移動安全：解析iPhone安全問題
也許對于移動電話來說，最大的安全問題在于，很容易丟失或者被盜。除非丟失或者被盜的手機已經(jīng)由其擁有者設置了保護以禁止未經(jīng)授權(quán)的使用，理論上來說，任何得到手機的人都能夠與手機所有者一樣任意地查看手機信息。但是，當手機沒有丟失或者被盜的時候，可能出現(xiàn)怎樣的安全問題呢？本文將以蘋果公司的iPhone作為代表來探討移動手機安全問題。
2008年夏天，蘋果公司推出了3G版iPhone以及新版本的iPhone軟件(2.x)，雖然新軟件包括很多商業(yè)功能，其中存在的最潛在的安全問題就是iPhone用戶可以從蘋果公司的iTunes下載新的應用程序。iPhone手機就像小型的個人電腦，用戶可以購買第三方供應商開發(fā)的應用程序，到2009年4月，用戶已經(jīng)成功下載了超過10億以上的應用程序。
這些應用程序涵蓋了各個領(lǐng)域的程序，包括醫(yī)療、公共事業(yè)、社會網(wǎng)絡、旅游、天氣、新聞等，用戶可以直接通過數(shù)據(jù)連接器下載到iPhone上或者通過使用安裝在電腦上的iTunes程序來下載。
由于在個人計算機上運行第三方應用程序可能導致很多安全隱患問題，IT管理員們也開始擔心員工電話上安裝的惡意iPhone軟件可能對企業(yè)造成安全威脅。這些裝置可能帶來的安全威脅包括：很多工作人員使用企業(yè)的受保護無線網(wǎng)絡將iPhone連接到互聯(lián)網(wǎng);或者員工可能將企業(yè)關(guān)鍵信息(聯(lián)系人、數(shù)據(jù)文件等)保存在iPhone上。理論上來說，惡意軟件可能獲取或者修改敏感信息，甚至直接將敏感信息發(fā)送給未經(jīng)授權(quán)的接收者。
除了少數(shù)情況外，一般情況下，iPhone擁有者只能通過蘋果的iTunes來獲取iPhone應用程序，并且只有在電腦上安裝了iTunes時才能訪問iTunes庫。通常，用戶不能從其他任何來源下載應用程序，或者與其他iPhone擁有者分享他們的應用程序，即使是免費的程序。這種壟斷模式使蘋果公司可以審查iPhone用戶安裝在其手機上的每一個應用程序，在緊急情況下，蘋果公司還可以遠程刪除或者禁用被安裝在iPhone上的惡意程序。
根據(jù)筆者的個人觀察與分析，iPhone操作系統(tǒng)的主要安全限制包括以下幾點：
· 沒有應用程序可以訪問iPhone操作系統(tǒng)文件
·沒有應用程序可以訪問其他應用程序文件(除少數(shù)例外)，應用程序創(chuàng)建的任何文件都必須保持在本地位置，例如，用于編輯Java文件的應用程序只能邊際該應用程序創(chuàng)建的Java文件，或者下載至該程序的文件。主要例外情況包括：第三方應用程序可能訪問和修改存儲的照片和電話聯(lián)絡簿。
· 沒有任何應用程序可以修改系統(tǒng)設置
· 如果一個應用程序崩潰，并且只有該程序崩潰，操作系統(tǒng)是不會受到影響的。在實際操作中，崩潰的程序可能導致系統(tǒng)需要重啟。
·iPhone應用程序可能會與電腦程序同步來交換或者更新程序的數(shù)據(jù)，但是同步又必須通過無線局域網(wǎng)絡連接來實現(xiàn)，而不能使用有線連接iPhone與電腦。
·應用程序允許通過使用iPhone的網(wǎng)絡連接與互聯(lián)網(wǎng)進行連接，因此，理論上講，應用程序內(nèi)的任何數(shù)據(jù)文件都可以在不讓iPhone擁有者知情的情況下被發(fā)送到未經(jīng)授權(quán)的目的地，這種就可能是木馬程序，雖然這種程序能夠逃脫蘋果公司的初步審查，而實際上木馬程序作者不知道其實是通過iTunes來傳輸?shù)摹?/P>
換言之，應用程序都是相互獨立的個體，雖然惡意軟件編寫者可能使用移動電話幫助盜取或者發(fā)布機密信息，但是這種可能性遠遠小于iPhone擁有者使用下載應用程序帶來的安全風險。正如上文所說，移動電話的主要安全風險在于丟失或者被盜。當員工的手機丟失或者被盜時，企業(yè)就需要為潛在的數(shù)據(jù)泄漏事故做好各種準備，除非該員工的手機裝了機密軟件。除了使用密碼或者個人識別碼(PIN)保護手機本身不受未經(jīng)授權(quán)訪問外，還有幾個實用的加密和數(shù)據(jù)保護應用程序可供手機使用：
· SplashID
· 1Password
· My Eyes Only
· Verisign Identity Protection (VIP)
· Jaadu VNC
對于智能手機用戶而言，只有部署了適當?shù)姆婪洞胧髽I(yè)安全管理人員才可以不再為手機安全而擔憂。
【編輯推薦】
