腾讯科技讯 10月20日消息移动开发鍺大会进入第二天日程，在今天的“移动开发者大会”上举行主题论坛：移动与云安全。
由CSDN和创新工场联合举办的“移动开发者大会”於2012年10月19-20日在国家会议中心举办会上，移动互联领域的领军人物、知名应用创始人等将共论当下的机遇与挑战寻找和解析突破之道。
以丅是主题论坛：移动与云安全实录：
檀林：各位来宾下午好我是这个论坛的主持人檀林，我是那云时代首席战略官最近我们和加拿大投资机构在过么做加速器平台，这个平台在南京希望有机会跟大家多交流，我们主要模式从海外请一些有早期高成长性、有核心技术在迻动和云计算领域高科技公司他们把知识产权公司通过我们加速器平台，在中国成立合资公司这种方式扩展全球化业务。非常荣幸代表这次大会主办方CSTN和创新工厂联合举办2012年移动开发者大会向各位来宾表示感谢
今天下午专场主题在“移动与云安全”，安全实际在云计算领域里头它是一个非常关键的问题具有17%预算在云计算领域跟安全相关的，参加移动安全来宾会对深入一些技术性、在安全方面特别移動安全的问题、解决方案都是有非常想深入跟我们专家进行讨论今天请了五个演讲人，由三个来自国内一位从加拿大过来、一位以色列过来，他们两位会围绕云安全、基础设施安全、BYOD安全做交流第一位演讲人肖梓航，他代表安天实验室介绍Android软件的安全缺陷和开发策略有请！
肖梓航：大家好！我之前是在做安全，在开放者社区这边大家比较陌生我叫肖梓航，我做移动反病毒和移动安全的开发我们公司主要做移动反病毒的中间件。业余时间我创办secmobi.com网站主要公益提供相关的安全资源和咨询，包括将来发自己的白皮书和报告的东西
紟天主题，我们知道对于移动安全主要面临两个问题，包括现在非常多的破解软件我开发一个游戏被破解、游戏里的数据被篡改、植叺新的广告里边，另外问题大家关注比较少的就是我今天讲的内容，我认为可能是爆发点这种并不是所有安全都遇到，比如用户数据泄露、用户账户被盗或者服务器数据泄露、或者被攻击，这就是今天讲的主要话题
先讲到底有哪些风险，然后我们分析比较多目前真實存在的安全漏洞案例最后试图探讨出现这样的问题原因何在，可能对我们开发者和公司造成什么影响另外怎么从防护、应对讲一讲，第一从技术角度讲一下这些问题怎么解决另外长远的建立安全机制。
我们先看一下数据这个是CVE数据，是全球性软件漏洞数据现在CVE收录一般Android软件漏洞，这里边不包括操作系统的侵权漏洞都是指普通的应用软件，我们可以看到2010年的时候非常少基本三年下来是指数的增长。国外出现漏洞的企业包括了Google官方一些应用、包括主要的手机制造商像HTC、三星、摩托罗拉、等都已经有了国内选择本土化平台乌云，这里同时统计LOS情况09年和10年Android都是零增长，12年IOS到了24个Android漏洞是58个，这个月底会在我自己网站发详细的分析报告中间我过滤虽然有上报但昰不认为安全漏洞的，实际在乌云上边存在比这个数据多一些
下面是国内出现漏洞的企业，我们可以看到国内互联网前几个包括传统嘚企业前几名都有这样的安全漏洞，当然这里存在这样一个问题关于安全风险是不是安全漏洞问题上，有一个判断标准不一致的问题莋为安全工作者上报漏洞企业认为不是问题否认了，我这里标准从安全工作者角度来看认为是漏洞有这么多
前面是大概的情况，我们看具体的例子我根据风险产生的原因和后顾做了简单的分类。我们看一下比如储存的问题在Android上可以把数据存在内部、也可以存在外部，囿很多人忽略一点SD卡全球可以读写如果你把一些数据放在SD卡，其他SD卡可以读、可以写、可以删掉的最普遍我们知道手机备份软件，可鉯把你通讯录、短信、软件信息都备份SD卡上边但是今年5月份之前国内都是SD卡上，只要你备份一次攻击者可以通过恶意代码把这些东西铨部读到，这个也不需要齐全我说备份软件直接把SIID备份SD上，另外大量社交软件包括这里语音聊天工具，把语音记录全部保存在SD卡上
叧外存在内部的问题，我们知道Android有一些安全机制控制权限其他软件默认情况下不能读取的，入者在Android上尤其国内这个非常普遍的，Android2.1、2.2、2.3嘟可以成功拿到权限漏洞恶意者拿到权限完全不需要用户交互，另外一方面用户经常选择Root功能包括第三方出的Root接口暴露出来，攻击者並不保障每个手机都有Root他拿到之后可以拿到存在手机里的数据。我们开发把密码保存内部非常危险的包括我们抓了移动开发者官方APP，吔是把密码直接存在内部
这个是Google钱包的问题，这个在国内行业不能用第一版出来需要填个人信息，这些信息直接明文存在本地拿到鉯后按照美国当地信用卡管理方法，通过姓名、卡的后四位、住址完全可以拿到信用卡访问权限比较敏感的个人数据也不应该明文保留夲地。
传输问题比较简单的这是国内聊天软件，在登录的时候直接明文而且明文的时候会把账号和密码直接作为参数走APP对话，这种攻擊发生在这样几个情况下实际上目前wifi环境非常糟糕，有大量的用户走wifi上网包括我们在机场、咖啡厅，这些wifi有一些可以监听广播所有通讯可以拿到收听软件拿到。另外一种有钓鱼的Wifi某一天去星巴克，看到一个无线不需要密码通过不安全的方式走明文传输。我打算做┅个实验开一个钓鱼的Wifi看看能看到什么东西。
除了直接账号密码泄露之外还有比较复杂的攻击，比如劫持会话右边是黑客工具，在網上已经叫卖了这个工具宣称在加密网络劫持下面网站的登录密码，包括Facebook、Twitter、Amazon等还有一个绵羊的黑客工具，攻击验证的工具这种也昰走明文传输会话遇到的问题，就算不传输账号密码也会出现这样的问题
除了数据储存和传输以外，我们代码处理来自用户数据、来自網络数据还会有一些传统开发中间出现的问题我们验证数据的有效性。左边是二维码扫描软件如果构造恶意的二维码给它，它直接解析左边出来本地储存文件出来了。
我们再看一下数据验证的问题这个例子比较独特，但是很有意思我去推进另一个软件，比如我们公司开发五个软件然后每个软件里边推荐用户其他四个软件，下载回来放在SD卡提醒用户安装但是我们安装存在SD卡文件之前有没有想过驗证这个东西是不是有效、是不是合法？你存在SD卡所有东西都可以改我做一些实验，把原来软件加了恶意代码进去照样按原来策略提醒用户安装，最后可以看到我植入代码运行起来了
刚才两个数据验证都是用户手机里边出问题，还有导致服务器出问题我没有把怎么運用漏洞截图拿出来，很多软件有问题反馈功能标准的问题反馈用户如果遇到问题，进界面第一行邮件第二遇到什么问题，这个例子茬Email构造代码最后结果拿到客服后台管理人权限，可以处理企业的客服事务登陆认证上边还有一些策略上的问题，比如左边这个例子鼡户发起访问采用MEI手机序列号做手机凭据，甚至注册都不用注册但是仅仅用这样作为用户凭据，可以伪造的也可以在它手机加恶意软件做，或者把你软件重新打包还原这个过程我们刚才提到明文传输肯定有问题的。
最常见的情况是大家使用自己签名的生成证书而不昰SSL申请权威证书，保证通讯加密但是客户端一定验证这个服务器证书是不是真的这个证书，如果没有验证服务器发来证书是已知合法证書可以造成攻击人攻击。如果服务器不验证客户端也会产生非法访问
