◆申鴻燁 于維海

（沈陽廣播電視大學(xué) 遼寧 110003）

Android網(wǎng)絡(luò)學(xué)習(xí)平臺安全架構(gòu)的相關(guān)研究

◆申鴻燁 于維海

（沈陽廣播電視大學(xué) 遼寧 110003）

目前，鑒于手機 Android 網(wǎng)絡(luò)學(xué)習(xí)平臺的廣泛應(yīng)用，Android 平臺的安全就成了一個嚴(yán)重問題。本文首先從Android 網(wǎng)絡(luò)學(xué)習(xí)平臺存在的網(wǎng)絡(luò)安全問題，如：手機端木馬、網(wǎng)絡(luò)入侵、網(wǎng)絡(luò)攻擊等分析出發(fā)進行研究，最后給出了Android 網(wǎng)絡(luò)學(xué)習(xí)平臺網(wǎng)絡(luò)安全的保護措施。

手機網(wǎng)絡(luò)安全；Android 平臺；安全措施

0 引言

沈陽廣播電視大學(xué)在全國范圍內(nèi)較早地開展了終身教育工作，終身教育學(xué)院和繼續(xù)教育學(xué)院自2007年起，陸續(xù)與沈陽市的凱旋社區(qū)、振興社區(qū)等10余個街道和社區(qū)、遼寧省保監(jiān)會，沈陽市財政局，沈陽市藥監(jiān)局，沈陽市交通局等多個行業(yè)主管部門開展遠程終身教育合作，依托沈陽終身教育學(xué)習(xí)平臺(http：//www.syeee.net/)，實現(xiàn)了現(xiàn)代信息技術(shù)與終身教育的深度融合。大力開展“百名教授進社區(qū)”等活動，開發(fā)了沈陽市干部在線學(xué)習(xí)網(wǎng)、沈陽市公務(wù)員在線學(xué)習(xí)網(wǎng)等諸多終身學(xué)習(xí)子平臺，學(xué)員可以通過PC或者Android手機移動端參與學(xué)習(xí)，切實為全市市民提供了人人皆學(xué)、時時能學(xué)、處處可學(xué)的在線學(xué)習(xí)環(huán)境。學(xué)習(xí)平臺時刻面臨著來自互聯(lián)網(wǎng)的各種訪問，也時刻存在各種網(wǎng)絡(luò)攻擊，為保證平臺能夠為用戶提供不間斷的流暢服務(wù)，網(wǎng)絡(luò)安全極其重要，提高網(wǎng)絡(luò)安全性迫在眉睫。鑒于手機Android平臺的廣泛應(yīng)用，Android平臺的安全研究具有深遠意義。

1 Android網(wǎng)絡(luò)學(xué)習(xí)平臺網(wǎng)絡(luò)安全問題分析

Android網(wǎng)絡(luò)學(xué)習(xí)平臺的服務(wù)器被托管在學(xué)校機房，服務(wù)器端使用asp.net開發(fā)，通過專線與外部連接，由Web服務(wù)器、SQL Server數(shù)據(jù)庫服務(wù)器、Windows Media Server流媒體服務(wù)器等多臺服務(wù)器組成，另外包括磁盤陣列、防火墻等，因此，存在以下安全問題：

1.1 手機端木馬

木馬程序是指由計算機遠程控制另一臺計算機，包括控制端和控制端兩個應(yīng)用程序。不同于病毒，木馬最初沒有主動傳播，而是偽裝成一個正常的應(yīng)用，吸引服務(wù)器管理員安裝并運行，然后躲在服務(wù)器后，在管理員未知情況下，服務(wù)器端的信息被發(fā)送到控制終端，也可以通過遠程終端控制操作，在不知不覺中破壞服務(wù)器，竊取文件等操作，對信息安全服務(wù)器的嚴(yán)重威脅。

例如，Backdoor.AndroidOS.Obad.a木馬，能利用 Android操作系統(tǒng)未知的漏洞提升程序權(quán)限，并能阻止被感染機器試圖卸載惡意程序，通過悄悄向增值服務(wù)號碼發(fā)送短信獲利，此外，還能下載額外的模塊，并通過藍牙連接傳播，還具有其它先進功能，包括復(fù)雜的代碼混淆技術(shù)，利用Android未知的漏洞，阻止刪除等，可見木馬對安全性造成極大危害，必須注意防范。

1.2 網(wǎng)絡(luò)入侵

網(wǎng)絡(luò)入侵是利用網(wǎng)絡(luò)或服務(wù)器平臺存在的漏洞或安全性缺陷進行侵入，從而達到竊取服務(wù)器信息或者破壞服務(wù)器的目的。和網(wǎng)絡(luò)攻擊不同，網(wǎng)絡(luò)入侵已不再以降低服務(wù)器性能為目的，而是謀求侵入服務(wù)器平臺獲取數(shù)據(jù)。常見的入侵手段包括：偵測服務(wù)器哪些端口處于激活狀態(tài)、掃描服務(wù)器端口、服務(wù)器使用的操作系統(tǒng)漏洞以及提供哪些服務(wù)，為隨后的入侵攻擊做好準(zhǔn)備。服務(wù)器被黑客攻擊，可以遠程操作，竊取機密數(shù)據(jù)，或攻擊服務(wù)器作為跳板攻擊，然后攻擊其他服務(wù)器。網(wǎng)絡(luò)入侵的常見方式是SQL注入和通過緩沖區(qū)溢出入侵服務(wù)器。

