移动安全秘籍快速上手

尽管网络安全监管当局加强了互联网接入服务者对用户身份识别和网络使用审计的要求,大型商业街区、酒店、餐厅、咖啡馆、书店等等地方仍然有不少开放式的WIFI接入点。

黑客或一些脚本小孩很容易通过开放式的WIFI无线网络入侵到网络内部的脆弱电脑终端、智能手机或平板设备,进而窃取私人敏感信息数据,以及安装后门程序等恶意软件以备日后进一步使用。

部分大型媒体在这方面多使用恫吓手段,片面夸大黑客的力量神秘和互联网的危机重重,缺乏对最终用户进行耐心细致的网络安全教育;一些互联网安全厂商也只是希望最终用户能够为他们带来更多的流量和广告收入,过于强调他们提供的安全防范软件的效力,忽略与用户沟通正确的安全理念认知和安全使用行为,这些并不利于保障最终用户的网络信息安全。

无线网络业界安全专家们多数希望借助创新的高科技手段来“透明地”保障最终用户自由自在地使用WIFI,但是再高科技的手段也需要最终用户来参与使用和操控,这些旨在提升无线网络安全的技术措施可能并不被最终用户所理解和接受,进而被禁用或移除。

无线网络安全界的黑专家们在向最终用户发出错误的诱导,正直的专家们不屑于与菜鸟们进行无线网络安全保障方面的对话,这便是国内信息安全产业可耻现状的典型表现。泱泱大国呼唤对国民进行客观公正的移动安全知识和技能的教育,拒绝故作高深的怪异理论,只需针对普通网民的大白话。

为此,对产品中立、对技术中立的无线安全意识教育课程呼之欲出,普通国民忙于创新社会价值和养家糊口奔小康,根本不会下功夫研究复杂的网络安全技术,所以他们只需要短短的能够快速上手的实用的“无线网络安全教程”。昆明亭长朗然科技有限公司网络安全分析师James Dong深深理会到这一点,便总结了如下九条真经“移动网络安全秘籍”,分享给大众网民,网民应该快速知晓为了保障无疑网络安全哪些是该做的,哪些是不该做的。

  • 安装、启用和保护防病毒软件的更新
  • 安装和启用个人防火墙
  • 关闭不必要的文件分享服务和远程访问服务
  • 对机密敏感文件进行加密
  • 在不需要数据网络时关闭WIFI连接
  • 登录系统以及传输私密文件前启用加密网络连接
  • 确认SSID使用合法的WIFI服务
  • 假设无线黑客就在藏在附近等待截取数据
  • 给智能手机和平板设备添加访问密码和远程跟踪功能

最后,员工自带计算设备BYOD高潮渐至,这些设备更可能在组织外部被使用,比如差旅途中。James建议企业面临越来越多的智能终端和WIFI用户,信息安全管理负责人应该开立移动安全以及WIFI安全教育专题,以应对不断出现的移动互联网安全威胁。

mobile-security-tips

智能终端用户需小心基于WIFI的ARP欺骗

近几年,ARP欺骗让不少企业内网管理员头痛不已,简单从网站上下载一个程序,稍事配置,便可轻易窃取处于内部同一网段中的任何一台机器的流量。网络管理员只能在网络交换设备上将网关等重要机器的Mac地址同IP地址进行绑定,以减轻网络故障的发生率,但是仍有网络终端强行抢占网关等重要设备的资源,让内部网络处于混乱。

随着WIFI的日益普及,基于有线网络的ARP攻击方式现在即将蔓延至无线网络,不过多数善良的智能终端用户显然并未充分认识到这一点,人们会被教育说开放式未加密的WIFI很危险,甚至也知道WEP也不堪一击。多数人们并不明白的是无线网络天生就是不安全的,无线网络中的数据通讯会漂浮在空中信号所能覆盖的距离内,而只能通过线缆的物理连接才能获得通过有线网络传输的数据。

可悲的是由于区域和城乡差距造成的信息化差距,多数人的信息安全意识并不足够,却自以为是,不肯谦虚学习,他们可能会辩论说使用了WPA2安全机制和最强的加密算法,黑客无法窃取无线流量,却不知攻击者借助的手段可能并不是强力破解这些加密系统。

基于iOS平台的iPhone和iPad都有简单的Pirni程序来进行ARP欺骗,Android平台更是黑客的利器,这里支持ARP欺骗的Packet Sniffer程序充斥在应用商店。CNNIC发布的最新互联网安全调查报告称移动互联网终端已经超过个人电脑,吸取PC时代的互联网安全事故历史教训,我们可以预见的是:黑客将远程穿梭跳跃于被控制的智能终端上,不时发起远程溢出攻击和ARP欺骗攻击,侦听、筛选和回传重要数据,甚至制作自动化的蠕虫,用于对终端设备进行渗透和遥控,以及搜索和披露各类机密数据……

如果说设备厂商、软件厂商和运营商可能会窃取智能移动终端用户隐私的话,WIFI窃贼可能控制人们的终端设备或窃取网络通讯流量及网络身份。

有什么应对之道么?昆明亭长朗然科技有限公司安全研究员Bob Xue说:移动终端设备属于个人计算,但也越来越多地用于工作,安全负责人要积极制定和发布智能终端的安全标准,并且采用必要的移动终端安全管理方案和系统,更秣的一点是对用户进行必要的安全意识教育和安全技能操作培训。

首先是保障设备本身的安全,多数设备都有安全相关的功能设置,教育用户学习和启用这些必要安全功能。

其次是关于应用程序的安装,当有免费的软件时,国人不愿意花些小钱,这也是可以理解的,不过要确保软件来源的可靠,要让用户了解到非可信来源的软件可能带来的数据丢失和恶意扣费问题。说到免费软件不得不提到破解,要让用户理解jailbreak和root可能带来的额外法律和安全风险,技术上至少要保证用户修改默认的root密码。

接着,如同保障PC的安全一样,要不断提醒和督促用户及时更新系统及各类应用软件,使用云存储的同时也定期手工备份重要数据。

最后,回到防范基于WIFI的ARP欺骗上,要教育用户在使用WIFI时传输重要数据前,基本的动作是启用VPN连接到可信的网络接入……

智能终端和WIFI的商业应用越来越广泛,攻击者利用无线终端设备、无线用户、无线网络做中介或跳板进入核心的商业信息系统的案子已经初现于媒体。网络信息安全专家可以在无线网络管理上加强,在终端设备和无线用户层面,用户的WIFI安全意识最提升为迫切。