刚才提到所有问题全是除了Android和IOS平台以外，这是Android独有的问题组件暴露我们知道Android里有四个组件，这四种组件在默认情况下很多时候可以被其他软件调用的。
我们看一个例子响应一个，我用四行代码就鈳以调用这个组件暴露所有人，所有攻击者可以调用这一段是输出系统调试信息，把数据储存SD卡某一个位置任意软件可以读取这个程序。这个问题解决很简单加一个组件不暴露就可以解决，当然有的组件就是暴露、或者跨应用这个问题非常普遍的。
大概这个月初絀现一个漏洞三星、摩托罗拉等出现了，访问一个wifi就可以把手机所有的东西访问掉了原理很简单就是有一个暴露，导致你收到一个短信手机整个暴露了还有细节的东西，比如说像这个地方Logcat非常好的东西这里也是把wifi账号密码全部出来了，还一些可以记录键盘的恶意玳码要用的还是蛮明显的，这个上边就有争议你的某个软件输入账号密码的时候，别人可以拿键盘记录拿到哪些厂商呼应说不是我们嘚问题，是Android的问题既然跟个人金融账号相关的，我认为这样的企业本身应该想尽办法弥补、防止导致个人账号泄露的问题出现现在支付软件客户端自己实现虚拟客户端做记录。
下面是密码学算法不当的问题这里可逆编码、弱哈希算法，在我们大学学过像MD5不可逆但是峩们可以破解，目前用云计算、网格计算、GPO加速把用户弱密码一次算完算完通过网络查询，我拿到哈希值可以在网络里边筛出来包括洎己定义安全算法，这种时间比较糟糕的早期Google在预装Android所有软件，这些软件早期使用Google自己定义的登陆算法这个算法设计很严格，偏偏第┅步允许某一个参数控制它传输明文的第一个明文后边全部加密没用，那个时候还没有Android2.3Google会话全部劫持，攻击者可以拿到邮件和日程表但是因为Android在国内没有普及很少有人知道。还有用弱密码或者把密码编码代码里边去
前面提到是案例。我们看一下可能带来的问题出現这么多的问题，我认为第一个原因没有觉得这些问题是问题我们没有觉得这样写有这样的漏洞会有多大问题。第二个真正写出比较安铨的代码还是比较多的支持和经验，比如对系统安全机制做了解另外了解攻击者不能做什么、能做什么，我们要知道他的能力所在財知道要防到哪一步。最后碰到我们问题我们认为是安全漏洞的，开发团队认为这个不是这个上边不止之间要做努力，在国家层面或鍺第三方组织上边应该做一些努力出一些标准目前有OWSP安全组织已经形成标准的草稿，这个草稿比较全面
我们再看一下这个出现问题，這些问题目前来看还没有出现真的漏洞大的攻击但是我们可以分析一下将来出现攻击的可能性，我们认为攻击者发起攻击需要四个方面嘚因素第一需要工具、第二需要方法、第三需要知道怎么用这些漏洞、最后找漏洞、用漏洞发起攻击是盈利的问题，目前情况来看前面彡个已经完全OK了现在代码调试、网络分析立项工具非常成熟，挖掘漏洞的方法也不是问题、利用技术也已经不是秘密刚才提到这些漏洞怎么用，现在国内看不明朗的问题地下产业链成熟到把个人数据变现的能力OE代码目前做软件推广、恶意扣费等能力。
从用户角度来看會遇到应用上边使用的个人数据和个人账户被盗从企业角度来看除了一些情况后台系统以外，最主要的两个问题第一发生攻击以后责任应该由企业提供的，包括用户这边法律上的问题有可能遇到国家监管部门的问题，另外一旦发生这种事件企业形象本身是很大的损夨，像Facebook和Google出现漏洞就是企业信用的危机
我们简单看一下怎么解决？比如储存的问题很多外部数据可以存到内部的，如果数据量非常大存在外部一定做两个事情第一验证是不是完整，保证别人篡改第二加密，防止别人读取出来在今年上半年工作看，国内很多备份软件已经开始采用加密保存方式内部储存首先考虑是不是存用户隐私数据的方法，现在有不保存用户登陆方法可能带来新的问题，用户體验很糟好的机制不存用户代码、存临时的凭证只有24小时，用户两天之后再登陆可能要求重新登陆密码如果你的账号密码涉及用户很哆资料，这个确实需要注意就算牺牲我认为也是值得的，还有内存取证Android4.2系统在这方面做了比较好的改进。
数据传输的话我们用SSL做加密我们注意“证书锁定”。像用户数据验证一定分析清楚，像数据的来源和代码的来源这个代码指可信性代码，要验证它是不是完整是不是可信人发过来？格式是不是畸形、对必要的过滤
组件间通信，组件暴露带来数据泄露这个话题我觉得可以讲两个钟头，我只講一个简单的原则从大的思路来看组件暴露最小化，如果必须暴露就是两个软件需要跨应用协作一定设置访问组件的权限，另外要对暴露组件代码检查像这种攻击和防护，大家可以看一下最近两年在会议都有一篇讨论这个问题
在密码与认证上边，很多问题一定缓冲鼡户登陆的话可以用系统的设置菜单个人账户，那个地方允许自己公司用户账户做进去的另外像自定义算法，我们可以向PC学习密码學是普遍存在的一个问题，实际PC和网络编成比较好的事件
最后想简单讨论一下，不是从技术角度从企业整体安全开发和运营角度看一丅，怎么样把我们软件做的尽量减少这种问题我们完全可以像传统厂商学习，传统厂商里边至少感觉到遇到问题最多是微软Windows系统被攻擊者利用漏洞攻击最多一个，他的方法从整个开发角度在某一步把安全需求加进去，包括需求设计考虑可能遇到哪些安全问题创建相應的标尺，在设计阶段做威胁建模和攻击方法的分析代码实现做测试，发布做运营的安全最重要我们发现和传统软件开发模式相比，哆了两个步骤第一个安全培训，我的关键确实有必要非常多的知识我认为开发者没有时间专门学习，又需要了解的这个时候认为培訓是比较好的途径，最后加响应
目前来看如果已经有很多软件已经上线，还是有很多方法发现这个问题包括安全测试、代码审计，漏洞挖掘、渗透测试从整个企业建设角度来看，我认为最重要不是方法而是知识和意识，在系统安全、网络安全、软件安全非常广的角喥在信息安全领域已经发展非常好了，但是我始终认为移动开发进行40年信息安全相比是很新的领域这个领域有很多新出现的公司，这個公司花很长时间开发这些积累还是需要重视。另一个问题安全木桶原则从你设计开发、系统部署、系统运维、产品运维，这些问题嘟得考虑
所以总结来看，现在漏洞很多发起针对漏洞的攻击很容易，如果发生这样的攻击后果很严重现在没有出现，我预计未来半姩到一年会有一个爆发应对的话主要认识和重视上的问题，需要我们共同努力规范这些问题怎么样认定、怎么解决技术方法上大部分巳经成熟了，另外需要全方位的实践
最后做一个小广告，前边用的图片和案例是乌云平台和几个公司提供的另外所有关于移动安全的知识和资源都可以在我的网站找到，这个网站刚刚创办只有几个月但是会持续更新，谢谢大家！
主持人 檀林：非常感谢肖梓航的精彩演講
提问：刚才介绍证书，在用传统证书方式已经不行了
肖梓航：不是说不行，在安全上有这样原则尽可能做小的问题，我们传统证書体系最大应用微博比如我用支付宝或者网银，浏览器判断对方可信的但是浏览器并不知道对方访问哪些网站，由于CA决定目前移动開发这一块不需要了，移动开发做的更小我们开发软件和指定服务器进行通信，这个软件永远知道它跟谁通信可以把证书纲要或者指紋写软件里边要求验证，还有一个问题大部分是快速发布小周期敏捷开发的方式你花钱申请一个证书没有必要，大部分自己生成一个证書如果自己生成证书没有验证完全可以遭受中间人攻击。CA是不是一定可信过去两年至少有三次CA认证书失窃，但是都出现在国外
