 的 缺 点 ， 引 入 了 动 态 检 测 的 方 法 ， 为 应 对 以 上 难 点 并 弥 补 静 态 检 测 的 缺 点 ， 引 入 了 动 态 检 测 的 方 法 ， 从 而 更 精 准 高 效 地 检 测 出 存 在 恶 意 行 为 的 应 用 。 从 而 更 精 准 高 效 地 检 测 出 存 在 恶 意 行 为 的 应 用 。 动 态 分 析 检 测 方 法 是 对 应 用 行 为 进 行 判 断 和 检 测 。 基 于 恶 意 行 为 的 动 态 分 析 检 测 方 法 ， 应 用 很 多 时 候 都 需 要 调 用 系 统 的 A P I 来 执 行 各 种 功 能 。 动 态 分 析 检 测 可 以 通 过 审 查 应 用 对 系 统 动 态 分 析 检 测 可 以 通 过 审 查 应 用 对 系 统 A P I 的 调 用 序 列 和 各 的 调 用 序 列 和 各 A P I 的 调 用 参 数 以 及 的 调 用 参 数 以 及 A P I 调 用 的 背 调 用 的 背 景 环 境 ， 用 明 确 的 逻 辑 判 断 该 应 用 是 否 有 执 行 恶 意 行 为 。 景 环 境 ， 用 明 确 的 逻 辑 判 断 该 应 用 是 否 有 执 行 恶 意 行 为 。 这 样 能 够 帮 助 开 发 者 和 应 用 平 台 对 恶 意 扣 费 、 恶 意 传 播 、 资 费 消 耗 、 间 谍 监 控 、 隐 私 窃 取 等 行 为 进 行 有 效 的 检 测 ， 将 恶 意 行 为 暴 露 ， 保 护 用 户 的 隐 私 安 全 和 财 产 安 全 。 在 新 型 恶 意 攻 击 方 式 不 断 涌 现 、 恶 意 软 件 自 身 行 为 持 续 演 化 、 恶 意 软 件 对 抗 行 为 日 益 普 遍 的 背 景 下 ， 自 然 语 言 处 理 、 深 度 学 习 等 智 能 化 方 法 与 程 序 分 析 技 术 不 断 发 展 并 融 合 ， 激 发 出 了 多 种 基 于 智 能 化 技 术 的 恶 意 行 为 检 测 新 思 路 。 这 些 新 技 术 的 应 用 显 著 提 升 了 恶 意 行 为 的 检 测 能 力 ， 为 移 动 生 态 的 安 全 带 来 了 更 多 的 保 障 。
例 如 ， 面 对 新 型 攻 击 不 断 涌 现 ， W e b V i e w 新 型 恶 意 行 为 检 测 技 术 能 够 对 A p p - t o - W e b 攻 击 进 行 建 模 ， 并 通 过 自 动 化 检 测 工 具 发 现 多 款 新 型 恶 意 软 件 ； 面 对 恶 意 软 件 不 断 演 化 ， 通 过 对 A P I 语 义 的 构 建 和 利 用 ， 可 以 增 强 现 有 检 测 模 型 的 可 持 续 检 测 能 力 ； 面 对 对 抗 行 为 不 断 加 剧 ， 通 过 对 轻 量 级 敏 感 行 为 进 行 监 控 ， 可 以 对 恶 意 行 为 进 行 高 效 检 测 。 0 4 O P P O 移 动 应 用 安 全 实 践 移 动 应 用 安 全 实 践 和 和 S D K 安 全 质 量 保 障 实 践 方 案 安 全 质 量 保 障 实 践 方 案 随 着 移 动 互 联 网 的 高 速 发 展 ， 移 动 应 用 中 引 入 第 三 方 S D K 的 数 量 剧 增 ， 而 三 方 S D K 往 往 会 成 为 移 动 应 用 整 体 的 安 全 短 板 。 O P P O 基 于 三 方 基 于 三 方 S D K 安 全 检 测 的 工 作 实 践 结 合 安 全 检 测 的 工 作 实 践 结 合 S D L 实 施 的 经 验 总 结 ， 落 地 了 一 套 移 动 三 方 实 施 的 经 验 总 结 ， 落 地 了 一 套 移 动 三 方 S D K 安 全 质 量 保 障 实 安 全 质 量 保 障 实 践 方 案 。 践 方 案 。 针 对 三 方 针 对 三 方 S D K 主 要 包 括 隐 私 合 规 检 测 、 漏 洞 检 测 和 恶 意 行 为 检 测 三 个 重 点 检 测 内 容 主 要 包 括 隐 私 合 规 检 测 、 漏 洞 检 测 和 恶 意 行 为 检 测 三 个 重 点 检 测 内 容 ， O P P O 采 用 静 态 污 点 分 析 技 术 , 将 敏 感 数 据 标 记 为 污 点 ( S o u r c e 点 ) ， 然 后 通 过 跟 踪 和 污 点 数 据 相 关 的 信 息 的 流 向 ，   检 测 在 关 键 的 程 序 点 （ S i n k 点 ） 是 否 会 影 响 某 些 关 键 的 程 序 操 作 ， 从 而 识 别 程 序 是 否 存 在 安 全 风 险 。