1.3 網(wǎng)絡(luò)攻擊

網(wǎng)絡(luò)攻擊是利用現(xiàn)有的網(wǎng)絡(luò)漏洞、安全漏洞、網(wǎng)絡(luò)硬件、軟件平臺和數(shù)據(jù)破壞。網(wǎng)絡(luò)攻擊與計算機病毒和計算機木馬不同，后者發(fā)起攻擊的位置是服務(wù)器自身，對其防范的范圍可以局限于服務(wù)器本身，而前者發(fā)起攻擊的位置則可能是互聯(lián)網(wǎng)上任何一臺能夠訪問服務(wù)器的計算機，因此網(wǎng)絡(luò)攻擊防護范圍更廣，防范難度更大。

常見的網(wǎng)絡(luò)攻擊模式包括：（1）偽造信息，偽裝成真實數(shù)據(jù)，實現(xiàn)合法用戶合法權(quán)益。（2）拒絕服務(wù)，即DoS（Deny of Service），通過向服務(wù)器發(fā)送大量數(shù)據(jù)連接到服務(wù)器，消耗大量的資源連接，從而達到資源耗盡的效果，服務(wù)器服務(wù)器的性能。這是近年來常見的服務(wù)器攻擊模式，一旦出現(xiàn)拒絕服務(wù)攻擊，往往導(dǎo)致學(xué)習(xí)平臺的訪問緩慢，用戶無法訪問，極大地降低了用戶體驗。

2 Android網(wǎng)絡(luò)學(xué)習(xí)平臺網(wǎng)絡(luò)安全措施

2.1 Android安全性分析

Android采用分層的系統(tǒng)架構(gòu)，由下往上分別是linux內(nèi)核層、硬件抽象層、系統(tǒng)運行時庫層、應(yīng)用程序框架層和應(yīng)用程序?qū)印?/p>

Android以Linux操作系統(tǒng)內(nèi)核為基礎(chǔ)，實現(xiàn)硬件設(shè)備驅(qū)動、進程和內(nèi)存管理、網(wǎng)絡(luò)協(xié)議棧、電源管理等核心系統(tǒng)功能。除此以外，Android還增加了一些面向移動設(shè)備的特有功能，如低內(nèi)存管理、匿名共享內(nèi)存，以及進程間通信Binder機制。這些功能的增強進一步提升了Android在內(nèi)存管理、進程間通信等方面的安全性。

Android程序采用Java語言開發(fā)，目前常用的一些反編譯工具比如apktool等能夠毫不費勁地還原Android里的明文信息。一旦Java代碼里存在明文敏感信息，基本上就是毫無安全而言的。如果重打包即通過反編譯后重新加入惡意代碼邏輯，重新打包一個 APK文件，發(fā)布到服務(wù)器上，必將對用戶手機造成木馬的危害。

2.2 Android安全性措施

包括以下幾點：

（1）應(yīng)用權(quán)限控制。通過控制應(yīng)用程序的權(quán)限防止惡意應(yīng)用對系統(tǒng)造成破壞，采取的措施包括合理使用系統(tǒng)內(nèi)置權(quán)限和應(yīng)用程序自定義權(quán)限。

（2）應(yīng)用程序簽名。采用數(shù)字簽名為應(yīng)用程序簽名。

（3）應(yīng)用加固。應(yīng)用加固包括病毒掃描、防注入、防調(diào)試、防篡改四個模塊，目前行業(yè)內(nèi)已經(jīng)出現(xiàn)了很多的應(yīng)用加固解決方案，如360應(yīng)用加固、騰訊云應(yīng)用加固、百度應(yīng)用加固等等。

還可以通過專業(yè)的病毒和木馬查殺軟件如 360安全軟件，McAfee等定期檢查。從人員管理角度，要注意操作人員存取權(quán)限，對U盤或網(wǎng)絡(luò)下載要尤其注意。對于學(xué)生或教師作為用戶上傳到服務(wù)器平臺的壓縮包，也要定期查殺工作，防止由于 APP程序感染病毒，造成學(xué)員手機被大面積感染傳播的情況。

3 結(jié)語

網(wǎng)絡(luò)安全是Android網(wǎng)絡(luò)學(xué)習(xí)平臺必須要考慮的問題，在為學(xué)員提供豐富多彩的教學(xué)資源的同時，網(wǎng)絡(luò)安全問題更應(yīng)該受到特別重視。本文對Android的安全性進行了分析，并給出了相關(guān)解決方案。

[1]楊歡等．基于權(quán)限頻繁模式挖掘算法的 Android惡意應(yīng)用檢測方法[J]．通信學(xué)報,2013．

[2]王聰．高職院校數(shù)字化校園網(wǎng)建設(shè)探論[J]．淮海工學(xué)院學(xué)報,2013．

[3]張學(xué)剛．?dāng)?shù)字化校園管理網(wǎng)絡(luò)系統(tǒng)體系結(jié)構(gòu)淺析[J]．科技信息,2014．

2016年度遼寧省教育科學(xué)“十三五”規(guī)劃課題（JG16EB182）；2016年度遼寧省高等教育學(xué)會“十三五”規(guī)劃課題（GHYB160169）的階段性研究成果。