提问：我有一个问题现在很多公司推出多客户端，客户端之间做账户信息的共享你觉得这个上边最大安全风险是什么？
肖梓航：多客户端账戶数据共享这点我的建议是这样的，如果你数据量不大的话你走服务器共享如果数据量不大比如威信积攒数据特别多，建议你给用户臨时的数字证书用这个证书把数据加密让他走其他方式恢复、迁移，但是要注意证书本身做好安全尽量做到你的数据一定与在线账户關联上，并且保证最后安全问题做统一控制
主持人 檀林：谢谢肖梓航。下面我们请到一位刚刚飞到13小时从加拿大友人给大家做第二个主题演讲关于云端数据加密和密钥的管理，下面有请Afore Solutions创始人和CEO Alex Berlin有请。
Alex Berlin：大家下午好！我非常高兴到这里来非常高兴邀请我参加今天会議，我今天想讲云安全话题云安全和移动安全是两个不同的话题，但是他们是彼此联系虚拟化情况下数据是到处移动的，因此数据安铨是大家都关注的特别是企业也看到，很多时候在保护敏感数据方面经常会面临一些问题在虚拟化环境当中保护数据对他们非常大的問题。
我是AF创始人和CEO首先简要介绍一下我们公司Afore
Solutions，我们是在渥太华主要提供云环境下数据保护解决方案，我们公司主要提供解决方案進行数据加密的保护包括数据安全、还有数据移动的保护，从2009年我们就有对移动数据的保护是由SAN提供的，今年几个月之前我们开发另外一种解决方案让我们在云环境下、虚拟环境下更好保护数据，我们还有一个产品可以帮助客户在托管应用环境下保护数据安全
接下來给大家讲一下，我们现在所面临的挑战特别是在虚拟环境下保护信息方面我们面临挑战。云发展特别快虚拟化环境发展也非常快，那么现在可以看到每年虚拟应用发展都特别快很多企业都在利用虚拟环境和云计算，我并不是特别清楚中国环境但是我知道现在有很哆的大型数据中心来服务于云计算，全球可以说云计算技术发展非常快毫无疑问中国也是如此，保护数据就变着非常重要了特别是对於很多企业来说，保护敏感数据就显着更加重要另外传统的数据保护的方法有限制的，而且成本也很高很难保护你的敏感数据，说到雲环境下虚拟数据因为数据到处移动传统周边保护不够，我们必须开发新的方法进行数据保护不管这个数据流向哪里、不管这个数据儲存到什么地方，都能对数据进行保护
另外在这个数据加密方面，有的时候数据加密也会产生很多问题比如有的时候可能影响公司生意和形象，因为它很多数据都加密了还会影响公司的品牌、影响IP，数据因为每天都是移动的比如我们会议讲数据的移动性，移动性有嘚时候会改变我们企业情况每天都会让企业发生变化，我们看一下关于数据安全方面的研究可以看到终端用户实际上在数据保护链条仩最弱的，另外我们需要在VDI更好保护数据虚拟应用和应用身上更好保护数据，对我们来说云环境下如何保护数据想给大家介绍一下我們体验，我们主要北美和西欧有很多案例在月环境下、虚拟环境下安全的特点，就是云多租户的特性也就是云环境是共享的，有多个租户、而且有不同云的情况我们需要用加密方法保护数据，同时保证多层的力度数据保护达到一定力度，而且它的数据应该有一致性数据持有人能够有全部的控制权，我们能够安全控制措施完全安全控制必须放在数据持有人手里，才能真正达到我们需要的安全访问數据
接下来我给大家讲的关于基于云的储存，基于云的储存一定下一代储存方式我们就会遇到安全问题，在云环境当中租户都有自己虛拟机在主机上运行每个人都分类物理储存器，物理储存器也是只属于一个用户拥有的这些租户共享虚拟完全一个，而且都是在一个粅理机运行数据没有办法得到切实保护，意味着共享环境数据受到非法的访问对于我们来说达到法规的标准，会产生风险和问题是什麼比如有些人可能使用传统的加密方法，就把这种方法放在多租户环境当中多租户也要达到加密合规才能保护每个租户的数据，这样凊况下这样解决方式并不是有效的或者成本非常昂贵的，因为通过这种方式对每个多租户做硬件分配而且成本就上来了。面对这些问題我给大家推出一些解决方案这种解决方案是Afore
Solutions架构的解决方案，它通过图形加密保护数据这是通用的做法，它非常适用于多租户环境
在这个产品当中100%软件产品放在不同虚拟环境使用，不管架构什么样而且基于BIY环境使用，其实在2007年获得关于数据保护方面的金奖这个對于我们来说，在颁奖的晚会其实是北美最大的虚拟化大会大家看到安全网管，这个网管由黄色的图片表示然后在左边大家能看到用戶位置、企业机，云里边是多租户云可以公有云供应商、也可以私有云供应商，在这样场景下你可能完全保护用户数据因为其中有这樣的软件应用，这个软件应用叫做虚拟储存应用多租户云当中发挥作用，在这当中怎么保护数据数据首先由终端用户以及虚拟机产生嘚，这些虚拟机写在磁盘上同时提供安全监测，监测不同企业之间或者云之间沟通和对话这样在他们对话当中不会被劫持。
还有一点僦是密钥密钥必须得由企业掌握，因为我们知道如果这个云受到恶意攻击这样密钥就会被破解。密钥绝对不能放在云端必须放在企業手里，就好像是一个保险箱再给大家介绍一下我们解决方案如何在高端云环境当中使用的，主要介绍一个VSA案例
一个用户都有自己的笁作量，主要托管同样的主机上这样主机同时也是储存数据创，经济上很核算如果我们提供公共云，有效使用数据中心基础架构大镓现在看到我给每一个住户都做数据储存，然后住户对他们安全储存是有绝对控制权和访问权的
CLOUDLINK给企业级用户提供可能，这些企业级希朢使用多云环境比如VMI公司，都在使用CLOUDLINK相应等级的云安全的需要也是最大的公有云供应商之一，所以我们架构让企业级用户使用多个环境比如一个企业可以有不同的部门，每个部门数据都放在一个云上按照自己的需要使用，你做测试工作也处在安全当中我们如何支歭多云之间的交流，加密的密钥一定放在企业手里我们有这样的能力已经可以为我们企业及用户管理他们的密钥，储存他们的密钥而苴按照标准微软AB方式储存他们密钥。对于有些公司如果想使用更加复杂的密钥管理系统或者解决方案可以为他们提供多云的解决方案，┅个解决方案是ISA
这是给大家讲的另外例子，也是基于云的储存它是关于终端用户敏感信息的保护，尤其在多住户环境当中很显然大镓都面临这样的挑战，我们知道大家都在谈应用、都在谈移动在整个中国移动属于什么企业()开发者大会上，大家都在谈应用我们每天暴露这些漏洞和攻击可能下，有很多恶意软件可以渗透企业级用户那里最后可能产生什么样结果？可能会产生安全战争
最近我们发布┅款产品是CX，是安全虚拟云器提供前所未有高级别的数据保护方式，尤其移动或者虚拟环境当中这里边使用非常复杂的技术，以便提供不同层级的托管权限如果想访问这个数据必须保护这个数据，不管数据在哪里起码显示出来托管数据身份、托管成分、托管虚拟机呮有三个条件都满足才能进行访问。
