搜索

[2548] 2016-01-06_2016年六大顶级移动安全威胁综述

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2016-01-06_2016年六大顶级移动安全威胁综述 2 0 1 6 年 六 大 顶 级 移 动 安 全 威 胁 综 述 E 安 全   2 0 1 6 - 0 1 - 0 6 随 着 2 0 1 6 年 的 正 式 来 临 ， 我 和 我 所 在 的 安 全 团 队 一 直 在 努 力 就 自 身 最 为 关 注 的 未 来 移 动 安 全 发 展 趋 势 及 安 全 漏 洞 做 出 展 望 。 我 对 这 些 威 胁 加 以 阐 述 的 目 的 绝 不 是 制 造 恐 慌 气 氛 或 者 做 出 警 告 ， 而 是 要 对 新 一 年 中 我 们 可 能 面 对 的 各 类 严 重 安 全 问 题 做 出 描 绘 ， 同 时 希 望 整 个 安 全 行 业 能 够 利 用 预 防 措 施 对 此 做 出 准 备 ， 从 而 最 大 程 度 加 以 化 解 甚 至 抢 先 一 步 堵 住 缺 口 。 1 .   恐 怖 主 义 恐 怖 主 义 发 生 在 巴 黎 、 圣 贝 纳 迪 诺 以 及 世 界 其 它 地 区 的 恐 怖 袭 击 已 经 明 确 宣 告 ， 新 的 一 年 移 动 安 全 也 将 成 为 恐 怖 主 义 活 动 的 重 要 空 间 。 我 们 将 看 到 业 界 越 来 越 多 地 利 用 具 备 端 到 端 加 密 机 制 的 电 报 及 R e d p h o n e 类 通 信 应 用 实 现 安 全 交 流 ， 从 而 避 免 相 关 内 容 遭 到 窃 听 。 我 的 团 队 也 正 在 追 踪 这 类 合 法 应 用 的 动 向 ， 关 注 犯 罪 分 子 是 否 正 在 对 其 加 以 使 用 并 将 其 作 为 临 时 性 （ 有 时 甚 至 是 一 次 性 ） 通 信 手 段 。 展 望 未 来 ， 我 们 预 计 恐 怖 分 子 可 能 会 将 数 据 隐 藏 在 视 频 当 中 ， 并 利 用 Y o u T u b e 等 主 流 在 线 媒 体 服 务 实 现 隐 蔽 通 信 — — 举 例 来 说 ， 视 频 中 可 能 包 括 人 类 无 法 听 到 或 者 理 解 的 暗 码 ， 但 其 特 殊 音 频 频 率 可 通 过 某 种 特 殊 的 监 听 程 序 进 行 翻 译 。 2 . 黑 客 将 矛 头 指 向 移 动 支 付 服 务 黑 客 将 矛 头 指 向 移 动 支 付 服 务
基 于 黑 帽 黑 客 们 从 另 一 角 度 给 出 的 安 全 建 议 ， 我 们 意 识 到 A p p l e   P a y 以 及 S a m s u n g   P a y 等 领 先 移 动 支 付 平 台 在 2 0 1 6 年 当 中 有 可 能 遭 遇 严 重 的 安 全 威 胁 。 实 际 案 例 可 能 并 不 涉 及 对 支 付 处 理 算 法 的 破 解 ， 而 是 通 过 对 整 体 系 统 进 行 分 析 以 实 现 机 制 回 避 与 安 全 漏 洞 利 用 ， 最 终 导 致 信 用 卡 信 息 诈 骗 、 敲 诈 勒 索 乃 至 非 法 使 用 状 况 。 我 们 目 前 已 经 看 到 了 恶 意 人 士 如 何 在 未 经 银 行 验 证 的 前 提 下 将 被 窃 取 信 用 卡 信 息 成 功 添 加 至 A p p l e   P a y 账 户 当 中 ， 从 而 使 得 诈 骗 分 子 能 够 利 用 失 窃 信 用 卡 信 息 作 为 支 付 活 动 的 敲 门 砖 。 