在 技 术 维 度 ， O P P O 制 定 了 制 定 了 “ 安 全 检 测 项 安 全 检 测 项 - 反 射 调 用 检 测 反 射 调 用 检 测 - 黑 名 单 库 黑 名 单 库 - 安 全 检 测 报 告 安 全 检 测 报 告 ” 的 三 方 的 三 方 S D K 检 测 流 程 。 检 测 流 程 。 在 安 全 流 程 的 维 度 ， O P P O 基 于 三 方 S D K 安 全 检 测 的 工 作 实 践 结 合 S D L 实 施 的 经 验 总 结 ， 制 定 了 制 定 了 “ 安 全 评 审 安 全 评 审 - 黑 名 单 匹 配 黑 名 单 匹 配 - 安 全 扫 描 安 全 扫 描 - 人 工 审 计 人 工 审 计 ” 的 三 方 的 三 方 S D K 安 全 质 量 保 障 流 程 ， 保 障 安 全 质 量 保 障 流 程 ， 保 障 O P P O 终 端 安 全 应 用 的 安 全 。 终 端 安 全 应 用 的 安 全 。 而 面 向 移 动 应 用 安 全 ， O P P O 与 参 会 的 安 全 从 业 者 交 流 了 A n d r o i d 平 台 上 的 应 用 安 全 问 题 、 安 全 技 术 发 展 以 及 O P P O 在 移 动 应 用 安 全 领 域 的 行 动 和 积 累 。 O P P O 规 划 了 三 层 次 的 移 动 应 用 安 全 平 台 整 体 架 构 。 第 一 层 是 终 端 安 全 能 力 ， 包 括 安 全 加 固 和 安 全 第 一 层 是 终 端 安 全 能 力 ， 包 括 安 全 加 固 和 安 全 S D K ； 第 二 层 是 云 ； 第 二 层 是 云 端 安 全 测 评 ， 包 括 文 件 扫 描 、 广 告 检 测 、 仿 冒 检 测 、 漏 洞 扫 描 等 等 ； 第 三 层 是 行 业 安 全 解 决 方 案 ， 比 如 广 告 反 作 端 安 全 测 评 ， 包 括 文 件 扫 描 、 广 告 检 测 、 仿 冒 检 测 、 漏 洞 扫 描 等 等 ； 第 三 层 是 行 业 安 全 解 决 方 案 ， 比 如 广 告 反 作 弊 、 广 告 反 切 量 等 等 。 弊 、 广 告 反 切 量 等 等 。 剖 析 安 全 风 险 、 聚 焦 业 务 场 景 ， O P P O 为 开 发 者 和 用 户 提 供 便 捷 、 稳 定 、 有 效 、 全 面 的 业 务 安 全 防 护 与 用 户 隐 私 保 护 能 力 ， 并 为 此 制 定 了 清 晰 的 规 划 ： 基 础 安 全 能 力 建 设 、 用 户 隐 私 保 护 落 地 、 移 动 端 风 控 基 础 能 力 补 齐 、 行 业 安 全 解 决 方 基 础 安 全 能 力 建 设 、 用 户 隐 私 保 护 落 地 、 移 动 端 风 控 基 础 能 力 补 齐 、 行 业 安 全 解 决 方 案 。 案 。
通 过 本 期 O P P O 技 术 开 放 日 ， O P P O 安 全 团 队 为 到 场 的 安 全 领 域 从 业 者 和 高 校 学 生 ， 详 细 解 读 了 应 用 与 数 据 安 全 防 护 ， 以 及 O P P O 安 全 技 术 建 设 和 相 关 成 果 。 O P P O 安 全 热 切 期 待 更 多 安 全 专 家 能 够 加 入 ， 一 同 为 保 护 用 户 数 据 安 全 而 努 力 ， 安 全 热 切 期 待 更 多 安 全 专 家 能 够 加 入 ， 一 同 为 保 护 用 户 数 据 安 全 而 努 力 ， 推 动 安 全 生 态 的 建 设 。 推 动 安 全 生 态 的 建 设 。 最 新 动 态 最 新 动 态 O S R C 重 金 征 集 文 稿 ！ ！ ！ O S R C   2 周 年 第 二 弹 — — 第 五 次 奖 励 升 级 O P P O 互 联 网 D e v S e c O p s 实 践

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理