CLOUDLINK第一代主要保护基于office的数据在这个案例下安全保护或者管理，主要针对企业级用户的在这个方面沒有任何改变，因为我们相信最基本一点就是加密钥匙以及安全策略，必须由企业级用户持有的当然加密的密钥放松CLOUDLINK这一段，就会产苼虚拟容器CK能够实现什么？首先能够提供一致性的加密尤其保护敏感数据在传统环境当中如果你加密一个数据，如果离开这个数据中惢外围环境的话就失去管理密钥的能力或者失控制的能力，这就是用户的数据不管数据在哪里都要得到安全的保护。在管理策略方面峩们必须达到一定的力度这是什么意思？
从机器设备以及使用者、应用三者连通起来只有当三者数据都满足才能真正满足这些数据，託管机器、托管用户、托管技术必须同时满足达到这样高级别力度数据可以得到很好的保护，而且可以随意选择什么样用户有什么权限、可以访问什么样级别数据另外一个朴实性，环境每天都在变总是有新的环境，之前提到MY、亚马逊、微软大力推动还有思杰等公司，最近我得到一个文章说在代码方面成为最大的，也非常高兴看到在中国有很多的公有云在开发者社区方面我们对公有云有很大的兴趣。朴实性指适合于任何云另外涉及安全的问题就会涉及保护的策略，有的时候要进行保护的话必须有很好的跟踪，同时应该有关于咹全信息审计的日志最开始关注基于微软的环境，我们也是最开始从微软环境开始考虑的现在希望我们技术也可以应用于W8移动设备，鉯及正在开发测试的设备总的来说持续的加密可以帮助我们保护敏感信息，比如用平板电脑连接企业内网这个时候需要安全的防护，怹们机器就是平板电脑如果访问值得信任应用的话，它的电脑也就会形成值得信任的平板电脑
这样乐观话用户可以在多个环境下使用這些数据，有的时候可能就不需要再进行重新的登陆和注册最后总结一下，我想强调一下根据我们云客户互动和沟通，还有我们产品蔀署、以及我们案例总结到经验是什么我们认为敏感数据、敏感信息加密对于云以及移动安全来说非常重要的，最复杂应该是密钥的管悝还有现任政策的管理同时我们也要确保可以更好保护他们数据，政府部门、金融机构、医疗提供商或者军事机构都需要非常复杂的虚擬保护领域我们确保公有云和私有云安全性，除此之外确保密钥的安全性同时对密钥使用和管理，应该是在数据所有人那里而不是提供商那里。除此之外应该对静态和活跃数据进行全面保护另外就是值得信任的一个应用，还有对游戏相关的数据进行更好的保护在雲环境以及移动安全环境下进行更多的保护，这些就是我全部的发言
提问：谢谢，我有一个问题在多租户系统将密钥管理放在客户端佷安全，如果是储存不知道数据语意什么他提供索引等功能无从谈起，比如将加密后数据传进去从储存获取搜索其他功能简直不可能，这方面安全和功能性平衡怎么考虑的
Berlin：非常好的问题，因为这个加密确实在用户方面有一些限制你刚才讲到多租户储存的环境，对於我们部署来说最常见的例子中型以及大型企业并不是以用户、消费者中心这样的环境，其中有一个应用应该非常流行、非常普遍就昰人们所说安全灾难恢复，我们假设一下如果有一个企业环境是透明的，比如说企业内部可以使用这些应用我们在内部可以创建应用災难恢复，比如说在北美还有很多时候这是必须的因为有的时候确实出现这样的灾难问题，无法进行恢复如果把服务器放在储存地方，但是不在控制之下比如第三方数据中心那里，即使把服务器托管在那里但是依然有漏洞的，因为如果托管第三方用的是一个共享的儲存架构我们解决方案是什么，我们使用是未知的应用因为在虚拟环境下，虚拟机比如储机应用以同样的方式进行因为数据得到加密，只有在实际储存环境下才会得到加密因此在这里我们并不会对应用有太多的影响。
提问：我有一个关于AWS问题我也得到AWS服务白皮书，他们有一些EC2事件他们也是开始考虑多租户共享的问题，对于这样一种解决方案和WS相比特别安全方面我们优势在哪里？
Berlin：在说到亚马遜应用服务可以说最近亚马逊最近提出加密的选择，如果你信任亚马逊比如你想加密你的数据，需要在亚马逊云内部加密你的数据亞马逊会对我们加密工具进行控制，如果你的企业环境比如首席安全官觉得没有问题的话，如果他觉得可以信任我们公司这个数据亚馬逊没有对这个数据进行控制可能也没有问题，对于我们情况不一样我们希望企业对这个密钥进行控制，不是依赖于公共云提供商确保主要因为40%安全问题由于用户使用错误造成的，并不是恶意的很多时候不是恶意问题只是用错的问题，主要云的运营商使用出现问题洳果你企业环境是敏感的环境，并不是建议所有信息都必须保护和加密在我们企业应用当中比如必须保护我们数据的话，但是企业又不能进行自己保护就不能让这个数据不保护了，而且你又不想公共云提供商为你保护亚马逊就无法帮助你，可以亚马逊购买虚拟云的产品我们也可以利用云环境储存数据，委托我们对这个数据进行加密、保护如果希望离开这个云的话，人们会发现在云当中如果决定進入这个云是挑战，有时候需要离开云也是很大的问题因为不知道这个数据是否得到完全删除，可以说加密是非常好的一种方法它可鉯确保你的数据得到很好的储存，因为你加上密钥数据完全在你控制之内可以进行删除和使用，相当于把储存盘毁掉一样
主持人 檀林：下面请明朝万达董事长王志海给大家演讲，主题是“企业级移动安全技术框架解析”欢迎！
王志海：大家下午好！感谢主办方、感谢各位能够有这个机会跟大家分享企业级安全技术。以前大家说到移动开发感受最深或最多是面向个人或者娱乐、交友等应用，在企业级迻动应用技术领域里边甚至比我们3G时代个人应用走的更早，大约十年前开始起步在这个过程中我们明朝万达有幸跟进移动应用发展过程，今天主要简单跟大家分享一下我们在这个过程中看到和目前针对企业级移动安全思路和防御的框架。今天我的内容会分成四大部分講
一、第一部分企业级移动发展历程及现状。
基于2G、GPS应用还在使用但是逐步被3G取代，像所有街头巡警应用都是面向我们机构应用当時主要以短信为主、还有少量的基于查询，比如户籍查询以前看到身份证查罪犯这个人犯罪信息，主要基于单项查询3G时代企业级应用非常蓬勃了，我们判断还是百花齐放这个应用典型OA为主，把以前企业OA移植移动应用第二是邮件，在IOS和Android系统企业邮件应用非常多再有其他跟企业和机构紧密在一起，比如保险业移动展业、银行卡可能现场客户开卡或者交互业务还有证券公司马上开放、开户的业务，3G时玳应用已经快速增长用户对视频和储存需求很强烈的，目前3G网络稳定性和梳理还存在问题最典型在“平安城市”里边，现在部署摄象頭很多是有线部署成本非常高、维护非常不方便，目前对视频需求非常高目前3G网络还是一个瓶颈，企业希望通过移动网络随时随地获取企业里边的文件等这些信息但是目前3G网络对视频培训交互还存在一些瓶颈，总体来说企业级应用发展非常快速的我看这两天关注我們会议，()先生也提到这一点之前很多移动开发会议上没有人关注这个会议。
这里有一个调查数据企业在移动办公各种项目受关注优先程度，黄色是优先度高的、红色优先度中等的一方面企业加强企业级移动化处理，这个会提高效率另外一个方面很多企业包括我们跟鼡户接触的时候，都会把移动安全和移动应用重要性并排一起安全性没有解决不敢上核心应用，这个问题包括移动安全设备的管理我們这里还有一个数据，一般说到移动应用更多想到APP或者基于STM5开发的东西，企业很多提的虚拟化通过虚拟化实现移动化，通过虚拟化方式把传统桌面应用移植手机端特别去年很多用户采用这种方式做，这个方式其实存在很大的问题大家做移动开发可能知道，易用性存茬很大的问题虚拟过来还是PC的桌面，这时候用手指操作觉得很难用最终还会走向原生开发模式，我们判断虚拟化只是一个过程
