摘? ?要：隨著我國移動互聯(lián)網(wǎng)、物聯(lián)網(wǎng)基礎(chǔ)設(shè)施建設(shè)的不斷升級、網(wǎng)絡(luò)能力的快速增長、流量資費(fèi)的大幅下降及移動支付的普遍應(yīng)用，APP應(yīng)用程序越來越豐富。與此同時(shí)，移動互聯(lián)網(wǎng)IT環(huán)境下的網(wǎng)絡(luò)與信息安全威脅日趨嚴(yán)峻，風(fēng)險(xiǎn)威脅入口由傳統(tǒng)的后臺系統(tǒng)和設(shè)備前置到智能終端及應(yīng)用層面。文章通過對基礎(chǔ)電信運(yùn)營商的APP生產(chǎn)、發(fā)布、運(yùn)營、下線等關(guān)鍵節(jié)點(diǎn)的安全技術(shù)分析，研究APP安全管模式和關(guān)鍵技術(shù)應(yīng)用。

關(guān)鍵詞：APP安全;安全檢測;安全加固;安全管理;移動互聯(lián)網(wǎng)

中圖分類號：TP274+.2? ? ? ? ? 文獻(xiàn)標(biāo)識碼：B

Research and Application of APP security management technology in mobile internet IT environment

Wang Fei

（China Mobile Communications Group Shanxi Co.， Ltd.， ShanxiTaiyuan 030032）

Abstract： With the continuous upgrading of China's mobile Internet and Internet of Things infrastructure， the rapid growth of network capabilities， the sharp drop in traffic charges and the widespread application of mobile payment， APP applications are becoming more and more abundant. At the same time， the threat of network and information security in the IT environment of mobile Internet is becoming more and more serious. The risk threat entry is from the traditional backstage system and equipment to the intelligent terminal and application level. Based on the analysis of the security technology of APP production， release， operation， offline and other key nodes of basic telecom operators， this paper studies the security management mode and key technology application of APP.

Key words： APP security; security detection; security reinforcement; security management; mobile internet

1 引言

移動互聯(lián)網(wǎng)、互聯(lián)網(wǎng)的快速發(fā)展和APP的廣泛應(yīng)用，為經(jīng)濟(jì)社會發(fā)展和人民生活帶來極大的便利，據(jù)《第43次中國互聯(lián)網(wǎng)絡(luò)狀況發(fā)展統(tǒng)計(jì)報(bào)告》（2019年2月）顯示，我國手機(jī)網(wǎng)民達(dá)8.17億，網(wǎng)民使用手機(jī)上網(wǎng)比例達(dá)98.6%，我國市場上監(jiān)測到的APP在架數(shù)量為415萬款，呈持續(xù)增長趨勢。未來幾年，伴隨5G的全面商用和物聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)的廣泛應(yīng)用，APP數(shù)量將呈現(xiàn)持續(xù)增長趨勢。

