针对无线终端设备的HTTP请求劫持应对之策

cell_phone_http_request_hijack
移动计算设备如同体积轻便的个人电脑一样,功能强大,而且容易携带。除了PC所面临的安全问题之外,人们往往特别关注的是它们所面临的物理安全问题、个人隐私保护问题以及移动应用的安全等等。

毫无疑问,无线终端设备更容易失窃,进而让设备上所存储的个人信息数据外泄。而移动应用的安全问题往往只受到专业领域内的信息安全人员及应用开发人员所关注,只到近来,这里面的安全问题才渐渐浮现出来。昆明亭长朗然科技有限公司的移动安全研究员James Dong称:移动安全不仅仅是防止移动应用的广告插件和恶意程序,将正牌移动应用拆解,植入广告或恶意代码后后重新打包成“免费”的冒牌货,是国内的移动程序开发人员常干的事情。这和国内的商业市场环境和消费者习惯不可分,进而造成大量靠强制用户点击广告和偷卖用户隐私数据赚钱的“打包党”出现。

尽管移动安全所面临的局势很恶劣,我们可以看到政府机构不断在强化对移动应用程序提供者的监管力量,但是我们仍然需要强化警惕,移动计算领域的从业者可能随时变换入侵手法,以实现其罪恶的敛财目的。目前我们已经看到的是会对大众型的移动应用软件的会话劫持攻击,其原理很简单,事先建立好伪造的各类新闻、社交、购物等在线网站或广告插播页面,然后在各WIFI网络中不断发送事先定制好的DNS欺骗,ARP欺骗,HTTP请求及会话劫持等攻击包,将这些常见移动应用客户端引向事先伪造的网站服务器。

有人会估计这种入侵的耗资巨大,还不如在手机等智能设备中预装或捆绑软件来得快,其实,厉害的黑客已经能够通过一次性的WIFI攻击,使用HTTP 301永久转向等功能,而让移动应用程序受到永久的感染,所以,在机场、地铁等人流密集的地方进行这种活动还是很值得的。

防范之道从应用层面讲,可能需要强化移动网站服务器与移动终端之间的认证和通讯加密功能,这都需要一定的金钱和时间的投入。另一方面,则是从移动终端使用人员来进行,提升人们的信息安全意识,比如在接入公共的WIFI之后,立即启用VPN连接将所有通讯进行加密,以防范窃听和劫持。

当然,无线移动终端计算设备所面临的安全威胁还很多,我们不仅要强化移动计算服务和终端设备的安全,更需要让移动用户提高警惕,通过一部在线的移动设备信息安全意识教程,我们可以实现这些。

移动安全秘籍快速上手

尽管网络安全监管当局加强了互联网接入服务者对用户身份识别和网络使用审计的要求,大型商业街区、酒店、餐厅、咖啡馆、书店等等地方仍然有不少开放式的WIFI接入点。

黑客或一些脚本小孩很容易通过开放式的WIFI无线网络入侵到网络内部的脆弱电脑终端、智能手机或平板设备,进而窃取私人敏感信息数据,以及安装后门程序等恶意软件以备日后进一步使用。

部分大型媒体在这方面多使用恫吓手段,片面夸大黑客的力量神秘和互联网的危机重重,缺乏对最终用户进行耐心细致的网络安全教育;一些互联网安全厂商也只是希望最终用户能够为他们带来更多的流量和广告收入,过于强调他们提供的安全防范软件的效力,忽略与用户沟通正确的安全理念认知和安全使用行为,这些并不利于保障最终用户的网络信息安全。

无线网络业界安全专家们多数希望借助创新的高科技手段来“透明地”保障最终用户自由自在地使用WIFI,但是再高科技的手段也需要最终用户来参与使用和操控,这些旨在提升无线网络安全的技术措施可能并不被最终用户所理解和接受,进而被禁用或移除。

无线网络安全界的黑专家们在向最终用户发出错误的诱导,正直的专家们不屑于与菜鸟们进行无线网络安全保障方面的对话,这便是国内信息安全产业可耻现状的典型表现。泱泱大国呼唤对国民进行客观公正的移动安全知识和技能的教育,拒绝故作高深的怪异理论,只需针对普通网民的大白话。

为此,对产品中立、对技术中立的无线安全意识教育课程呼之欲出,普通国民忙于创新社会价值和养家糊口奔小康,根本不会下功夫研究复杂的网络安全技术,所以他们只需要短短的能够快速上手的实用的“无线网络安全教程”。昆明亭长朗然科技有限公司网络安全分析师James Dong深深理会到这一点,便总结了如下九条真经“移动网络安全秘籍”,分享给大众网民,网民应该快速知晓为了保障无疑网络安全哪些是该做的,哪些是不该做的。

  • 安装、启用和保护防病毒软件的更新
  • 安装和启用个人防火墙
  • 关闭不必要的文件分享服务和远程访问服务
  • 对机密敏感文件进行加密
  • 在不需要数据网络时关闭WIFI连接
  • 登录系统以及传输私密文件前启用加密网络连接
  • 确认SSID使用合法的WIFI服务
  • 假设无线黑客就在藏在附近等待截取数据
  • 给智能手机和平板设备添加访问密码和远程跟踪功能

最后,员工自带计算设备BYOD高潮渐至,这些设备更可能在组织外部被使用,比如差旅途中。James建议企业面临越来越多的智能终端和WIFI用户,信息安全管理负责人应该开立移动安全以及WIFI安全教育专题,以应对不断出现的移动互联网安全威胁。

mobile-security-tips