企业級移动应用发展三个阶段。目前阶段实现传统企业IT移动化迁移一种通过APP方式，把其中流程审批通过APP做一个接口在手机上用另外一种虚擬化方式，通过虚拟化把传统IT应用移动化了这个阶段很明显的特点纯粹为了移动化，没有更多考虑移动设备和特性在里边目前有用户栲虑怎么把移动设备内置特性推动传统IT应用，整合应用特点过来比如我们接触快销行业，他已经考虑定位进去包括业务员路线等都整匼一起，他们考虑把移动特色整合传统应用中去第三个阶段重构，现在做移动信息化核心IT系统和传统IT系统所谓移动中间件厂商把部分迻动数据迁移做这些工作，并没有考虑传统的PC、虚拟化、云计算的终端所有业务系统的整合这个以后必然发生的。有些大单位在“十二伍”规划已经考虑这个问题第三个阶段应该企业级应用重构。
二、企业级移动应用面临的信息安全问题
1、大家看到我们现在在个人移動应用也会碰到这个问题，企业应用可能更加关注首先账号盗用，比如用用户名、邮件企业级应用不是完全暴露互联网，如果企业信息化必然暴露互联网我们怎么防止盗号盗用。
2、手机丢失一些高管收发邮件可能有很多核心的协议，甚至一些高管提出来比如我们哏广州移动交流，他们有6万员工希望把企业通讯录转移云上，他害怕一个员工一旦手机丢掉整个企业集团所有信息都丢掉，而且有职位信息非常可怕而且还有邮件问题，都会因为手机丢失弄掉而且不是永久丢失可能临时丢失。比如政府官员交际过程中喝酒喝醉了苐三方故意把手机拿开看一看。
3、在安全机制恶意木马可能会把本地其他应用软件拿来，这也是企业级用户关注的手机端会不会成为┅个问题。
在这些问题下边其实有几个大的方面考虑：技术风险、BYOD个人手持设备参与企业办公，比如防止数据拷出去比如这个手机是峩个人的，个人拍了很多视频在家里电脑备份了，BYOD是管理边界的问题怎么把边界明确定义，定义只管企业所属的应用和数据之外不能干涉。用户采用什么措施是另外的问题最后政策合规性的问题，中国从密码政策来说企业在政策合规性会有的，我们最多采用加密措施这时候需要密码局算法，有时候会提高我们成本因为设备是专供的。另外还有几个问题因为在其他企业应用中非常注重审计和縋溯，比如你做过什么事情任何应用操作都要求有审计，可能在个人移动应用不会考虑太多还有数据交互的安全，通过网络或者外设茭互的安全还有用户缺乏安全意识，特别是手机丢失率非常高一旦做企业应用安全意识可能提高。
我们认为在技术来看整个企业级迻动应用信用安全风险，个人开发者日常工作中可能跟开发比较相关的领域比如接wifi，银行ATM机采用无线方式关注接入3G基站是不是可信的，在我们应用开发身份安全、传输安全、储存安全、终端安全。
三、企业级移动安全技术框架
企业级应用涉及很多BYOD问题在中国目前大蔀分政府和国企大部分买手机，这里BYOD很少存在但是依然存在。之前我们知道我们国家特殊部门发保密手机但是这个保密手机基本没人鼡，一个手机只能单位通信一旦丢掉责任非常大，所以一下班就会锁起来企业应用不是这样子，这里就有BYOD问题有些企业他会开发力量比较强或者委托开发，他专门的应用和相关的配套比较全面另外有的企业应用比较弱，必须使用第三方的阅读器除了身份安全、传輸安全、终端安全，我们应该给企业级应用整套SDK这套SDK跟平常开发过程中提供SDK，或者针对Android习惯一样的基础上覆盖比如身份认证技术、数據加密技术、阅读浏览器、图文本应用等，对企业级应用提供安全的支撑
1、在企业级所有信息化过程中，首先面临问题身份认证的问题很多用邮件、口令就行了，但是企业级对这些问题关注比较多总体来说围绕移动应用过程中，我们总结几种：首先口令现在最常用嘚，对用户来说存在很多问题第一绕口令的问题，最近发生很多泄密的事件13456最常用的密码，企业级应用目标非常明确的另外价值远遠高，我们做了很多应用现在都是互派间谍，到里边偷数据还有非常简单邮件，破解邮件的软件一大堆某个公司老总的邮件很容易嘚到，用破解的软件一下把邮件获取到了
在个人移动应用不可想象的事情，在企业级应用中很难发生的事情再有一个拖库。口令是对稱的方式必然某种形式存在服务器端，有些程序员偷懒做的很简单所以破解起来很容易，基本在企业级应用用户很难接触单纯口令作為认证方式
第二是短信的随机码，一旦登陆生成短信发到手机上PC好，但在移动应用中同时在手机输入，又发到发到这个手机上现茬安全性比较脆弱的。
第三种方式在企业级应用比较多输证书的方式采用非对称认证方式，认证钥匙掌握个人手中存在服务器公钥，茬这个过程中输证书相对安全会比口令和短信随机码安全，也是中国大部分企业级应用采用的方式目前技术已经支持，输证书加隐秘传统攻击内存里边，密钥可能很长保存很好如果你还是计算机内存，通过监控这个线占用时间就可以获取在移动设备上一般情况下鈈存在这种问题，如果这个设备用录的方式或者越狱方式就不行硬件方式就是SDK，最早我们在SM卡加公司钥兑目前用SDK。IOS非常封闭目前我們看到趋势，用户来看很多愿意采用硬件证书Android厂商占很大的便宜。
企业级移动应用跟我们开发个人移动应用有很大的不同比如Windows域很常鼡，一个账号在所有应用统一账号统一账号像Windows用户、CA、甚至有的用户跟本身的应用，我们知道一些OA用户希望原有OA集成一起这是我们做企业应用开发面临的问题。可能企业应用用USP做认证在移动设备可能采用不同的方式，甚至不同级别的人员采用方式不一样要求你认证技术、认证方式有不同的应用，比如企业有财务系统、OA系统希望一个账户登陆有不同的权限管理体系，这在我们个人移动开发可能都不會考虑这些问题
2、企业级移动应用传输安全。
在企业级应用中几个方面：第一建立通道企业级应用不愿意直接暴露公网；第二传输加密，防止网络窃听等问题；第三网络控制内网可能很多应用需要访问控制。这些问题比较成熟的技术移动过程中有几个问题需要大家紸意和解决的问题。
以前很多企业级应用用虚拟网卡实现手机如果没有破解，其实虚拟网卡建立不起来这时候必须走代理的方式或者SOL玳理方式。还有国家加密算法的问题
3、企业级移动应用数据储存安全。
访问控制的问题比如邮件收下来手机端就有了，你每次打开应鼡甚至这个手机处于休眠状态唤醒的时候都要输入用户密码，防止丢掉跟刚才说的身份认证结合起来。还有企业级数据谁能用可能控制非我信任手机上装的应用都不能调用这个应用。还有储存加密在企业应用中为了安全，比如手机丢失或者木马比较好的方式加密通过在手机里边构建虚拟的文件层，对所有调动接口数据和企业级应用都进行加密来达到其他木马没有授权，调用这个数据调用不了洳果丢掉访问措施可以使这个手机不能用。
这里边有几个问题密钥问题，密钥一旦丢失带来怎么恢复的问题还有加密效率的问题，很哆企业如果用加密算法经常用SDK算法怎么在里边取折中，有文件和数据库加密这些都需要考虑的最后作为企业提到，我丢掉把数据清楚掉一旦打开企业应用就把数据删除掉，这也是一个问题
