移動互聯網安全綜述

孫其博

(北京郵電大學，北京100876)

?

移動互聯網安全綜述

孫其博

(北京郵電大學，北京100876)

摘要：移動互聯網是傳統(tǒng)移動通信網絡與互聯網融臺的產物，能夠為用戶提供更具移動特性、更深入到日常工作生活的應用支撐。針對移動互聯網的發(fā)展，在介紹移動互聯網功能架構的基礎上，從傳統(tǒng)移動通信網以及傳統(tǒng)互聯網的角度簡要介紹了移動互聯網安全問題產生的根源，詳細分析了移動互聯網智能終端、接入網絡以及應用服務面臨的主要安全問題，提出了靜態(tài)安全體系框架與動態(tài)主動安全防御相結合的移動互聯網安全體系研究思路。

關鍵詞：移動互聯網；智能終端安全；網絡安全；應用安全；安全框架；態(tài)勢感知

0引言

移動互聯網已經成為人們社會生活中的重要網絡。據統(tǒng)計，截至2015年6月底，我國網民總數達6.68億人，其中使用手機終端上網的移動互聯網網民達到5.94億人[1]。

總體而言，當前移動互聯網產業(yè)環(huán)境正在向著“去電信化”和“互聯網中心化”的方向演進[2]。隨之而來的是應用創(chuàng)新和模式創(chuàng)新正在取代技術顛覆成為移動互聯網產業(yè)發(fā)展的顯著特征。

然而隨著快速發(fā)展，移動互聯網也面臨著與日俱增的安全威脅以及安全保障方面的挑戰(zhàn)，對于其安全技術的研究具有重要的現實意義，需要盡早提出相應的解決方法。

1移動互聯網的定義與技術體系

移動互聯網是指互聯網的技術、平臺、商業(yè)模式和應用與移動通信技術結合并實踐的活動的總稱[3]。中國工業(yè)和信息化部電信研究院在《移動互聯網白皮書(2011年)》[4]。中指出：“移動互聯網是以移動網絡作為接入網絡的互聯網及服務，包括3個要素：移動終端、移動網絡和應用服務?！?/p>

一個簡單的移動互聯網的拓撲結構如圖1所示。在該模式下，用戶使用移動智能終端，通過將傳統(tǒng)移動通信網絡(包括2G/3G/4G網絡)或者通過無線通信網絡(包括WLAN、WiMax等網絡)作為接入網絡，來訪問傳統(tǒng)互聯網中提供的各類能夠提供滿足其個性化服務需求的可移動、可定制的應用。

圖1　移動互聯網拓撲結構示意圖

移動互聯網的技術體系有3個水平功能層面，分別為云(即應用與服務功能層面)、管(即網絡功能層面)、端(即移動智能終端功能層面)和1個垂直功能層面(即安全與隱私保護功能層面)，如圖2所示[5]。

圖2　移動互聯網的技術框架

1.1智能終端功能層面

隨著信息技術的不斷發(fā)展，移動智能終端已成為人們日常工作生活中關系最密切的電子設備。

通過將電信服務和互聯網服務聚合在一個終端設備中，移動智能終端不僅具備了普通移動終端的語音通話、電信服務和移動性管理能力，而且具有了類似于計算機的處理能力和網絡功能，以及更為強大的信息處理和存儲空間。

目前，移動智能終端技術已成為影響移動互聯網產業(yè)發(fā)展的最為關鍵的技術之一。其研究范圍包括終端硬件、操作系統(tǒng)和應用軟件技術，以及終端定位、節(jié)約能耗、上下文感知、內容適配和人機交互等技術。

1.2網絡功能層面

移動互聯網的網絡主要包括兩部分：接入網和核心網。其中移動互聯網的核心網是IP骨干信息傳輸網絡，而其接入網絡則以傳統(tǒng)移動通信網絡的接入網絡以及無線城域網、無線局域網為主，此外還可以包括衛(wèi)星通信網絡以及使用藍牙技術的無線個域網。這些采用不同技術體制的接入網絡在帶寬、覆蓋、移動性支持能力和部署成本等方面各有長短[5]。例如，傳統(tǒng)移動通信網絡的接入網雖然具有移動性管理技術成熟和覆蓋范圍較大的優(yōu)勢，但卻存在著成本過高、帶寬較低等缺陷；而無線局域網雖然具有成本較低和帶寬較高的優(yōu)勢，但又存在著移動性管理技術還不成熟和覆蓋范圍有限等缺陷。