新技術(shù)新應(yīng)用產(chǎn)生新的安全風(fēng)險(xiǎn)。APP快速發(fā)展的同時(shí)，惡意程序也大量出現(xiàn)，尤其伴隨移動支付的普遍應(yīng)用，各類趨利攻擊事件不斷發(fā)生，嚴(yán)重危害信息安全和移動互聯(lián)網(wǎng)健康發(fā)展。據(jù)《2018年我國互聯(lián)網(wǎng)網(wǎng)絡(luò)安全態(tài)勢報(bào)告》顯示，2017年，國家互聯(lián)網(wǎng)應(yīng)急中心自主捕獲和廠商交換獲得移動互聯(lián)網(wǎng)惡意程序數(shù)量283萬余個(gè)，同比增長11.7%，惡意行為主要為流氓行為類、資費(fèi)消耗類和信息竊取類等。據(jù)《第43次中國互聯(lián)網(wǎng)絡(luò)狀況發(fā)展統(tǒng)計(jì)報(bào)告》顯示，2018年我國網(wǎng)民在上網(wǎng)過程中遇到的網(wǎng)絡(luò)安全問題達(dá)50.8%，主要體現(xiàn)在網(wǎng)絡(luò)欺詐、個(gè)人信息泄露、賬號密碼被盜、設(shè)備染毒或中木馬等。騰訊社會研究中心和DCCI互聯(lián)網(wǎng)數(shù)據(jù)中心于2019年1月發(fā)布的《2018年度網(wǎng)絡(luò)隱私和網(wǎng)絡(luò)欺詐行為研究分析報(bào)告》也指出，安卓系統(tǒng)的APP更容易通過手機(jī)權(quán)限獲得用戶手機(jī)號、通訊錄、通話記錄、短信記錄等隱私信息。不法分子惡意獲取手機(jī)權(quán)限后，輕則用戶隱私被泄露、資費(fèi)被消耗，重則導(dǎo)致進(jìn)一步的違法犯罪行為，比如敲詐勒索。針對安卓系統(tǒng)APP獲取隱私權(quán)限情況，報(bào)告顯示，所有的安卓端手機(jī)APP都會獲取手機(jī)隱私權(quán)限;安卓端仍有半數(shù)APP申請讀取聯(lián)系人權(quán)限;九成左右APP試圖讀取讀寫存儲設(shè)備和獲取應(yīng)用列表權(quán)限;投資理財(cái)類APP是獲取手機(jī)隱私權(quán)限最多的APP。在此嚴(yán)峻形勢下，2019年1月中央網(wǎng)信辦、工業(yè)和信息化部、公安部、市場監(jiān)管總局四部委聯(lián)合開展APP違法違規(guī)收集使用個(gè)人信息專項(xiàng)治理活動，對APP安全治理提出更高要求和目標(biāo)。

2 APP安全需求分析

2.1 APP安全威脅分析

有別于傳統(tǒng)應(yīng)用系統(tǒng)的網(wǎng)絡(luò)安全威脅模型，移動互聯(lián)網(wǎng)的IT環(huán)境下，APP應(yīng)用安全威脅面臨新的場景和挑戰(zhàn)。APP應(yīng)用成為越來越多業(yè)務(wù)的主要入口通道之一，由于用戶分布廣、終端環(huán)境不可控、安全邊界模糊等因素導(dǎo)致APP應(yīng)用被攻擊和利用安全事件頻發(fā)，對終端用戶和業(yè)務(wù)運(yùn)營者的安全及經(jīng)濟(jì)利益造成極大威脅和侵害。在移動互聯(lián)網(wǎng)環(huán)境下，攻擊者可通過智能終端上的APP為入口，突破整個(gè)業(yè)務(wù)和網(wǎng)絡(luò)安全防線，攻擊目標(biāo)應(yīng)用的后臺設(shè)備及系統(tǒng)，APP成為網(wǎng)絡(luò)業(yè)務(wù)鏈上的安全短板之一。攻擊手段包括逆向獲取應(yīng)用源碼、利用終端或應(yīng)用組件漏洞攻擊、惡意篡改、交易劫持、身份欺騙、山寨仿冒、業(yè)務(wù)缺陷攻擊等。另外，由于APP生產(chǎn)企業(yè)的安全意識和防護(hù)水平良莠不齊、企業(yè)在生產(chǎn)過程中重業(yè)務(wù)輕安全等現(xiàn)象，導(dǎo)致APP市場普遍存在“生產(chǎn)環(huán)節(jié)帶病上線、發(fā)布環(huán)節(jié)易遭篡改、使用環(huán)節(jié)易遭攻擊”的三重安全風(fēng)險(xiǎn)。

2.2 APP安全需求分析

鑒于當(dāng)前移動互聯(lián)網(wǎng)快速發(fā)展及面臨的嚴(yán)峻安全形勢，APP應(yīng)用安全管理及防護(hù)需求日趨強(qiáng)烈，主要的安全需求動力概括有三個(gè)方面。