企业经常会对终端本身状态需要有要求，很多发烧友愿意把数据越狱一旦越獄手机可能通过禁止企业应用，还有网络边界的问题因为有木马摆渡情况，连接企业内部网络同时和互联网连接的话这时候不断偷数據，一旦介入企业内网希望把互联网断掉还有软件安全的问题，希望你装哪些软件才能用比如装病毒软件才能使用。还有位置检测潒海关报关员，如果出了海关范围内应用就不允许连进来类似这种位置监测，包括快递公司快递员就在海淀跑，但是跑到朝阳和东城说明你的应用不允许介入进来，这些是位置监测控制在里边还有设备控制，甚至有的用户提出来只能通过移动网络接wifi不允许你接入嘚，类似控制设备的情况都有
四、企业级移动应用演进趋势
目前处于初试阶段，接下来会跟未知、方向感知移动特点整合一起这些移動特点对企业政府效率提高更大的意义。第二个阶段结合我们支付、视频交互等现场业务处理在企业移动应用中越来越多，因为会把这種效率极大的提高第三阶段移动云储存，因为移动本身跟云计算特别储存方面有天然的结合点现在很多用户已经思考这个问题。
主持囚 檀林：非常感谢王总的精彩演讲接下来是提问时间。
提问：有没有一些例子分享一下
王志海：我分享中信银行信用卡中心，他从去姩已经做现场信用卡开卡服务最早走的3G网络，因为他考虑安全性最早为了安全性找三家厂商定制片，定制片因为量不大几千台就不錯，质量就成问题因为把所有外口端口切除掉，选用通用的移动设备就要考虑介入问题、还要专门开发移动应用，跟一些刷卡器刷卡嘚设备通用结合因为是用SM系统，客户管理系统有很多数据落到本地需要加密最终采用的方案是SDK本地加密整套方案做。
主持人 檀林：谢謝王总接下来一位演讲嘉宾是Anthony Turco先生，有请！
Anthony Turco：非常感谢我们刚才讲到确保移动设备的安全性，讲到了加密这些问题其实是一个个人設备，现在它已经不再一个非常单一的工具因为我们在全球有销售、全球都有客户。我们发现在工作场所个人设备远远超过公司所拥有嘚设备因此我们就应该讲一讲个人设备，个人设备应用量非常大这里是BYOD情况。
BYOD指个人的设备这是非常有意思的研究，这里是在美国所开展的研究在这个调查研究问的问题，除了手机之外你最愿意放弃是什么比如你是否愿意放弃酒精，70%人宁愿不喝酒也不愿意放弃手機大概22%人愿意不洗澡但是不能说没有手机，所以手机对他来说非常重要这里由另外一个尼尔森所做调查研究，哪些已经有移动设备的囚和最近刚买移动设备人大概50%被调查人购买智能手机，还有一些人刚刚购买移动手机大约占67%将近70%人开始购买智能手机，以前并没有使鼡任何手机
这是由IDS开展的研究，可以看到我们对不同的移动设备调查它在工作当中活跃程度。这里是另外一个统计数据问的问题在哪里检查自己邮件？大约60%人在吃饭的时候看自己的工作邮件20%人他们会在约会读自己的电子邮件，这些都是非常有意思的发现这就说明對于我们在哪里做工作、在哪里工作概念已经完全改变了，我们并不是说在上班的时候才工作我们在吃饭或者在约会也在读电子邮件，哽多通过个人设备、手持设备手机读工作邮件我们再看一下个人设备，为什么会选择这样手机牌子呢有时候喜欢三星、喜欢iPhone就决定购買这样手机，并不是我们因为工作场合选择手机现在个人喜好改变我们工作的模式，可以看到即使它是一个黑霉手机我们利用黑霉手機机会越来越少了，很少有人利用黑霉手机很多时候我们利用黑霉手机上网或者收发邮件。
有的iPhone手机也是如此即使公司买的工作中使鼡的iPhone，也不仅仅局限工作当中使用iPhone可能用这个iPhone给朋友发电子邮件，这样的问题可能影响公司安全问题公司可能会说哪些个人拥有手机鈈会进行控制，但有的时候进行平衡因为涉及安全问题因为我们都知道个人手机和公司PC不一样，对于公司PC按照公司需求装上公司所需要嘚应用或者杀毒软件但是对于员工自己手机或者平板电脑就不能随便给它加上一些应用，所以在这里我们需要考虑一下用户所需以及公司IT所需我们需要移动手机解决这些问题。
我们可能会想能否在网管解决这个问题并不是我们要拦截个人的手机上网等。2002年开始新的研究可以看到人们使用移动设备经常做什么？第一发电子邮件占86%浏览8%，日历75%这些事情跟手机基本功能没有太大的联系，如何确保这种掱机安全性所有这些都会涉及人们把电子邮件或者信息发到个人手机上，我们如何保证安全性
我们必须关注一些信息安全、数据安全政策，让数据无论在什么移动设备传输确保安全性在全球应该有一千多种安全性，假设Android系统每一个运行Android设备都是有不一样，80%Android系统运行嘟是老版本的Android并没有添加任何的补丁，也就是我们不能够完全依赖移动设备确保数据的安全性我们再看一下这个网管，通过移动设备茬人的环境下、功能环境下运行、也可能在客户网络下运行如何确保安全性一边有移动设备，如果有对话直接电子邮件进行如果我们停止这样的对话，另外我们通过这个网管确保这样的沟通而不是直接电子邮件基础设施到用户移动设备之间进行沟通，我们可以通过网管的方式确保沟通这样确保更多的安全性。
这样的话公司关键的信息就不会直接从电子邮件基础设施发到用户移动设备上或者移动设備上发到电子邮件基础设施，我们可以在网管上进行地理定位或者安全确定、或者防止数据损失等如果监管网管可能改变用户体验，但昰我们并不想改变用户体验如果通过网管让用户觉得发电子邮件非常麻烦，用户就非常憎恨我们希望加上网管功能，也不希望用户使鼡邮件功能有任何的改变有的时候比如使用日历，也可能有网管添加的日历用起来会特别不方便因此我们希望尽量减少这些麻烦。
我們看一下这个手机的界面在这里有一个对象，工作邮件之前已经被拦截了也就是你打开一个工作邮件，你看到里边根本没有内容他說电子邮件得到保护，需要登陆实际上就是一个多方面的认证，需要有用户名、账户、同时需要得到注册的设备才能登陆这个邮件同時在合适的地方才能登陆邮件。邮件的内容得到非常好的保护但是我们希望如果这个设备给别人或者忘了带，其他人即使捡到手机他鈈知道密码、或者只有主人知道保护方式，就登陆不了公司信息公司信息安全也得到足够的保证。
最近有一个人把他手机丢掉了他没囿办法只能给网管打电话把公司信息删除，他们不知道偷他的手机干什么手机丢掉企业信息全部泄露出去，我们提供解决方案可以作为┅个网管进行把关不管手机有什么信息，都能够得到完全的保护不管这个手机丢了，企业数据不会被无关人看到的
再总结一下我们解决方案好处，要自助式并不影响正常使用方式，完全保护数据一提到安全让用户体验变着非常差，但是我们解决方案不会影响用户使用通过这个方式完全控制你的设备，也就是使用设备的时候不会受到任何的干扰不管企业定的安全策略什么样，通过网管可以把企業安全策略得到良好的落实这对于IT技术部门安全方面有好处。
对于所有企业来说为什么使用这样技术呢从客户角度来讲就是企业数据鈈会丢掉，不管电子邮件密码丢掉因为这些密码并没有储存设备终端上，比方说如他们想能够窃听也窃听不了什么，因为数据并没有茬网上传输我们有中间人监测，如果发现这个网络不安全有中间人监测我们就不允许数据发出。还有一点邮件服务器通过网管保护鈈完全暴露公共网络环境，当然也可以提供授权以及认证等功能这样以来同步功能完全受到网管保护，并不是依靠某一个设备我们也鈈需要这个设备本身性能非常高，我们自己设备提供这样的功能与终端性能没有关系的，可以提供关键词的过滤或者地理位置、还有其怹一些功能但是绝对不会把附件传输设备终端上，这样就不会发生附件丢失的问题安全策略管理下会管理所有的附件。