很 快 ， 类 似 的 技 术 必 然 会 出 现 在 在 线 交 易 当 中 。 苹 果 与 三 星 双 方 绝 不 是 即 将 沦 为 受 害 者 的 惟 一 目 标 。 其 它 同 样 使 用 简 单 支 付 流 程 的 移 动 支 付 应 用 也 将 面 临 同 样 的 威 胁 ， 例 如 黑 客 将 能 够 更 为 轻 松 地 攻 破 V e n m o 并 将 用 户 账 户 内 的 资 金 转 移 至 虚 拟 账 户 当 中 ， 以 待 后 续 使 用 。 （ 我 们 正 在 监 视 这 类 地 下 活 动 ， 不 过 目 前 尚 不 清 楚 是 否 已 经 出 现 了 成 功 的 此 类 攻 击 行 为 。 ） 3 . 基 于 移 动 网 络 浏 览 器 的 黑 客 活 动 正 在 崛 起 基 于 移 动 网 络 浏 览 器 的 黑 客 活 动 正 在 崛 起 我 们 预 计 面 向 A n d r o i d 及 i P h o n e 等 移 动 系 统 内 核 的 C h r o m e 、 火 狐 、 S a f a r i 以 及 其 它 一 些 移 动 版 本 浏 览 器 将 在 未 来 几 个 月 当 中 经 历 频 繁 攻 击 。 事 实 上 ， 通 过 移 动 浏 览 器 实 施 的 黑 客 活 动 已 经 成 为 最 为 有 效 的 智 能 手 机 突 破 途 径 ， 因 为 利 用 浏 览 器 中 的 安 全 漏 洞 能 够 帮 助 黑 客 绕 过 其 它 多 种 系 统 层 级 的 安 全 机 制 。 以 下 事 实 应 该 能 让 大 家 更 清 晰 地 认 识 地 此 类 问 题 的 严 重 性 ： 基 于 W e b k i t 的 安 全 漏 洞 允 许 黑 客 们 绕 过 浏 览 器 中 的 沙 箱 机 制 或 者 现 代 浏 览 器 所 内 置 的 安 全 保 护 方 案 。 这 是 一 种 很 大 程 度 上 由 操 作 系 统 / 内 核 层 级 引 发 的 漏 洞 利 用 状 况 ， 能 够 访 问 系 统 r o o t 并 获 取 对 设 备 的 整 体 控 制 能 力 。 操 作 系 统 层 面 的 一 大 漏 洞 利 用 实 例 正 是 S t a g e f r i g h t ， 这 是 一 套 深 藏 于 A n d r o i d 操 作 系 统 内 部 的 库 。 尽 管 谷 歌 方 面 已 经 于 今 年 夏 季 发 布 补 丁 修 复 了 该 问 题 ， 不 过 Z i m p e r i u m 而 后 又 在 1 0 月 推 出 了 对 该 漏 洞 的 第 二 种 利 用 方 式 ， 也 就 是 S t a g e f r i g h t   2 . 0 。 当 通 过 网 络 浏 览 器 对 其 加 以 执 行 之 后 ， 这 种 漏 洞 利 用 途 径 将 带 来 切 实 有 效 的 入 侵 可 能 。 我 们 预 计 这 类 安 全 漏 洞 将 在 未 来 几 个 月 之 内 大 量 出 现 ， 并 将 在 今 后 几 年 当 中 被 恶 意 人 士 们 所 广 泛 使 用 。 4 . 远 程 设 备 劫 持 远 程 设 备 劫 持 / 窃 听 窃 听