（1）國家及相關(guān)部委安全監(jiān)管要求

近年來，我國提出國家網(wǎng)絡(luò)空間安全戰(zhàn)略，對網(wǎng)絡(luò)信息安全治理提出更高要求和目標(biāo)。《中華人民共和國網(wǎng)絡(luò)安全法》明確了企業(yè)、運(yùn)營商在提供移動互聯(lián)網(wǎng)服務(wù)過程中的安全責(zé)任和義務(wù)及公民的網(wǎng)絡(luò)安全權(quán)益;《移動智能終端應(yīng)用軟件預(yù)置和分發(fā)管理暫行規(guī)定》要求“生產(chǎn)企業(yè)和互聯(lián)網(wǎng)信息服務(wù)提供者應(yīng)依法依規(guī)提供移動智能終端應(yīng)用軟件，采取有效措施，維護(hù)網(wǎng)絡(luò)安全，切實(shí)保護(hù)用戶合法權(quán)益”;關(guān)于APP安全管理和防護(hù)，工信部、網(wǎng)信辦等國家部委監(jiān)管部門先后下發(fā)了《關(guān)于開展APP違法違規(guī)收集使用個(gè)人信息專項(xiàng)治理的公告》《APP違法違規(guī)收集使用個(gè)人信息自評估指南》等相關(guān)安全管理要求和技術(shù)規(guī)范，因此APP安全具有自上而下的監(jiān)管需求。

（2）運(yùn)營及開發(fā)者保護(hù)經(jīng)營利益需求

APP已成為越來越多業(yè)務(wù)的主要入口和承載主體，一旦遭受攻擊入侵可能發(fā)生核心業(yè)務(wù)中斷、交易數(shù)據(jù)被劫持、用戶信息泄露等嚴(yán)重風(fēng)險(xiǎn)，將對經(jīng)營者造成巨大經(jīng)濟(jì)損失和利益侵害，甚至產(chǎn)生嚴(yán)重的社會負(fù)面影響。因此， APP開發(fā)者、移動互聯(lián)網(wǎng)業(yè)務(wù)運(yùn)營企業(yè)為保障自有業(yè)務(wù)和企業(yè)經(jīng)營利益安全、維護(hù)企業(yè)口碑形象、承擔(dān)社會安全責(zé)任等，對APP安全需求日趨強(qiáng)烈，安全投入逐年增加，從而形成APP安全需求的內(nèi)在驅(qū)動力。

（3）普通用戶安全權(quán)益訴求

普通用戶是組成我國移動互聯(lián)網(wǎng)網(wǎng)民大軍的基礎(chǔ)，作為智能終端的直接擁有者和APP業(yè)務(wù)受眾者，希望個(gè)人隱私、數(shù)字財(cái)產(chǎn)、敏感信息等合法的網(wǎng)絡(luò)信息安全權(quán)益得到切實(shí)有效地保障，暢享綠色網(wǎng)絡(luò)環(huán)境。近年來，用戶在使用APP過程中遭遇各種隱私信息泄露、網(wǎng)絡(luò)欺詐、銀行卡盜刷的安全事件不斷發(fā)生，直接威脅個(gè)人財(cái)產(chǎn)安全、生命健康。在媒體報(bào)道、各類公益宣傳的影響下，普通用戶的信息安全防范意識日漸提高，對APP的使用需求已不單是停留在功能和業(yè)務(wù)層面，APP是否安全正成為越來越多用戶的考量因素之一。

3 移動互聯(lián)網(wǎng)IT環(huán)境下APP安全管理關(guān)鍵技術(shù)研究及應(yīng)用

從安全管理視角分析，將APP全生命周期劃分為：上線前、上線中、上線后三個(gè)關(guān)鍵階段，通過建立分級分域的安全管理體系，采用上線前安全檢測、上線中安全加固、上線后安全監(jiān)測、認(rèn)證的管控策略和技術(shù)手段，建立閉環(huán)的安全管理模式保障APP及其承載業(yè)務(wù)安全。

