潘爱民，阿里巴巴集团安全部 互联网+时代的移动安全实践 2015.7.9 提纲 •  互联网+时代的安全威胁 •  移动业务背景下的安全需求 •  “云”+“端”的安全模型 •  阿里移动安全实践 从互联网到互联网+ 互联网+ 互联网企业 传统产业 大众创业，万众创新 互联网 -> 移动互联网 •  诞生：移动通信与互联网的结合 –  手机上网带来了新一批互联网用户 –  智能终端的普及 •  推动了创新 –  –  –  –  –  用户体验被加强和重视 应用和应用商店 业务模式更趋精准 直达用户的营销模式 软硬件结合的产业链 IoT(物联网) 移动互联网的新安全威胁 •  无线信号安全 –  各种无线信号的保密和真伪 •  无线链路安全 –  连接Internet •  端的安全 –  操作系统，厂商 …… •  用户信息安全 –  隐私信息泄露，欺诈，钓鱼 …… 移动互联网安全角色分布 终端商 安全软件厂商 芯片商 用户 移动OS厂商 骇客 应用软件厂商 灰产/黑产 移动业务面临的安全需求 •  系统不安全，缺乏基本的可信执行环境 •  应用分发渠道不可控，存在应用被假冒、篡改等 •  业务⻛风险 –  账号被盗，垃圾注册，信息泄漏 –  虚假交易，营销作弊，信用炒作/刷量 移动互联网安全现状 病毒木马   应用漏洞   仿冒应用   100%   86%   40%   病毒木马的月均增长比例 超过100%，严重威胁移 动互联网的安全   超过86％的应用存在漏洞，而 开发者却没有足够的重视   2014年第四季度阿里聚安全病毒样本 增长趋势   40     36     病毒样本增量(万)   35     213%   30     25     250%   200%   150%   20     15     10     9     6     57%   5     0     0%   12     100%   50%   31%   2014/09   2014/10   2014/11   2014/12   0%   SharedPre fs配置错误   Webview 未校验 7%   HTTPS证 书   9%   拒绝服务   10%   HTTPS未 校验证书   12%   File模式配 置错误   调试开关 1%   未关闭   1%   近40%的应用存在仿冒应 用，热门的应用被仿冒几 率越高   Webview 明文存储   33%   60.6%   Webview 远程代码 执行27%   39.4%   42,267 个仿冒   移动安全 – App模式+业务⻛风险 •  App模式挑战 –  目前尚处于漏洞频发阶段 –  漏洞修复的到达率取决于用户升级意愿和场景 –  App版本长期处于新老并存的状态 •  业务欺诈 –  根据支付安全报告，账户被盗导致资金损失的比例33.9%，交易过程中 木马导致资损的比例为24% –  移动黑色产业链在不断渗透，涉及： 账号被盗、垃圾注册、虚假交易、信用炒作/刷量、营销作弊，等等 实例1：某金融类恶意木⻢马 •  木⻢马行为： –  –  –  –  –  高度伪装支付宝客户端 软件打开后要求用户输入账户信息登录 木马把账号、密码发送到黑客手机 恐吓用户账户支付宝账号存在异常消费 引导用户申请冻结 •  危害性 –  将支付宝账户、密码、支付密码、银行账号 、开户行、信用卡账户等信息发送到黑客手机 案例2：美团红包仿冒 •  仿冒美团的App，也是一款木⻢马， 其行为： –  安装后根据不同的参数，向服务 器传送数据，上报用户敏感信息 ，包括：手机号、手机硬件配置 信息、银行卡号、身份证号、姓 名等 •  危害性 –  美团应用安装量大和使用广泛 –  迷惑性强，用户容易被诱骗 移动攻防- 投入不对等 黑色产业   l  专业的应用攻防能力     l  100%的精力投入   l  完整的产业链结构与分工   应用开发   l  没有应用安全攻防经验   l  没有精力和时间投入到应用 安全防护中   l  缺乏相应的防护工具   l  各种先进的检测工具   移动安全 – “云”+ “端”的平衡 业务逻辑比重 ⻛风险控制 阿里移动安全实践 •  •  •  •  •  •  威胁感知 App安全加固 App⻛风险扫描 漏洞修复与响应 服务接入层 安全审计 服务   接入   威胁   感知   安全   审计   APP安 全加固   漏洞   修复与 响应   App风 险扫描   阿里移动安全实践：威胁感知 •  ROOT检测 –  手机ROOT（越狱）破坏了操作系统原有的保护机制,容易引发针对App 的攻击和业务风险 •  模拟器检测 –  App运行在模拟器设备中，容易受到逆向破解、抓包分析等攻击，同时 增加业务风险 •  重要数据的篡改检测 –  攻击者对于客户端的用户数据、机密文件、网络数据、安全配置等进 行篡改，如修改证书、JS代码等，从而威胁应用安全 •  恶意调试检测 –  攻击者利用调试工具,对应用程序进行动态调试,分析程序逻辑与保管 的核心数据，造成密码、业务逻辑、安全策略等信息外泄，威胁业务 安全 威胁感知：优势 •  全生命周期监控 –  开发、测试、线上全周期监控 ，及时应对风险 •  ⻛风险可感知 –  应用运行环境、被攻击情况实 时可见 成功案例：某O2O应用(反欺诈服务 ) •  协助客户解决的问题： –  通过阿里聚安全的持续监控 功能，检测到客户端运行过 程中存在外挂刷机等行为 •  效果 –  2周内避免了数百万级的资损 阿里移动安全实践：App加固 •  低成本的安全防护方案 –  针对App安装包进行加固，无 需修改源代码或者二次开发 –  主要手段：加壳、加密、逻辑 混淆、代码隐藏等应用加固方法 •  有效性 –  防止应用被逆向分析，反编译 –  防止应用被二次打包嵌入病毒 广告等恶意代码 成功案例：某游戏平台安全加固服务 •  客户服务类型 –  游戏平台Android客户端 •  项目实施 –  阿里的安全加固服务集成到该游戏平台的开发流程中 •  保证开发效率 •  通过高强度的加固服务，提高了客户端的安全能力 –  另集成了阿里风险扫描及加固的API，为该游戏平台提供进一步的安 全能力支持 阿里移动安全实践：App⻛风险扫描 •  应用漏洞检测 –  阿里自主研发的应用漏洞扫描引擎 •  恶意代码检测 –  对APK进行可疑代码段静态分析，恶意行为动态分析，特征及黑名单 匹配，查找隐藏在代码中的后门和恶意代码等 •  App仿冒监测 –  对全网应用渠道进行持续监测，收集仿冒应用、二次打包等各种威胁 ，为客户提供仿冒应用数、装机量、资产损失等数据