移動互聯網的高速發(fā)展使得接入網絡所需要支撐的應用已轉變?yōu)榘Z音、數據、圖像在內的多媒體應用，并且需要滿足在所需帶寬、覆蓋區(qū)域以及實時性等多個方面的需求。

2應用服務功能層面

移動互聯網以“移動”和“開放”作為主要的發(fā)展特征，輔以應用商店引發(fā)的應用提供模式的創(chuàng)新，大規(guī)模地推動了應用市場的繁榮。

移動互聯網的應用具有移動性和個性化等屬性：比如用戶可以隨時隨地獲得根據其位置、興趣偏好和環(huán)境特征等需求因素進行定制的具有個性化特征的移動互聯網應用。而且隨著業(yè)務和終端平臺深度融合的趨勢日益明顯，移動智能終端對業(yè)務能力的支持程度將直接影響移動互聯網業(yè)務的推廣和普及[6]。

目前，移動互聯網上的應用發(fā)展迅速，移動搜索、移動社交網絡、移動電子商務、移動辦公應用、智能導航應用等在內的多種應用正得到蓬勃發(fā)展。

3安全與隱私保護功能層面

互聯網自被使用以來，安全與隱私保護問題就一直困擾著人們。而與互聯網的融合，使傳統(tǒng)移動通信網的安全屬性也受到很大的沖擊。伴隨移動互聯網的業(yè)務多樣化、網絡開放化、終端智能化等技術特點的變化，安全與隱私保護問題也會出現新的特征，并提出更高的防護需求。

移動智能終端具有終端智能化、服務個性化等特征，更使得安全與隱私保護成為了移動互聯網所必須解決的一大緊迫問題。與傳統(tǒng)終端不同，移動智能終端與生俱來的用戶緊密耦合性決定了其信息的敏感性，而其具有的移動特性又對于信息安全的保護提出了更高的要求[7]。

4移動互聯網安全問題產生的根源

隨著移動互聯網的爆炸式發(fā)展，受經濟利益驅動，移動互聯網面臨的安全威脅也在近幾年迅速增長[8]。究其問題產生的根源，可以從以下兩方面進行分析。

(1)傳統(tǒng)移動通信網封閉式的安全模式被打破

傳統(tǒng)移動通信網的建設采用“圍墻花園”模式，具有網絡平臺相對封閉、信息傳輸和管理控制平面分離、網絡行為可溯源、終端類型單一且非智能，以及用戶鑒權嚴格的特點，因此安全性相對較高[9]。

但是，從移動通信的角度看，與互聯網的融合在很大程度上削弱了傳統(tǒng)移動通信網絡原有的安全特性。首先，作為移動互聯網的一部分，IP化后的移動通信網逐漸開放了其原有的封閉體系，導致除了嚴格的用戶鑒權和管理之外，原有的安全性優(yōu)勢所剩無幾；其次，由于其應用環(huán)境的封閉性，移動通信網絡中原有的IP化的電信設備、信令和協議較少經受安全攻擊方面的測試，其安全性被作為一個缺省項對待，因此也存在著各種可能被有意或者無意利用的軟硬件漏洞。其安全防護能力在面對來自互聯網的各種安全威脅時，出現明顯降低的情形。

(2)傳統(tǒng)互聯網的安全問題被引入到移動互聯網中

移動互聯網作為互聯網的一個組成部分，除了接入技術不同，在體系架構上并無本質區(qū)別，同樣面臨著傳統(tǒng)互聯網的種種安全威脅和挑戰(zhàn)。

首先，產生移動互聯網安全問題的總根源是其基于傳統(tǒng)互聯網的開放式IP架構。IP架構使攻擊者可以很容易得到網絡拓撲，獲得網絡中任意重要節(jié)點的IP地址，可以對網絡中某一節(jié)點發(fā)起漏洞掃描及攻擊，截獲并修改網絡中傳送的數據，導致網絡數據安全沒有保障。而且用戶對網絡不透明、鑒權不嚴格、終端未經嚴格鑒權的認證機制即可接入網絡；網絡對終端的安全能力和安全狀況不知情、無法控制；用戶地址也可以偽造，無法溯源[10]。

其次，從現有互聯網角度看，在融合了傳統(tǒng)移動通信網絡后，由于大量引入了具有安全脆弱性或者安全漏洞的IP化移動通信設備(例如WAP網關、IMS設備等)，同時又增加了無線空口接入模式，導致其產生了新的安全威脅。例如攻擊者可以破解空口接入協議進而非法訪問網絡，可以監(jiān)聽和盜取空口傳遞的信息，也可以對無線資源和設備進行服務濫用攻擊等[6]。