3.1基于分級分域管理思想，構(gòu)建APP閉環(huán)安全管理體系

在移動互聯(lián)網(wǎng)IT環(huán)境下，APP作為業(yè)務(wù)承載和用戶操作主要入口，其運(yùn)行環(huán)境依賴用戶智能終端和上網(wǎng)環(huán)境，因此在網(wǎng)絡(luò)域劃分時(shí)應(yīng)從APP應(yīng)用場景和業(yè)務(wù)網(wǎng)絡(luò)環(huán)境鏈綜合考慮。本文采用“基于用戶角色和網(wǎng)絡(luò)承載邊界”的方法劃分安全域，即首先確定用戶和業(yè)務(wù)承載角色，其次劃分網(wǎng)絡(luò)邊界，然后劃分好的安全域下設(shè)計(jì)安全策略，最后分析APP業(yè)務(wù)重要度等級確定安全策略指標(biāo)集合。根據(jù)APP業(yè)務(wù)和網(wǎng)絡(luò)環(huán)境的通用特點(diǎn)，可劃分為“三域二邊界”，即用戶域、接入域、業(yè)務(wù)域;二邊界為：用戶域和接入域之間的外部網(wǎng)絡(luò)接入邊界，接入域和業(yè)務(wù)域之間的業(yè)務(wù)網(wǎng)絡(luò)接入邊界。

APP應(yīng)用系統(tǒng)定級方法可參考等保的定級方案，從應(yīng)用系統(tǒng)承載業(yè)務(wù)受到攻擊破壞后對國家、社會、公民、法人和其他組織等產(chǎn)生的權(quán)益損害和社會影響度等劃分五個(gè)等級。在形成分級分域后，對安全域設(shè)定安全策略框架，包括物理安全、網(wǎng)絡(luò)安全、業(yè)務(wù)安全、數(shù)據(jù)安全、邊界安全、通訊安全等，根據(jù)對APP應(yīng)用系統(tǒng)的重要程度定級，設(shè)置安全策略指標(biāo)集合，構(gòu)建APP閉環(huán)安全管理體系。

3.2 創(chuàng)新多維多態(tài)智能檢測技術(shù)解決“帶病上線”問題

APP應(yīng)用在設(shè)計(jì)開發(fā)環(huán)節(jié)可能因系統(tǒng)組件漏洞、開發(fā)人員安全意識薄弱、引入第三方風(fēng)險(xiǎn)SDK等原因?qū)е伦陨戆踩雷o(hù)能力低下，存在“帶病上線”等風(fēng)險(xiǎn)問題，為全面、高效地探測APP安全風(fēng)險(xiǎn)，創(chuàng)新提出聚合多維（代碼維、行為維、數(shù)據(jù)維），多態(tài)（靜態(tài)、動態(tài)），跨平臺（安卓、iOS、Windows）的深度安全檢測模型技術(shù)，其中包括三個(gè)方面：（1）APP靜態(tài)代碼檢測，通過指紋、特征碼比對分析應(yīng)用程序或組件是否存在病毒木馬，通過解包、逆向、智能關(guān)聯(lián)分析等技術(shù)，檢測APP源碼安全性，確保其可抵抗靜態(tài)逆向、動態(tài)注入、山寨篡改等攻擊風(fēng)險(xiǎn);（2）APP動態(tài)行為監(jiān)測，基于隔離環(huán)境的安全沙箱技術(shù)，實(shí)現(xiàn)對APP運(yùn)行過程的動態(tài)監(jiān)控分析，包括網(wǎng)絡(luò)行為、文件操作、數(shù)據(jù)讀寫、動態(tài)加載、敏感API調(diào)用等，篩查不合規(guī)的越權(quán)操作、反常執(zhí)行序列等;（3）APP數(shù)據(jù)流分析，基于人工智能算法和關(guān)聯(lián)分析技術(shù)，確保敏感數(shù)據(jù)存取、交換的保密性和完整性。通過多維綜合分析和模式識別，結(jié)合安全沙箱動態(tài)監(jiān)控技術(shù)，可有效檢測出代碼保護(hù)不足、公共組件漏洞、身份鑒權(quán)缺陷、應(yīng)用配置風(fēng)險(xiǎn)、核心業(yè)務(wù)數(shù)據(jù)暴露等7類高危漏洞。