归 功 于 A n d r o i d 设 备 的 爆 炸 式 增 长 ， 世 界 范 围 内 的 数 十 亿 人 口 将 很 快 拥 有 属 于 自 己 的 智 能 手 机 。 大 多 数 此 类 手 机 当 中 包 含 预 装 应 用 程 序 ， 且 通 常 未 经 过 谷 歌 公 司 官 方 安 全 团 队 的 确 认 或 者 分 析 。 在 这 种 情 况 下 ， 远 程 设 备 劫 持 就 成 了 非 常 现 实 的 安 全 威 胁 。 A n d r o i d 智 能 手 机 由 于 向 O E M 制 造 商 开 放 高 度 可 定 制 空 间 ， 因 此 这 种 威 胁 也 将 继 续 存 在 并 不 断 恶 化 — — 当 然 ， 我 们 应 该 也 会 看 到 更 多 来 自 O E M 厂 商 的 安 全 更 新 / 修 复 补 丁 。 事 实 上 ， 我 认 为 由 设 备 制 造 商 发 布 的 更 新 及 补 丁 在 新 的 一 年 中 将 迎 来 数 量 倍 增 。 与 此 相 关 的 实 际 表 现 包 括 中 间 人 攻 击 （ 或 者 简 称 为 M i t M ） 威 胁 的 兴 起 。 新 的 智 能 手 机 持 有 者 们 通 常 没 有 意 识 到 或 者 无 法 在 其 设 备 上 贯 彻 良 好 的 安 全 保 护 习 惯 。 举 例 来 说 ， 他 们 可 能 会 允 许 自 己 的 设 备 自 动 连 接 未 受 保 护 的 接 入 点 / W i F i 连 接 ， 而 这 类 连 接 不 会 对 网 络 当 中 传 输 的 数 据 进 行 加 密 。 这 可 能 导 致 非 安 全 应 用 泄 露 用 户 的 登 录 凭 证 ， 而 黑 客 则 能 够 直 接 “ 查 看 ” 该 移 动 设 备 所 发 送 的 数 据 内 容 。 另 外 值 得 关 注 的 是 ， 黑 客 有 可 能 对 用 户 发 送 或 者 接 收 的 对 话 乃 至 消 息 进 行 窃 听 。 我 的 同 事 D a n e i l   K o m a r o m y 与 N i c o   G o l d e 最 近 刚 刚 发 布 了 一 份 针 对 三 星 S h a n n o n 基 带 芯 片 的 黑 客 入 侵 报 告 ， 他 们 成 功 在 绕 开 了 系 统 检 测 的 前 提 下 窃 听 到 了 这 些 设 备 进 行 的 呼 叫 通 话 内 容 。 5 .   D D o S 攻 击 正 不 断 演 进 截 至 目 前 ， 大 部 分 拒 绝 服 务 攻 击 都 属 于 罕 见 且 暂 时 性 的 困 扰 ， 而 且 大 多 数 较 为 出 色 的 企 业 网 络 都 有 能 力 加 以 应 对 。 然 而 ， 手 机 及 其 它 互 联 网 接 入 设 备 的 增 长 使 得 D D o S 攻 击 迎 来 快 速 发 展 。 我 们 开 始 发 现 此 类 设 备 受 到 劫 持 并 成 为 D D o S 活 动 中 的 肉 鸡 ， 并 因 此 大 大 提 升 了 检 测 并 预 防 拒 绝 服 务 攻 击 的 难 度 。 我 们 应 当 对 此 类 攻 击 活 动 做 好 准 备 ， 而 且 其 将 随 着 更 多 互 联 网 接 入 设 备 不 断 涌 入 市 场 而 变 得 愈 发 严 重 。 而 这 也 引 发 了 最 后 但 同 样 重 要 的 一 项 新 兴 威 胁 ： 6 . 物 联 网 带 来 更 多 安 全 漏 洞 物 联 网 带 来 更 多 安 全 漏 洞
微 信 名 ： 微 信 名 ： E 安 全 安 全 微 信 微 信 I D ： ： E A Q a p p 最 近 曝 出 的 儿 童 无 线 玩 具 中 存 在 的 安 全 漏 洞 令 全 世 界 震 惊 ， 更 不 用 提 针 对 自 动 驾 驶 汽 车 的 黑 客 活 动 可 能 引 发 的 财 产 乃 至 人 身 威 胁 ， 这 一 切 也 标 志 着 物 联 网 时 代 下 安 全 保 护 工 作 仍 然 任 重 道 远 。 