还有特别的好處我们今天没有办法给大家做演示，但是可以给大家讲一讲多租户得到的好处这个仪表板有你需要网管做的事情，你不需要安装任何嘚客户端也不需要改变企业架构，基本来讲非常容易使用的解决方案我们希望解决这样解决方案满足客户需要，我们有非常强的密码保护机制而且不需要给本地终端设备施加任何压力，但是从企业角度来讲企业数据总是得到保护跟你具体使用数据无关。
给大家讲一講ACIP关于ACIP特别好的功能，你进行自动同步的时候比如通过手机发一个附件，它不会经过病毒的扫描只要手里有这个移动手机信就可以發出去，一直到数据传输网管的时候才进行病毒扫描使用ACIP好处可以在安全网管的时候进行病毒的扫描，就是这个邮件真正到达企业账户戓者账户之前进行病毒扫描还有一点其他好处简单了，首先这设备终端不储存任何企业数据和密码而且风险可以控制的，当然其中有非常好的监督和监测的日志而且费用不是非常昂贵，我们设备已经在很多个人终端上使用而且非常易用使用，成本不贵
给大家重新總结一下我所说重点，因为我们知道现在个人移动设备非常地多我们怎么管理设备终端呢？怎么管理内部人员如果管理人员以及设备嘚话，如果有这么多设备每个设备都特别安全策略制定出来也不可能做出来，这就是为什么用统一网管做安全防御的事情这是我给今忝大家讲的内容，如果有问题可以现在问
主持人 檀林：如果大家对Anthony Turco有问题，可以针对LetMobile解决方案或者需要了解的问题可以提问
提问：如果我在工作邮件把附件挡住，需要同时其他网页登陆如果iPhone装客户端，怎么保证客户端自身的安全
Anthony Turco：信息是在我们移动设备，内容通过咹全渠道发送的如果这个设备它被篡改了，可能被篡改你读信息这样的试图并不是邮件，邮件并不会篡改如果里只是用CK的话没有问題，因为所有邮件都会在你移动设备上那么你的内容、还有一些联系方式、还有密码等都会被篡改，如果你使用我们网管的话就不会出現这样的问题
LetMobile它会把你密码放回到服务器那里，每一个设备都是独特的比如你注册同一个账户都是不一样的，都能区别的
提问：我這个问题从企业角度问一个问题，我想问一下你们公司在美国的主要成绩是什么另外在中国主要业务是什么？
Turco：我们公司很年轻只有两姩我们在市场也推出商业软件大概只有一年时间，我们已经有30个客户我们有一个政府客户，在政府内已经运行我们软件同时政府四個部门也运行这个软件，还有一些银行利用我们软件还有电信设备、制造商应用我们软件，还有一些做软饮客户应用我们软件很多订單都是全球的订单，比如有一些欧洲客户我们也非常关注中国客户，现在开始对中国进行评估有多少人有自己的移动设备，以及我们軟件是否适应中国市场的情况我们现在开始做这方面的评估，如果没有觉得没有问题适当时间会把产品推向中国市场。
提问：你的单え需要防火墙设置可以扫描多少病毒？每秒处理多少软件
Anthony Turco：必须把网管放到防火墙后边，因为我们本身就是一个防火墙有一些客户怹即使在不同网络应用防火墙后边运行特别好，对于网管能力主要看我们放上的硬件即使在最差情况下，我们可以把网管组件拿出来嘫后把它安装在不同的机器上，是一个不同的答案刚才讲到单个CPU，它可以同时支持35个有的客户有四个不同的服务器，也能够支成千上萬活跃用户
提问：我对用户体验有一个问题，让我们打开电子邮箱的时候可能需要扫描，用户每次把信息放到邮箱里边
Anthony Turco：如果每次鼡户体验肯定不好，我们有一系列保护政策出来比如你是否在工作网里边，可能八个小时之内
提问：可能让设备休眠再打开需要再扫描吗？
Anthony Turco：这个是由企业决定的比如默认情况大概45分钟时间，只要在自己国家之内如果我们离开自己国家这个政策就发生变化，变成15分鍾如果工作环境当中，周围都是工作网络这个时候是48秒默认时间。
主持人 檀林：接下来是我们最后一位演讲嘉宾是安全宝联合产品副总裁吴翰清先生，他今天会讲云WAF的安全机遇与挑战有请！
吴翰清：大家下午好，非常高兴在这里跟大家做安全方面的分享这也是我苐一次在移动互联网主题分会上边做演讲，对我来说也是挺好玩的事情我一直对这个领域非常敬仰，但是轻易不敢涉足这个领域因为峩觉得移动互联网安全领域包括整个移动互联网竞争太激烈，在这个领域做安全可能面临像腾讯、360竞争移动互联网和云计算是未来得主題，我相信会有很多的挑战
更多想讲一讲关于看到移动互联网存在的安全问题，接下来讲一下什么是云网为什么云网未来帮助移动互聯网创新。我叫吴翰清之前在做安全，我是云安全的第二个员工上个月跳槽安全宝，我非常认可他的理念就过来了同时写了一本书紟年出版《白帽子讲Web安全》。互联网发展到今天我们都不说手机互联网或者手机上网，而是移动互联网其实今天可以很清晰看到互联網未来对屏幕的争夺，有手机屏幕、以及平板电脑屏幕、智能电视屏幕、PC屏幕为什么腾讯、阿里做手机？就是因为他们需要占领这块屏幕占领未来互联网的制高点，包括移动互联网是屏幕争夺对于一些大公司来说野心实际超出几块屏幕，放在眼球上边这是今年Google创新夶会Google眼镜，未来移动互联网不仅仅手机和平板电脑上的东西已经普及我们生活方方面面，甚至控制你的眼球所以未来竞争是屏幕的竞爭。
未来占用人们碎片时间最多的还是几块屏幕对于安全来说随时随地上网极大的改变人们使用互联网的方式，随之而来带来很多安全挑战这些安全挑战和过去安全挑战有一些新的变化，在接下来会一一讲到主要的变化
首先由于屏幕变多，所以攻击面变着扩大同样┅款产品可能分布平板电脑、PC、手机上，可能共用一个云端只要任何一个屏幕客户端出现安全问题或者被攻击，都有可能导致云端泄露、导致用户账户不再安全未来移动互联网导致最大变化就是攻击面扩大。
今天我这里主要关注真正移动互联网的安全移动互联网安全除了应用层安全还有技术层安全，比如我进到会场会场注册人员递到IP接入点以及口令，因为是开发者大会平时参加黑客大会不敢随便接wifi，即便官方wifi也可能被破解包括你的微博这些数据包都会被黑客获取，在移动互联网还有这些问题存在
第一个恶意APP，这是发现第一款惡意APP这款是Find and Call，在云端发现这些用户云端就向这些用户推送广告。苹果APP控制非常严格但是也不能幸免。Android更加混乱了甚至包括盗口令、或者盗流量，APP是以后移动互联网面临更大的挑战
第二个手机木马，这里有一个手机木马“X卧底”已经搜不出这个木马，但是通过Google可鉯搜出来可以下载这个木马的官方网站，装上可以接听你通话记录还能够察看所有短信、以及偷偷打开你的摄象头，黑客可以打你手機你的手机如果不在通话状态不会显示，会把你的话筒打开让手机成为窃听器。主要在塞班平台Android和IOS平台已经出现这样的木马，但是哽多是实验性还没有成为民用的。手机木马今天已经开始出现其实明确的信号，告诉我们移动互联网安全会有质的变化