3.3 基于無感知黑盒加固技術(shù)提升源碼安全防御能力

對于iOS應(yīng)用在上線時(shí)APPstroe會采用FairPlay DRM數(shù)字版權(quán)加密保護(hù)技術(shù)，實(shí)現(xiàn)了應(yīng)用源碼的初步保護(hù)，但該技術(shù)只能防御初級逆向攻擊，攻擊者通常使用Cycript開源工具的dumpdecrypted將加密殼脫出，再通過Hopper反匯編解密后程序文件，解析應(yīng)用函數(shù)、代碼塊生成CFG控制流圖，從而暴露關(guān)鍵代碼和業(yè)務(wù)邏輯。為阻止對應(yīng)用程序的篡改攻擊，提升應(yīng)用的源碼安全防御能力，本文提出混合加密防護(hù)技術(shù)，包括幾個(gè)方面內(nèi)容：（1）字符串加密：動態(tài)加密加密源代碼中的C/C++/OC/Swift字符?，防止攻擊者通過字符?猜測代碼邏輯;（2）邏輯混淆：將原始代碼的控制流進(jìn)?切分、打亂、隱藏，插入花指令、將代碼邏輯復(fù)雜化??影響原始邏輯;（3）代碼虛擬化：將原始代碼編譯為動態(tài)的DX-VM虛擬機(jī)指令，運(yùn)?在DX虛擬機(jī)之上，無法被反編譯回可讀的源代碼。通過混合加密的黑盒加固技術(shù)實(shí)現(xiàn)IPA的原生文件的安全保護(hù)，可有效防護(hù)應(yīng)用程序被逆向、動態(tài)調(diào)試等風(fēng)險(xiǎn)。

相對iOS應(yīng)用的封閉性和采用的防護(hù)措施，Android應(yīng)用的APK程序本質(zhì)上是壓縮文件，由于其系統(tǒng)開放性和開發(fā)語言大眾化等特點(diǎn)，在實(shí)際生產(chǎn)中經(jīng)常發(fā)生發(fā)布被篡改的攻擊風(fēng)險(xiǎn)。目前，對Android應(yīng)用程序的加固有多種方式，一般有動態(tài)加載、不落地加載兩種方案，從技術(shù)原理上分析，這兩種方案都存在天生缺陷，不能從根本上防御內(nèi)存Dump和避免程序假死等問題。本文采用一種開發(fā)零感知的指令替換加固技術(shù)，也稱為虛擬機(jī)（VMP）保護(hù)加固，是指通過構(gòu)建私有解釋器，定義特有指令并建立和Android系統(tǒng)的虛擬機(jī)指令集關(guān)聯(lián)關(guān)系，在內(nèi)存運(yùn)行指令時(shí)由私有指令執(zhí)行，通過解析模塊翻譯成系統(tǒng)指令，這樣可防護(hù)內(nèi)存記錄、Dumcp等方式獲取APP源碼、內(nèi)存等攻擊，解決“使用時(shí)易遭攻擊”問題。

3.4 大數(shù)據(jù)和智能算監(jiān)測“發(fā)布易遭篡改”風(fēng)險(xiǎn)

APP發(fā)布在應(yīng)用商城發(fā)布后可能遭遇篡改、二次打包、山寨仿冒等風(fēng)險(xiǎn)，傳統(tǒng)模式基于已知山寨樣本特征碼比對的方式存在較大的漏報(bào)率，且特征庫更新滯后。本文基于分布式數(shù)據(jù)采集技術(shù)，建立“大數(shù)據(jù)+智能分析算法”的監(jiān)測模型，包括三個(gè)方面。（1）分布式數(shù)據(jù)采集過濾：對APP應(yīng)用商城、發(fā)布渠道、論壇等進(jìn)行監(jiān)測，根據(jù)分詞技術(shù)采集關(guān)鍵信息并提取APP下載鏈接;（2）APP特征提?。和ㄟ^解包、逆向等技術(shù)手段，從疑似篡改APP中提取名稱、包名、證書、資源文件、配置文件、代碼函數(shù)特征庫等信息;（3）智能算法分析：根據(jù)設(shè)置的篡改分析模型參數(shù)從名稱相似度、包名相似度、配置相似度、代碼相似度、資源文件相似度等特征進(jìn)行綜合分析，發(fā)現(xiàn)疑似篡改風(fēng)險(xiǎn)。

