信息安全-移动应用安全需求分析与安全保护工程

移动应用安全威胁与需求分析、Android系统安全与保护机制、IOS系统安全与保护机制、移动应用安全保护机制与技术方案、移动应用安全综合应用案例分析

learning-striving

3046人浏览 · 2022-09-26 18:58:41

learning-striving · 2022-09-26 18:58:41 发布

一、移动应用安全威胁与需求分析

1.1 移动应用系统组成

基本组成包括三个部分

移动应用：简称App
通信网络：包括无线网络、移动通信网络及互联网
应用服务端：由相关的服务器构成，负责处理来自App的相关信息或数据

1.2 移动应用安全分析

移动应用的安全威胁主要有以下类型

移动操作系统平台安全威胁：移动应用的安全性依赖于移动操作系统。目前，市场上主要的移动操作系统是苹果公司的iOS操作系统与Google公司开源的Android操作系统。根据CVE公开漏洞信息，移动操作系统都不同程度地存在漏洞
无线网络攻击：攻击者利用移动应用程序依赖的无线网络通信环境或网络服务的安全隐患，实施通信内容监听、假冒基站、网络域名欺诈、网络钓鱼等攻击活动。WiFi“钓鱼”是移动应用安全威胁常见的形式，攻击者通过一台可控的路由器发射无线信号，可以监控连接到该路由器的智能设备，分析智能设备与服务器通信的数据包，修改服务器返回的网页，甚至还可以伪装成受害者与服务器通信
恶意代码：针对智能手机的恶意代码行为呈上升趋势，常见的恶意行为有流氓行为、资费消耗、恶意扣费、隐私窃取、远程控制、诱骗欺诈、系统破坏、恶意传播等
移动应用代码逆向工程：攻击者通过对移动应用程序的二进制代码进行反编译分析，获取移动应用源代码的关键算法思路或窃取敏感数据
移动应用程序非法篡改：攻击者利用安全工具，非法篡改移动应用程序，实现恶意的攻击，窃取用户信息

二、Android系统安全与保护机制

2.1 Android 系统组成概要

Android是一个开源的移动终端操作系统，其系统结构组成如图，共分成

Linux内核层(Linux Kernel)
系统运行库层(Libraries 和Android Runtime)
应用程序框架层(Application Framework)
应用程序层(Applications)

Android系统的各层都面临着不同程度的安全威胁，其中，

Android 系统的基础层安全威胁来自Linux内核攻击，目前，Linux内核漏洞时有出现，内核漏洞常常导致攻击者能够获得系统最高权限，严重危及Android整体系统的安全
Android系统成为恶意代码利用的重点目标，常见的形式有APK重打包(repackaging)、更新攻击、诱惑下载、提权攻击、远程控制、恶意付费、敏感信息搜集

2.2 Android 系统安全机制

为保护Android系统及应用终端平台安全，Android 系统在各个层面采取了相应的安全措施，以尽可能地保护移动用户数据、应用程序和设备安全，如图

1.权限声明机制（应用程序层）

权限声明机制，为操作权限和对象之间设定了一些限制，只有把权限和对象进行绑定，才可以有权操作对象
权限声明机制还制定了不同级别不同的认证方式的制度
在默认情况下Android应用程序不会被授予权限，其权限分配根据Android应用APK安装包中的Manifest文件确定

应用程序层的权限包括

normal 权限：不会给用户带来实质性的伤害
dangerous 权限：可能会给用户带来潜在威胁，如读取用户位置信息，读取电话簿等，对于此类安全威胁，目前大多数手机会在用户安装应用时提醒用户
signature 权限：表示具有同一签名的应用才能访问
signatureOrSystem 权限：主要由设备商使用

2.应用程序签名机制（应用程序框架层）

Android将应用程序打包成.APK文件，应用程序签名机制规定对APK文件进行数字签名，用来标识相应应用程序的开发者和应用程序之间存在信任关系
所有安装到Android系统中的应用程序都必须拥有一个数字证书，此数字证书用于标识应用程序的作者和应用程序之间的信任关系

3.沙箱机制、SSL（系统运行库层）

沙箱隔离机制使应用程序和其相应运行的DaIvik虚拟机都运行在独立的Linux进程空间，不与其他应用程序交叉，实现完全隔离
Android 沙箱的本质：是为了实现不同应用程序和进程之间的互相隔离，即在默认情况下，应用程序没有权限访问系统资源或其他应用程序的资源
网络通信加密：Android支持使用SSL/TSL协议对网络数据进行传输加密，以防止敏感数据泄露

4.内核安全机制：文件系统安全、地址空间布局随机化、SELinux（内核层）

Android系统的内核层采用分区和Linux ACL权限控制机制

Linux ACL权限控制机制：是指每个文件的访问控制权限都由其拥有者、所属的组、读写执行三个方面共同控制

文件在创建时被赋予了不同的应用程序ID，只有拥有相同应用程序ID或被设置为全局可读写才能够被其他应用程序所访问
每个应用均具有自己的用户ID，有自己的私有文件目录
在系统运行时，最外层的安全保护由Linux提供，其中system.img所在的分区是只读的，data.img所在的分区是可读写的，用于存放用户的数据

