移动计算时代应该严肃对待安全漏洞

从城市到乡村,走一走,看一看,智能手机和平板电脑几乎无处不在了。虽然移动数据通讯的昂贵资费问题仍然是搞活移动互联网经济的最后一道障碍,但是大的趋势需要我们来积极拥抱,商业以及家庭WIFI几乎覆盖到城乡的各个角落,虚拟移动运营商必将打破电信业务的垄断,移动信息化就在眼前。

各厂商纷纷摩拳擦掌,要决胜移动终端,让用户可以随时随地随意购物。市场营销、业务创新与IT部门开始专为移动设备创建入口网站,设计开发移动APP,唯恐落后被行业竞争者或颠覆者抢了先。于是,移动平台软件开发人员开始供不应求,程序员的春天来了……

不过,心中痒痒欲上马移动互联网的主儿们却比较小心翼翼,甚至有些犹豫不决,因为人们忘不了当年的互联网泡沫。其实,两者并不具可比性,互联网泡沫时候人们在纯玩互联网,拉带宽,建网站,与实体经济关系不大甚至完全无关。不同的是,移动互联网是为了帮助商业模式创新,通过改进客户体验来获得更好的竞争力,并不是纯粹局限在技术层面玩一玩。

所以,不要迟疑,立即行动起来吧!可是也不能盲目投资,谁都不想让真金白银统统打了水漂,弄的个血本无归吧?那怎么开始呢?昆明亭长朗然科技有限公司的移动应用安全分析师James Dong说:及早行动抢得市场先机很必要,但是不能忘了这不是一蹴而就的事儿,俗话说“欲速则不达”,先进入者也不见得能赢在后面。

基于iOS和Android平台的移动应用已经汗牛充栋,如何能让那些被海量移动应用冲击的疲惫不堪的用户使用呢?需要不断改进消费者体验。亭长朗然公司的James说:消费者体验,好说,难做。今天,随便在国内发达城市的街头找个IT人都能做出个UI豪华的APP来,可是往往华而不实,缺乏内涵。反观海外的软件如SAP等,则恰恰相反,界面简陋的有些像丑八怪,内在功能却强大实用无比。拜托,用户来这儿是花钱买产品和服务的,是来享受的或找实惠的,不是看网络店面装修是否豪华的。当然啦,门面也不能太寒碜的吓跑用户。

关键的移动应用功能还需要不少,特别在数据安全方面,无疑用户的数据搜集、分析和利用是商业创新和制胜的法宝。同时,我们还需要遵循行业内的高安全标准和严格的个人信息和用户隐私保护法规,这可不是可以轻视的。计算机黑客、竞争对手和商业间谍也对这些数据虎视眈眈呢!

数据安全保护最关键的无疑是移动应用程序的安全漏洞,几乎所有的移动App都用被恶意利用的“空子”,这就是所谓的安全漏洞或安全弱点。软件有安全漏洞是正常的,并非说软件开发人员的安全意识不够,或安全水平太次,在个人电脑上不也是每个月都要修补嘛!

移动应用的安全漏洞应该被严肃对待,这并不简单只是定期刷新一下小功能,更新一下版本让用户去下载这么简单。除了程序更新相关流程之外,我们还需要一个安全通知机制,及时告知用户相关的安全问题,并引导其进行正确的软件补丁修复行动。

对于移动应用开发能力并不充足的机构组织来讲,我们的建议是制作移动版本的Web门户,再基于此开发设计出“轻量级”的移动应用APP,这样可在提升安全性的同时,节省开发成本。典型的“轻量级”移动应用有FT中文网,对于一般的读者来说,其实使用体验也还是很不错的。

移动计算时代亲历移动安全事件

近年来,电子政务、电子商务再也不只是概念,而是实实在在地改变了传统的工作、生活、学习流程。特别在移动计算时代,“一部手机走遍天下”,吃喝玩乐都只需“动动指头”,让人们不得不感叹技术变革的魔力。

首先,在政务领域,早年到政府机关办个事儿得堆笑脸,求爷爷告奶奶般,东跑西跑累死人。而在后疫情时代,企业人员要想办一些事儿,再也不用去给领导“送礼”了,甚至“排除取号”都不用,只需通过系统,动动指头,扫扫面部,验证真实身份,就能立等通过批复。对此,不得不说,靠着信息技术,靠着“无情死板”的数字指标,很多政府机关单位在很大程度上解决了一些部门和人员的冗员低效、吃拿卡要甚至一些贪污腐败、官商勾结等官场暗黑顽疾。

