移動(dòng)安全：解析iPhone安全問題
也許對于移動(dòng)電話來說，最大的安全問題在于，很容易丟失或者被盜。除非丟失或者被盜的手機(jī)已經(jīng)由其擁有者設(shè)置了保護(hù)以禁止未經(jīng)授權(quán)的使用，理論上來說，任何得到手機(jī)的人都能夠與手機(jī)所有者一樣任意地查看手機(jī)信息。但是，當(dāng)手機(jī)沒有丟失或者被盜的時(shí)候，可能出現(xiàn)怎樣的安全問題呢？本文將以蘋果公司的iPhone作為代表來探討移動(dòng)手機(jī)安全問題。
2008年夏天，蘋果公司推出了3G版iPhone以及新版本的iPhone軟件(2.x)，雖然新軟件包括很多商業(yè)功能，其中存在的最潛在的安全問題就是iPhone用戶可以從蘋果公司的iTunes下載新的應(yīng)用程序。iPhone手機(jī)就像小型的個(gè)人電腦，用戶可以購買第三方供應(yīng)商開發(fā)的應(yīng)用程序，到2009年4月，用戶已經(jīng)成功下載了超過10億以上的應(yīng)用程序。
這些應(yīng)用程序涵蓋了各個(gè)領(lǐng)域的程序，包括醫(yī)療、公共事業(yè)、社會網(wǎng)絡(luò)、旅游、天氣、新聞等，用戶可以直接通過數(shù)據(jù)連接器下載到iPhone上或者通過使用安裝在電腦上的iTunes程序來下載。
由于在個(gè)人計(jì)算機(jī)上運(yùn)行第三方應(yīng)用程序可能導(dǎo)致很多安全隱患問題，IT管理員們也開始擔(dān)心員工電話上安裝的惡意iPhone軟件可能對企業(yè)造成安全威脅。這些裝置可能帶來的安全威脅包括：很多工作人員使用企業(yè)的受保護(hù)無線網(wǎng)絡(luò)將iPhone連接到互聯(lián)網(wǎng);或者員工可能將企業(yè)關(guān)鍵信息(聯(lián)系人、數(shù)據(jù)文件等)保存在iPhone上。理論上來說，惡意軟件可能獲取或者修改敏感信息，甚至直接將敏感信息發(fā)送給未經(jīng)授權(quán)的接收者。
除了少數(shù)情況外，一般情況下，iPhone擁有者只能通過蘋果的iTunes來獲取iPhone應(yīng)用程序，并且只有在電腦上安裝了iTunes時(shí)才能訪問iTunes庫。通常，用戶不能從其他任何來源下載應(yīng)用程序，或者與其他iPhone擁有者分享他們的應(yīng)用程序，即使是免費(fèi)的程序。這種壟斷模式使蘋果公司可以審查iPhone用戶安裝在其手機(jī)上的每一個(gè)應(yīng)用程序，在緊急情況下，蘋果公司還可以遠(yuǎn)程刪除或者禁用被安裝在iPhone上的惡意程序。
根據(jù)筆者的個(gè)人觀察與分析，iPhone操作系統(tǒng)的主要安全限制包括以下幾點(diǎn)：
· 沒有應(yīng)用程序可以訪問iPhone操作系統(tǒng)文件
·沒有應(yīng)用程序可以訪問其他應(yīng)用程序文件(除少數(shù)例外)，應(yīng)用程序創(chuàng)建的任何文件都必須保持在本地位置，例如，用于編輯Java文件的應(yīng)用程序只能邊際該應(yīng)用程序創(chuàng)建的Java文件，或者下載至該程序的文件。主要例外情況包括：第三方應(yīng)用程序可能訪問和修改存儲的照片和電話聯(lián)絡(luò)簿。
· 沒有任何應(yīng)用程序可以修改系統(tǒng)設(shè)置
· 如果一個(gè)應(yīng)用程序崩潰，并且只有該程序崩潰，操作系統(tǒng)是不會受到影響的。在實(shí)際操作中，崩潰的程序可能導(dǎo)致系統(tǒng)需要重啟。
·iPhone應(yīng)用程序可能會與電腦程序同步來交換或者更新程序的數(shù)據(jù)，但是同步又必須通過無線局域網(wǎng)絡(luò)連接來實(shí)現(xiàn)，而不能使用有線連接iPhone與電腦。
·應(yīng)用程序允許通過使用iPhone的網(wǎng)絡(luò)連接與互聯(lián)網(wǎng)進(jìn)行連接，因此，理論上講，應(yīng)用程序內(nèi)的任何數(shù)據(jù)文件都可以在不讓iPhone擁有者知情的情況下被發(fā)送到未經(jīng)授權(quán)的目的地，這種就可能是木馬程序，雖然這種程序能夠逃脫蘋果公司的初步審查，而實(shí)際上木馬程序作者不知道其實(shí)是通過iTunes來傳輸?shù)摹?/P>
換言之，應(yīng)用程序都是相互獨(dú)立的個(gè)體，雖然惡意軟件編寫者可能使用移動(dòng)電話幫助盜取或者發(fā)布機(jī)密信息，但是這種可能性遠(yuǎn)遠(yuǎn)小于iPhone擁有者使用下載應(yīng)用程序帶來的安全風(fēng)險(xiǎn)。正如上文所說，移動(dòng)電話的主要安全風(fēng)險(xiǎn)在于丟失或者被盜。當(dāng)員工的手機(jī)丟失或者被盜時(shí)，企業(yè)就需要為潛在的數(shù)據(jù)泄漏事故做好各種準(zhǔn)備，除非該員工的手機(jī)裝了機(jī)密軟件。除了使用密碼或者個(gè)人識別碼(PIN)保護(hù)手機(jī)本身不受未經(jīng)授權(quán)訪問外，還有幾個(gè)實(shí)用的加密和數(shù)據(jù)保護(hù)應(yīng)用程序可供手機(jī)使用：
· SplashID
· 1Password
· My Eyes Only
· Verisign Identity Protection (VIP)
· Jaadu VNC
對于智能手機(jī)用戶而言，只有部署了適當(dāng)?shù)姆婪洞胧?，企業(yè)安全管理人員才可以不再為手機(jī)安全而擔(dān)憂。
【編輯推薦】