除了Linux常见的安全措施外，Android后续版本不断增强抗攻击安全机制

在Android 2.3之后：增加了基于硬件的NX (No eXecute) 支持，不允许在堆栈中执行代码
在Android 4.0之后：增加了“地址空间布局随机化(Address Space Layout Randomization，ASLR)”功能，防止内存相关的攻击

三、IOS系统安全与保护机制

3.1 iOS系统组成概要

苹果公司建立以iOS平台为核心的封闭的生态系统，iOS的系统架构分为四个层次，如图

可触摸层(Cocoa Touch Layer)：为应用程序开发提供了各种常用的框架并且大部分框架与界面有关，负责用户在iOS设备上的触摸交互操作
媒体层( Media Layer)：提供应用中视听方面的技术
核心服务层(Core Services Layer)：提供给应用所需要的基础的系统服务，如账户、数据存储、网络连接、地理位置、运动框架等
核心操作系统层(Core OS Layer)：提供本地认证、安全、外部访问、系统等服务

3.2 iOS系统安全机制

iOS平台的安全架构可以分为硬件、固件、软件，如图

硬件、固件层：由设备密钥、设备组密钥、苹果根认证、加密引擎、内核组成
软件层：由文件系统、操作系统分区、用户分区、应用沙盒及数据保护类构成

苹果基于这一整体安全架构，集成了多种安全机制，保护iOS平台的安全性，主要安全机制如下

1.安全启动链

iOS平台的安全依赖于启动链的安全，为防止黑客攻击启动过程，iOS启动过程使用的组件要求完整性验证，确保信任传递可控

iOS启动过程如下，如图

打开iOS设备后，其应用处理器会立即执行只读内存(也称为引导ROM)中的代码。这些不可更改的代码是在制造芯片时设置好的，为隐式受信任代码
引导ROM代码包含苹果根CA公钥，该公钥用于验证底层引导加载程序(LLB)是否经过苹果签名，以决定是否允许其加载
引导路径从引导ROM出来之后分叉为两条执行路径
- 一条是普通引导
- 另一条则是设备固件更新模式，这个模式用于更新iOS镜像

2.数据保护

针对移动设备因丢失或被窃取导致的泄露数据的风险，iOS 4提供了数据保护API
API让应用开发者尽可能简单地对文件和keychain项中存储的敏感用户数据施以足够的保护，以防它们在用户设备丢失时被泄露

3.数据的加密与保护机制

加解密是耗时耗能源的操作，而iOS内所有用户数据都是强制加密的
苹果的AES加解密引擎都是硬件级的，位于存储与系统之间的DMA内，所有进出存储的数据都要经过硬件的加密与解密，这样提供了较高的效率与性能
iOS提供了名为File Data Protection的数据保护方法，所有文件在加密时使用的key都是不同的，这些key被称作Profile Key，存储于Metafile内

4.地址空间布局随机化

iOS 引入地址空间布局随机化 (ASLR) 安全保护技术，利用ASLR技术，确保iOS的二进制文件、库文件、动态链接文件、栈和堆内存地址的位置是随机分布的，从而增强抗攻击能力

5.代码签名

为防止应用攻击，iOS系统要求所有可执行程序必须使用苹果公司发放的证书签名

6.沙箱机制

iOS 为限制恶意代码执行所造成的破坏，提供 iOS 沙箱机制，通过沙箱机制，可以限制进程的恶意行为

四、移动应用安全保护机制与技术方案

4.1 移动应用App安全风险

移动应用App：是指运行在智能设备终端的客户端程序

作用：是接收和响应移动用户的服务请求，是移动服务界面窗口

由于移动应用App安装在用户的智能设备上(通常为智能手机)，很容易遭受到反编译、调试、篡改、数据窃取等安全威胁

4.2 移动应用App安全加固

为保护移动应用App的安全性，通常采用

防反编译：对移动应用程序文件进行加密处理，防止攻击者通过静态的反编译工具，获取到应用的源代码。除了加密措施之外，还可以对移动应用程序进行代码混淆，增加破解者阅读代码的难度。常见的混淆方法有名字混淆、控制混淆、计算混淆等
防调试：为防止应用程序动态调试，应用程序设置调试检测功能，以触发反调试安全保护措施，如清理用户数据、报告程序所在设备的情况、禁止使用某些功能甚至直接退出运行
防篡改：通过数字签名和多重校验的防护手段，验证移动应用程序的完整性，防范移动应用程序APK被二次打包以及盗版
防窃取：对移动应用相关的本地数据文件、网络通信等进行加密，防止数据被窃取