越 来 越 多 的 设 备 开 始 内 置 互 联 网 接 入 能 力 ， 但 却 往 往 未 能 匹 配 正 确 的 安 全 配 置 / 保 护 机 制 ， 这 不 仅 增 加 了 潜 在 攻 击 面 ， 同 时 也 可 能 导 致 运 行 于 其 间 的 操 作 系 统 、 驱 动 程 序 以 及 其 它 软 件 成 为 恶 意 活 动 传 播 的 载 体 。 所 有 通 过 蓝 牙 或 者 W i - F i 与 物 联 网 设 备 相 对 接 的 移 动 应 用 都 可 能 因 此 身 陷 风 险 。 另 外 ， 黑 客 还 能 够 利 用 层 出 不 穷 的 此 类 漏 洞 通 过 移 动 / 无 线 设 备 实 施 之 前 提 到 的 D D o S 攻 击 。 在 配 合 移 动 / 智 能 木 马 的 情 况 下 ， 黑 客 有 可 能 借 此 获 得 对 目 标 设 备 的 远 程 控 制 能 力 ， 从 而 接 入 到 私 有 安 全 网 络 当 中 。 而 且 正 如 担 忧 观 点 所 言 ， 互 联 网 接 入 医 疗 设 备 也 可 能 由 于 糟 糕 的 配 置 而 面 临 安 全 风 险 ， 这 意 味 着 黑 客 将 能 够 接 入 并 远 程 对 其 进 行 操 控 。 举 例 来 说 ， 联 网 超 声 波 扫 描 仪 等 医 疗 设 备 通 常 采 用 硬 编 码 形 式 的 默 认 登 录 / 密 码 以 实 现 远 程 访 问 ， 而 其 内 容 相 对 比 较 容 易 被 猜 出 。 2 0 1 3 年 ， 我 的 同 事 J a y   R a d c l i f f 就 曾 演 示 过 如 何 通 过 恶 意 篡 改 增 加 胰 岛 素 泵 胰 岛 素 供 应 量 的 方 法 。 这 是 一 种 悲 剧 性 的 结 果 ， 而 且 极 具 讽 刺 意 味 的 是 ， 此 类 用 于 挽 救 生 命 的 设 备 可 能 会 最 终 被 用 于 谋 杀 使 用 者 。 这 一 切 都 意 味 着 层 出 不 穷 的 安 全 威 胁 将 造 就 一 个 可 怕 的 未 来 ， 但 我 们 也 必 须 承 认 ， 希 望 各 相 关 组 织 机 构 能 够 根 据 之 前 提 到 的 各 类 安 全 漏 洞 拿 出 直 接 、 积 极 且 主 动 的 应 对 举 措 ， 从 而 在 发 挥 新 兴 技 术 巨 大 潜 能 的 同 时 实 现 安 全 保 障 。 安 全 手 段 与 黑 客 行 为 的 发 展 趋 势 有 可 能 在 一 夜 之 间 发 生 变 化 ， 而 安 全 保 障 团 队 则 往 往 仍 在 遵 循 两 年 之 前 的 工 作 理 念 — — 但 这 种 作 法 在 2 0 1 6 年 显 然 将 失 去 实 际 效 果 。 本 文 原 作 者 M i n - P y o   H o n g 为 旧 金 山 S E W O R K S 公 司 创 始 人 兼 C E O 。 他 在 过 去 二 十 年 中 曾 立 足 于 数 字 化 安 全 问 题 担 任 多 家 企 业 、 非 政 府 组 织 以 及 政 府 机 关 之 顾 问 角 色 ， 并 曾 带 领 一 支 安 全 团 队 五 次 入 围 D E F C O N 。 转 载 请 注 明 来 自   E 安 全   （ w w w . e a s y a q . c o m ） 您 也 可 以 下 载 E 安 全 a p p 获 取 及 时 最 及 时 的 安 全 资 讯 ❶   点 击 往 期 内 容 ， 查 看 更 多 ❷   复 制 网 址 在 浏 览 器 打 开 w w w . e a s y a q . c o m ❸   长 按 右 侧 二 维 码 ， 关 注 E 安 全 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理