企業(yè)移動(dòng)化趨勢(shì)起飛 但忽略了安全
人人都相信IT消費(fèi)化是一列即將來(lái)臨的火車。很多文章都描述了這種使用趨勢(shì)。移動(dòng)化是***的消費(fèi)化運(yùn)動(dòng)——大型和小型的組織正在擁抱移動(dòng)化來(lái)吸引消費(fèi)者的注意力并提升企業(yè)的生產(chǎn)率和協(xié)作性。
熱衷于采用移動(dòng)化的行業(yè)之一是支付及銀行業(yè)。每個(gè)消費(fèi)者銀行和金融機(jī)構(gòu)具有某些形式的移動(dòng)化支付/銀行業(yè)務(wù)策略。然而在沒(méi)有咨詢安全團(tuán)隊(duì)，甚至在邀請(qǐng)了安全團(tuán)隊(duì)參與討論卻根本不聽(tīng)取他們的意見(jiàn)的情形下，這些組織做出了許多關(guān)于移動(dòng)銀行業(yè)務(wù)的重要決策，因?yàn)槊總€(gè)人都感覺(jué)到移動(dòng)化趨勢(shì)的緊迫性。
例如，有許多壓力使得通過(guò)短信服務(wù)（SMS）推送信息。短信服務(wù)賬戶告警、余額查詢等等正在成為習(xí)以為常的事情。在北美有一個(gè)***的現(xiàn)象***地形容了短信服務(wù)到Web服務(wù)。設(shè)想你的銀行給你發(fā)送賬戶透支短信告警并且包含一個(gè)URL來(lái)讓你存更多的資金。如果你點(diǎn)擊該鏈接，然后你的移動(dòng)瀏覽器跳轉(zhuǎn)到銀行主頁(yè)。這是一個(gè)從短信服務(wù)到Web服務(wù)的典型應(yīng)用案例。短信服務(wù)不是安全的和認(rèn)證的通信媒介，并且通過(guò)短信服務(wù)發(fā)送的鏈接是存在問(wèn)題的。騙子們能輕易地偽造一個(gè)短信，對(duì)于消費(fèi)者來(lái)說(shuō)在移動(dòng)屏幕上來(lái)區(qū)分釣魚(yú)和真實(shí)的URL是很有挑戰(zhàn)性的。
類似地，每個(gè)人都想讓移動(dòng)銀行與金融機(jī)構(gòu)的單點(diǎn)登錄（SSO）設(shè)施集成。確實(shí)，那樣做是件好的事情。但是我知道許多短信銀行業(yè)務(wù)的部署，從手機(jī)號(hào)碼到用戶賬戶的映射信息——包括用戶憑證——是存儲(chǔ)在DMZ中的服務(wù)器上的，從而實(shí)現(xiàn)有效的短信服務(wù)訪問(wèn)。這些部署沒(méi)有經(jīng)過(guò)完整的安全架構(gòu)評(píng)審；一個(gè)勝任的安全架構(gòu)絕對(duì)不會(huì)允許這種設(shè)計(jì)。對(duì)于短信服務(wù)器來(lái)說(shuō)，正確的方法是通過(guò)一套安全的SSO API連接到位于內(nèi)部網(wǎng)絡(luò)的受到正確防護(hù)的SSO服務(wù)器。但是做出這個(gè)設(shè)計(jì)決定時(shí)沒(méi)有牽涉到安全。
另一個(gè)令人不安的趨勢(shì)是企業(yè)中安卓（Android）操作系統(tǒng)設(shè)備的快速擴(kuò)增。來(lái)自comScore和Nielsen的***統(tǒng)計(jì)數(shù)據(jù)都表明，安卓操作系統(tǒng)是現(xiàn)在最暢銷的智能手機(jī)平臺(tái)。盡管這些統(tǒng)計(jì)數(shù)據(jù)來(lái)自消費(fèi)者的銷售，但企業(yè)也目睹了安卓操作系統(tǒng)迅速滲入。
當(dāng)許多開(kāi)發(fā)人員偏好安卓操作系統(tǒng)時(shí)，安卓也為IT帶來(lái)了一些任何時(shí)候都不太可能迅速解決的***的安全挑戰(zhàn)。比如下面兩個(gè)：
●市場(chǎng)細(xì)分化：由于安卓操作系統(tǒng)市場(chǎng)的細(xì)分化，如果你所有的安卓操作系統(tǒng)設(shè)備來(lái)自不同的廠家，沒(méi)有一個(gè)簡(jiǎn)單的辦法做一個(gè)通用的補(bǔ)丁來(lái)更新它們。這個(gè)問(wèn)題會(huì)將終端管理一直回退到80年代！
●天生缺乏對(duì)安全的支持：人們期待安卓3支持盼望已久的終端加密特色功能，但是安卓3的發(fā)布日期尚不明確。
IT的移動(dòng)化可能是無(wú)法避免的。你***為此進(jìn)行準(zhǔn)備。但是如果你在采用和應(yīng)用決策中沒(méi)有考慮到安全，很可能這列即將來(lái)臨的火車在到達(dá)車站前會(huì)造成一些破壞。
【編輯推薦】