因此，傳統(tǒng)互聯網服務中信息傳播和管控機制在很大程度上不能平滑過渡到移動互聯網，信息安全和用戶隱私保護已經成為移動互聯網用戶迫切關心和亟待解決的問題[11]。

5移動互聯網面臨的主要安全問題分析

文獻[12]中給出了一個簡要的移動互聯網的安全體系架構，如圖3所示。

圖3　移動智能終端相關的安全架構

按照攻擊發(fā)生的位置，對移動互聯網的安全威脅可分為對移動終端的威脅、對無線接入網絡的威脅和對移動應用的威脅。

5.1移動智能終端層面臨的安全問題

移動智能終端作為未來“無所不在”服務和個人信息的載體，具有移動性、多樣性和智能性的特點，而附屬于其上的各種應用則呈現出類型復雜、實現機制不公開、數量龐大的特點，這些因素疊加起來，導致其面臨的威脅遠大于以往[6]。

在表現形式上，移動智能終端的安全問題[8]主要聚焦在以下幾個方面：其一是非法內容傳播；其二是惡意吸費；其三是用戶隱私竊?。黄渌氖且苿咏K端病毒以及非法刷機導致的黑屏、系統(tǒng)崩潰等問題。

下面以移動惡意代碼和用戶隱私竊取方面的問題為例對此進行說明。

(1)移動惡意代碼問題

由于移動智能終端操作系統(tǒng)在設計及實現上存在的疏忽，導致其或多或少都存在系統(tǒng)漏洞或者脆弱性，有可能會被惡意代碼利用。尤其是隨著移動互聯網黑客技術的不斷成熟，以移動智能終端為攻擊目標的惡意代碼已對其安全構成重大威脅。

移動惡意代碼[13，14]是一種具有破壞性的惡意移動智能終端程序，一般利用短信、彩信、電子郵件和瀏覽網站等方式在移動通信網內傳播；同時可利用紅外、藍牙等方式在移動智能終端間傳播。

目前，移動智能終端操作系統(tǒng)市場占有率最高的是谷歌公司的Android操作系統(tǒng)，其次是蘋果公司的iOS操作系統(tǒng)和微軟公司的Windows Phone操作系統(tǒng)等。隨著智能終端操作系統(tǒng)的日趨統(tǒng)一，惡意代碼將加速擴張，并由簡單吸費向復雜的誘騙欺詐和流氓行為進化，呈現出多發(fā)趨勢[15]。而且隨著移動智能終端與銀行賬號、第三方支付等金融業(yè)務綁定的增加，手機病毒制作和傳播正加速向資費消耗、惡意扣費和隱私信息竊取方向發(fā)展[12]。

尤其是隨著基于Android操作系統(tǒng)的快速發(fā)展，使用該操作系統(tǒng)的移動智能終端日漸成為黑客攻擊的主要目標。2015年上半年，我國新增Android病毒包數達到596.7萬，同比增長1741%，感染用戶人次達到1.4億，同比增長58%，其中手機支付病毒感染用戶總數達到1145.5萬[16]。

(2)用戶隱私竊取問題

伴隨著移動互聯網的普及和發(fā)展，用戶對個人信息和網絡隱私安全的關注程度也越來越高。與傳統(tǒng)的個人計算機安全相比較，移動智能終端對用戶的重要性更大。一般用戶會將其私密、位置、金融等信息存儲在移動智能終端中，由于這類信息的敏感性，使其遭受攻擊的誘惑性更大，給用戶隱私的保護帶來了嚴峻挑戰(zhàn)。

根據調研，相當多的移動智能終端在出廠時就被默認捆綁了很多應用，其中部分應用會在用戶不知情的情況下收集用戶的敏感信息和隱私信息，并且具有向其后門自動上傳所收集用戶信息的能力。比如，2012年11月，某著名安全防護軟件被發(fā)現主動收集諸如用戶打開過的瀏覽頁面地址等用戶隱私信息，并且在用戶不知情的情況下利用云端指令，在后臺執(zhí)行規(guī)定內容之外的功能[17]。

同樣，導航應用幾乎是每個智能移動終端用戶必用的服務，但是用戶在使用這類服務發(fā)布的一些位置數據也可能會泄露其位置隱私。比如央視在2014年曝光了蘋果手機能夠精準地記錄用戶使用過的定位服務功能及其位置的變化信息，包括他們的工作單位和家庭住址，甚至于包括每天去過什么地方、在該地方呆了多長時間的信息，這就涉嫌侵犯了用戶的個人隱私。因為如果這些信息被不法分子得到，有可能會危及用戶的財產和人身安全。