其次,在商业领域也几乎是同样,计划经济时代,物资缺乏,有些人穷得裤子都没得穿,而今市场经济活力旺盛,制造、电商、支付与物流体系已经非常发达,电商平台不断进行技术创新,打破区域与信息垄断,让价格竞争变得公开透明,让消费者有了更多选择和便利,那些传统上靠地方保护主义、恶意抬价、坑蒙拐骗的不法奸商或者占个好地段儿就能躺着发大财的懒人将越来越艰难。

不过,在守法公民们享受网络技术利好的同时,不法分子们也纠集起来,组成犯罪团伙,并积极利用创新技术,靠着信息鸿沟、认知差距和人性弱点,进而实施各种网络电信诈骗等不法活动,并以此谋取不法利益。对此,昆明亭长朗然科技有限公司网络安全研究员董志军表示:现有的所有技术和解决方案能够一定程度地遏制及反击网络犯罪,然而,针对网络犯罪的首要防御措施,仍然是用户意识,永远不要想完全依赖强大的技术力量对抗不法分子,因为技术似乎永远无法让部分用户(消费者)比不法分子更聪明,是吧?相反,为了使技术更低门槛、更普及、更高效,技术的发展方向似乎越来越让用户变得“傻瓜化”。

用户(消费者)需要应对风险的能力,比如了解到在何时会面临到何种威胁。当下,我们最大的曝光是当我们使用我们的智能手机时。这些设备不仅包含我们所有喜爱的照片、音乐和视频,还包含通讯录、电子邮件、健康信息、银行数据,甚至保存下来的密码、指纹、面部数据等等。当然,我们经常发现自己在享用这些应用程序提供的强大而实用的功能,根本没有意识到会有什么风险,是吧?

最近一位家长换了手机,需要下载某教育应用,以便完成家校之间的沟通,其在某家应用商店中找到了该应用并开始下载。在下载过程中,安装程序提供用户必须确认其所需的访问权限。我相信该屏幕对于使用安卓手机的人们来讲并不陌生。然而该家长是安卓手机的新手,想知道这些到底是什么意思,对其来讲意味着什么。在查看此权限屏幕时,我看到了我之前多次看到的内容,但是呢,这次也有点不同。实际上,该安卓应用程序并非真实的需要完成家校沟通的那款教育应用,而是名称非常相近的“李鬼”应用程序,而且还请求用户允许访问安卓设备,并提出大量令人担忧的权限请求,包括以下权限:

  • 使用位置信息,访问互联网和局域网络
  • 访问手机帐户,包括电子邮件和消息应用程序
  • 访问地址簿和最近联系列表
  • 读取、修改或删除 USB 存储设备的内容
  • 控制手机震动,防止设备休眠

我不禁感到心惊,多年来,多部委不断加强APP整治,专项整治“运动”是一拨接一拨,应用商店和不法应用被频频曝光和下架,如此高压之下,竟然还有如此大胆收集用户个人信息的假冒应用!

在躲开假冒应用之后,该家长成功安装了正牌的教育应用,在我的建议下,该家长对“李鬼”进行的举报投诉,在了解到新型电信诈骗非常精准地利用个人信息之后,该家长深感庆幸,要对我表示感谢。作为网络安全创业者,我帮助了很多企业级的客户,提升员工们的移动安全意识,想不到竟然也在生活中,作为一名家委,竟然也能在专业领域,帮上了一名家长保护住了个人信息,防止被APP非法收集和滥用。真是成就感油然而生,更为自己的专业感到自豪。

对于企业级的客户来讲,虽然通过部署一些移动安全管理系统,最大程度地降低移动设备的攻击面,可以让企业级的信息安全风险降至一定的水平。然而,并非所有用户的手机都是工作资产,也就是可能个人手机也会用于工作目的,这就给移动管理带来困难和挑战,因此,目前给用户的最佳安全建议仍然是谨慎行事,在移动计算方面保持警惕。移动应用安全意识不仅是职工们保护工作信息安全,同时也是保护自己免受网络犯罪分子侵害的关键。

昆明亭长朗然科技有限公司推出了大量的网络安全意识宣传教育内容,包括动画视频、平面图片和电子课件资源,其中也有网络安全相关的法规科普,以及员工们需知的数据安全保护知识,欢迎有兴趣的客户及行业合作伙伴联系我们,预览作品以及洽谈采购合作。