3.5 基于PKI的CA技術(shù)解決可信溯源問題

使用PKI技術(shù)的CA證書標(biāo)識APP開發(fā)運(yùn)營者可信身份，在應(yīng)用遭到篡改攻擊后可通過簽名信息驗(yàn)證是否為原廠的官方APP。此外，引入CA中心與業(yè)務(wù)后臺和終端打通可信身份驗(yàn)證通道，用戶在發(fā)起登錄、交易等關(guān)鍵操作時(shí)，在請求消息中攜帶CA中心頒發(fā)的數(shù)字證書私鑰加密特征信息，經(jīng)過CA中心驗(yàn)證身份后轉(zhuǎn)發(fā)業(yè)務(wù)后臺，可防范非法請求、身份冒用等攻擊風(fēng)險(xiǎn);檢測機(jī)構(gòu)可通過在APP的“.RSA”文件中遞歸附加PKCS#7簽名信息實(shí)現(xiàn)副署簽名，通過副署簽名技術(shù)可標(biāo)識APP的身份的多重有效性，同時(shí)解決事后審計(jì)追責(zé)等問題。

4 結(jié)束語

移動互聯(lián)網(wǎng)、物聯(lián)網(wǎng)及工業(yè)互聯(lián)網(wǎng)的快速發(fā)展和商用成熟，使得APP的應(yīng)用場景日益豐富、業(yè)務(wù)結(jié)構(gòu)日趨復(fù)雜，由此給網(wǎng)絡(luò)信息安全治理帶來新的威脅和挑戰(zhàn)。新技術(shù)和新業(yè)務(wù)的發(fā)展對安全管理和技術(shù)提出更高要求，本文所研究分析的僅是移動互聯(lián)網(wǎng)環(huán)境下APP安全管理、安全檢測、安全加固、安全監(jiān)測及身份認(rèn)證的技術(shù)和治理實(shí)踐，當(dāng)下仍有更多領(lǐng)域待深入研究?？傊?，通過安全管理建立科學(xué)的閉環(huán)管控體系，從被動應(yīng)急到主動響應(yīng)，通過技術(shù)手段實(shí)現(xiàn)從安全開發(fā)到安全運(yùn)營的全流程支撐，無論是運(yùn)營商、企業(yè)、開發(fā)者，還是個(gè)人用戶都應(yīng)提高安全防護(hù)意識，共同攜手構(gòu)建清朗網(wǎng)絡(luò)空間。

參考文獻(xiàn)

[1] 車力軍，黃炎生，徐麗，基于智能雙驅(qū)檢測技術(shù)的APP一站式安全監(jiān)測探索與實(shí)踐[J].電信技術(shù)，2019（04）.

[2] 常玲，趙蓓，薛姍，馬力鵬.移動應(yīng)用安全防護(hù)技術(shù)研究[J].電信工程技術(shù)與標(biāo)準(zhǔn)化，2016（09）.

[3] 徐小天，王剛，陳威，陳樂然.移動平臺應(yīng)用安全風(fēng)險(xiǎn)與防護(hù)方法研究[J].華北電力技術(shù)，2016（10）.

[4] 鄒煜.企業(yè)級移動應(yīng)用平臺建設(shè)與安全保障體系探析[J].網(wǎng)絡(luò)空間安全，2016（06）.

[5] 張濱，袁捷，等.移動終端安全關(guān)鍵技術(shù)與應(yīng)用分析[M].北京：人民郵電出版社，2015.

[6] 劉培慶.IOS應(yīng)用逆向與安全[M].北京：電子工業(yè)出版社，2018.

[7] 李興新，侯玉華，等.移動互聯(lián)網(wǎng)時(shí)代的智能終端安全[M].北京：人民郵電出版社，2016.

作者簡介：

王飛（1983-），男，漢族，山西運(yùn)城人，蘭州交通大學(xué)，碩士，中國移動通信集團(tuán)山西有限公司，工程師;主要研究方向和關(guān)注領(lǐng)域：網(wǎng)絡(luò)安全、信息安全及數(shù)據(jù)安全。