Michael Cobb是認(rèn)證信息系統(tǒng)安全架構(gòu)專家(CISSP-ISSAP)，知名的安全作家，具有十多年豐富的IT行業(yè)經(jīng)驗，并且還從事過十六年的金融行業(yè)。他是Cobweb Applications公司的創(chuàng)始人兼常務(wù)董事，該公司主要提供IT培訓(xùn)，以及數(shù)據(jù)安全和分析的支持。Michael還合著過IIS Security一書，并為領(lǐng)先的IT出版物撰寫過無數(shù)科技文章。此外，Michael還是微軟認(rèn)證數(shù)據(jù)庫系統(tǒng)管理員和微軟認(rèn)證專家。

NSA最近批準(zhǔn)KNOX平臺可用于保護(hù)基于Android的三星設(shè)備中的機(jī)密數(shù)據(jù)，但我聽說，該平臺并沒有想象中那么安全。三星KNOX有哪些安全問題?企業(yè)應(yīng)該怎樣做來緩解其帶來的風(fēng)險?

[[135960]]

Michael Cobb：三星KNOX被設(shè)計用于解決開源Android平臺中的安全缺陷，它提供獨立的分區(qū)或容器，以隔離個人數(shù)據(jù)和業(yè)務(wù)數(shù)據(jù)。其中容器有其自己的加密文件系統(tǒng)，讓受保護(hù)的應(yīng)用與容器外的應(yīng)用隔開。

KNOX軟件被安裝在各種三星Android Galaxy設(shè)備中。三星Galaxy4、5和Galaxy Note3以及Note10.1 2014版最近都經(jīng)過NSA審核，被列入保密項目商業(yè)解決方案組件清單(CSfC)中，在結(jié)合KNOX管理套件使用時，這些設(shè)備可用于機(jī)密政府網(wǎng)絡(luò)和數(shù)據(jù)。這對三星的SAFE(Samsung For Enterprise)起著重要的推動作用，可幫助推廣其設(shè)備到企業(yè)和政府客戶。

KNOX應(yīng)用需要用戶使用密碼和PIN登錄，但一名安全研究人員最近發(fā)現(xiàn)，PIN以純文本格式存儲在名為pin.xml的文件中。任何可訪問該手機(jī)的人都可以讀取純文本PIN，并用它來找回忘記密碼提示，而這剛好是該密碼的長度，其中第一個和最后一個字符可見。另外，所使用的加密密鑰就是該設(shè)備的Android ID和硬編碼字符串。

這看起來似乎像是三星KNOX的重大安全問題，但正如我以前所說，我們應(yīng)該查看頭條新聞背后的原創(chuàng)性研究，看看真正的問題是什么，以及它是否真正會危及數(shù)據(jù)和網(wǎng)絡(luò)安全。這可以避免企業(yè)將資金和人力浪費在與其IT環(huán)境不相關(guān)的威脅中。

這位研究人員的說法是對的，并且很多人都在傳播這種說法，但這其實只是針對預(yù)裝KNOX Personal應(yīng)用。KNOX EMM是用于管理用戶、應(yīng)用和跨平臺設(shè)備的云計算管理產(chǎn)品，它并不是該研究人員分析的一部分。顯然，以純文本保存用戶的PIN以向用戶提供密碼提示的做法僅限于KNOX 1.0的Personal容器，該容器旨在讓消費者體驗KNOX容器。也許事實是這樣，但以純文本形式存儲任何登錄憑證都很難讓人接受，更讓人難以接受的是，在三星網(wǎng)站并沒有指出個人容器的安全性要弱于企業(yè)容器。三星只是聲稱：“KNOX企業(yè)容器不會存儲任何可替換PIN用于密碼恢復(fù)目的”以及“三星KNOX設(shè)備已通過多項安全認(rèn)證，包括FIPS 140-2和MDFPP(移動設(shè)備基礎(chǔ)保護(hù)框架)等”。

雖然安全認(rèn)證提供了一定的保障，但很多認(rèn)證(例如FIPS 140-2)產(chǎn)品被發(fā)現(xiàn)有嚴(yán)重的缺陷，包括蘋果的GotoFail SSL漏洞和Blackberry OS 10漏洞—與Flash和Heartbleed相關(guān)。KNOX并不是開源產(chǎn)品，因此我們不可能對它如何部署安全性進(jìn)行全面分析，并且，我們不清楚CSfC項目評估的是哪個版本的KNOX。對于有較高安全要求的企業(yè)，一定要確保用戶不要使用Personal版本的KNOX，以保護(hù)敏感數(shù)據(jù)的安全，并應(yīng)對保持或處理敏感數(shù)據(jù)的產(chǎn)品執(zhí)行自己的風(fēng)險分析，畢竟安全認(rèn)證不能百分百保證安全性。

另外，管理員需要了解其用戶使用的三星設(shè)備版本，以及每個版本實際支持的安全功能。安全團(tuán)隊?wèi)?yīng)關(guān)注三星和谷歌的警報信息，以保持了解最新情況，特別是因為Android 5.0 Lollipop開始利用KNOX容器技術(shù)。同時，最好使用內(nèi)置Android加密來加密個人數(shù)據(jù)，因為這會使用基于密碼的密鑰導(dǎo)出函數(shù)((PBKDF2)，它不會保留在設(shè)備中。