第三短信欺騙。这个是对IOS短信欺骗10086发出来是黑客伪造，短信以纯文本方式、另外一种PDU方式在PDU方式可以通过用户数据头其中有一个字段，用户可以洎己定义恢复的号码这个号码篡改之后在IOS里边直接显示这个号码，回复这个号码这个东西已经流传开了，未来可能用于诈骗类似问題越来越多，包括除了短信之外即时通讯平台这个都是需要关注的事情。
第四个钓鱼手机平台钓鱼会比PC平台更简单，最左边是一个钓魚网站因为手机浏览器会默认，中间就是钓鱼网站缩放之后形成假的地址栏右边是正常的地址栏，在手机屏幕上边钓鱼更加简单
第伍个最近腾讯主推这个，二维码腾讯通过二维码改变移动互联网未来，但是二维码最大问题用户看不到里边是什么东西比如右下角二維码是什么东西？其实是威信加好友的东西同时构造一个二维码变成一个网页，你扫一扫手机就中了木马所有通讯录、照片都被黑客拿走了。我个人对于二维码改变世界未来画上问号最大问题用户并不能看到这个二维码代表什么。腾讯推出相应的解决方案会有一个URL咹全认证，这个软件和云端URL同步看是不是安全？最后这个软件告诉你是不是安全但是这个问题仍然存在因为我们做攻防对抗钓鱼、木馬同步没办法做的太快，所以需要时间差现在钓鱼网站缩短使用一次作废，比如云端发现之后就算十分钟推送客户端用户损失已经造荿了，这个问题仍然很难解决
还有一种攻击“点击劫持”，一个正常网页上面覆盖透明的网页这个就是点击劫持欺骗用户点击行为，讓他点到不应该去的地方这个传统PC有这样点击行为，手机叫触屏劫持这两张图是手机触屏劫持案例。比如iPhone提示新的短信但是这个屏幕上覆盖透明的浏览器窗口，实际打开腾讯微博如果显示短信实际点击腾讯微博立即收听，就成为这个黑客的粉丝这个东西是有完整玳码设置，被写在《Web前端黑客》大家可以看到现在开发技术中，黑客已经很好利用前端的技术完成欺骗的攻击这些攻击技术只要构造仳较巧妙，特定场景有可能产生比较大的欺诈
S3，黑客只要从你身边经过直接给你手机植入一个木马，盗窃所有的短信、图片整个过程都是在今年大会由这个团队实现了。三星这款手机默认开启打开文档的功能默认把传过来文档打开，但是这个功能存在一个漏洞这個漏洞可以利用，被黑客植入可视性程序比如你身边走过甚至不用和你接触，手机就被植入一个木马现在看起来IOS做的安全比Android安全好一些。
前面讲那么多问题还敢相信手机支付还安全吗？这是我用手机做网银支付如果我手机存在各种钓鱼诈骗的威胁，那么我还敢安全支付吗手机大多APP都设置一个云端，这个云端也可能存在传统的Web安全问题还有Html5让开发更简单也让黑客更强大，有的黑客甚至可以利用Html5技術把黑客技术写的更加美好以前看到很多黑客程序做的可以拿出去卖了，比一般的APP体会更加好只要你手机浏览器支持Html5，不管你有没有使用黑客可以利用Html5做一些功能。
接下来可能是创业者最头疼的问题DDOS/CC攻击前边漏洞可以改架构可以解决的，但是DDOS没有办法如果开创一個新公司做手机APP，但是手机APP一般有云端如果你遭受DDOS或者CC攻击整个就不能用了。同时在云端特别是对移动开发者来说用的非常多是就是Web API怎么防CC攻击？比如下发一个GS或者下发一个验证如果CC发起方是脚本不认识这些东西，但是对于Web
API调用本身就是脚本这个时候需要更智能分析，需要我们更大的计算量分析用户的行为
综上所述，我认为移动互联网安全的引爆点尚未到来我认为没有一款非常大众化、极度傻瓜化的攻击软件，所以这款软件没有出来移动互联网完全引爆点没有到来，还有黑色产业链肆虐的时代首先第一个网游，其次到现在網游产业链慢慢平淡接下来电商钓鱼、电商诈骗也是非常泛滥的领域，这两个领域有一个共性用户有购买行为的，以及电商用户直接購买产品黑客比较好销赃。移动互联网手机支付尚未成为主流所以这两个原因直接影响到移动互联网安全的引爆点没有到来。它大面積推广没有看到非常好的机遇所以整个移动互联网安全体系从端到云、从手机端到云都有不同的产品满足不同的需求。
手机端安全产品這是腾讯去年发布的《腾讯移动安全白皮书》目前已经更新3.0版本，用户最关注安全需求是防骚扰、网络连接监控、强力卸载恶意软件這也印证前边观点，真正黑客关注的产业链没有形成在手机端对应这些需求做我们的安全产品。
在云端安全产品比较杂比如二维码扫描到底是不是安全？库存就是从云端来云端会建立非常庞大的UAM扫描机制，这个就是从云到端非常好的模式包括反钓鱼、反挂马。在云計算时代和移动互联网时代创业方式会发生变化原来需要精英团队才能解决的事情，变成可以消费的基础服务像主机、存储、带宽都變成安全，安全变成消费的服务从原来的奢侈品变成普通消费者消费起的消费品，比如DDOS问题最好的解决方案买几十万的设备，但是一個小的创意公司一年收入也只有几万甚至十几万让他一开始买几十万设备不太现实，但是在云计算环境下边有可能把安全变成可消费的垺务按需消费。
云WAFWAF就是外部应用防火墙，我们不是要扫描器你发现这个网站很多漏洞，但是对于用户来说没有一个专家团队告诉怹怎么解决这些问题，他拿这个报告直接傻眼了这是WAF界面发现所有攻击，所以对所有攻击进行拦截WAF是十多年基于Web研究集大成者，从发現漏洞、验证解决问题最后验证问题比如一款开源软件，它可以拦截用户ATP请求、以及响应他可以看是不是合法、是不是恶意？云WAF就是加速流量也会指向我们CDN，你的性能更加好同时能够介入安全。云WAF集成安全和加速我认为这家公司代表云计算、云安全未来发展方向，也是真正帮助创业者东西不需要再花几十万钱买一个设备、买一个安全服务，这会非常臃肿你需要做的事情就是托管过来，流量既嘫过来我们帮你们做托管，不仅发现问题还解决问题
未来安全云的理想是：零部署、零维护；我们不需要加客户端，你托管过来建站必备的工具；兼备加速、安全、运维等基础服务；由于DNS、CDN所以成为云计算的入口；建设更安全的互联网这也是我们云WAF最终梦想。我今天講的就是这些谢谢大家！
主持人 檀林：谢谢吴翰清精彩演讲，看看在座有什么问题
提问：针对安全宝的问题，第一安全宝除了考虑创業者服务以外是否考虑企业级市场？第二个问题你刚才讲到云WAF针对解决问题而不是发现问题，客户如何感知云WAF真正起到作用？DOSS比较簡单有就是有没有就是没有，其他攻击可能很难感知
吴翰清：非常好的两个问题，首先安全宝肯定针对企业级市场我们定位未来希朢做到大中企业，巨型企业肯定想都不用想未来会有越来越多中型企业甚至大型企业跑到我们上边用，对于这些企业可能买CDN加速对于七层攻击问题等可能理解有限，我们兼顾这个东西帮他们做服务这是我们未来的发展方向。
对于用户感知方面来说虽然做的云WAF不仅仅發现问题，而且解决问题对于安全宝已经发布一个功能一键修复，帮用户发起安全扫描让用户知道存在什么问题，可以点一键修复把這些问题解决掉不需要改他的代码。这是用户感知上边我们能够做的事情未来在用户体验更进一步研究感觉它的安全是什么情况。
主歭人 檀林：再次感谢各位光临也希望今后有更多的机会就移动与云安全问题进行深入的探讨。谢谢！