另外，在基于位置的服務中，還存在軌跡隱私泄露的問題。所謂軌跡，是指某個對象按時間順序排列的位置序列[18]。通過大數據技術來分析對用戶看似毫無用處的軌跡數據，就可能會泄露這些軌跡中含有的敏感位置信息，而依據這類敏感位置可能會得出令人吃驚的結果，比如可能會披露出用戶的家庭住址、工作單位，甚至行為習慣、健康狀況等更敏感的信息[19]。

但是另一方面，某些移動智能終端為了保護用戶的通信隱私所采用的應用層加密技術，也給信息安全監(jiān)管工作造成很大的挑戰(zhàn)[20]。比如黑莓手機采用對數據進行加密后傳輸的方式來保證用戶數據的安全，并且該手機使用的非公開加密算法的保密系數不低于銀行數據系統(tǒng)。但是在2008年發(fā)生的孟買的恐怖襲擊事件中，恐怖分子卻正是利用了黑莓手機的加密功能逃避了印度政府監(jiān)管。

5.2網絡層面臨的安全問題分析

移動互聯網具有的網絡開放性、IP化以及無線傳輸的特性，使安全成為其接入網以及核心網面對的關鍵性問題之一。但是受限于現有技術能力，移動互聯網尚缺乏對隱藏在所傳輸信息中的惡意攻擊進行識別與限制的能力。

按照攻擊的方式，移動互聯網的網絡面對的威脅方式有竊聽、偽裝、破壞完整性、拒絕服務、非授權訪問服務、否認使用/提供、資源耗盡等[21，22]，這些形形色色的潛在安全問題威脅著正常的通信服務。

(1)傳統(tǒng)移動接入網面臨的安全問題

網絡協議和系統(tǒng)的弱點是3G移動通信系統(tǒng)面臨的安全威脅的主要來源，攻擊者可以利用此類弱點實現非授權訪問敏感數據、非授權處理敏感數據、干擾或濫用網絡服務，進而對用戶和網絡資源造成損失[9]。以通用移動通信系統(tǒng)(UMTS)為例，在其安全機制中存在著許多的安全漏洞，攻擊者利用這些漏洞能夠對移動通信網發(fā)起諸如中間人攻擊、流氓基站攻擊和拒絕服務攻擊等類型的攻擊。

4G移動通信系統(tǒng)由于其異構和基于全IP技術的體系結構，也會繼承由于IP技術具有的特定安全漏洞而產生的安全問題。比如LTE的網絡架構采用了全IP技術，與GSM、UTMS采用的網絡架構相比，這種平坦的結構易受諸如竊聽、注入、修改等方式的攻擊，增大了泄露用戶隱私的風險。此外，LTE網絡還容易受到MAC層位置跟蹤、DoS攻擊、數據完整性攻擊以及用戶設備和移動設備的非法使用的影響。

除了上述來自網絡協議和系統(tǒng)的弱點之外，下面以信令風暴攻擊為例對移動接入網面臨的運行類安全問題進行說明。

信令風暴攻擊[23]是指短時間內針對基站和基站控制器(BSC)發(fā)起大量SYN掃描所導致的異常流量攻擊行為。在這種攻擊模式下，攻擊者通過對大量3G用戶地址段發(fā)起SYN掃描攻擊，能夠同時激活大量的休眠用戶，進而出現無線空口資源的負荷激增的問題。而由于傳統(tǒng)移動通信網僅具有有限的無線空口資源，并且這些無線空口資源還要在其覆蓋范圍內進行共享，因而信令風暴攻擊行為將嚴重影響到移動通信網的服務質量及用戶體驗。例如，某運營商曾發(fā)生過上千個3G用戶在短短的10 s內同時登錄一個基站，產生大量信令，引發(fā)相關設備出現最高負荷過高的問題。目前應對異常流量攻擊的檢測及封堵技術手段尚不能有效實現對SYN掃描攻擊的攔截，在應對信令風暴攻擊者對移動網地址段發(fā)起的SYN掃描攻擊時，均具有其局限性，還不能有效地防范該類攻擊。

(2)WLAN接入網面臨的安全問題

WLAN技術采用公共的電磁波作為載體，具有標準統(tǒng)一、部署簡單、性價比高的特點，同時又具有高靈活性和擴展能力強的特點，成為移動互聯網接入的重要手段之一。但是由于其安全體制存在的缺陷，在認證與信息安全、網絡安全等方面存在多項安全問題，使得其成為易被攻擊和入侵的對象。

隨著網絡攻擊技術的不斷翻新，針對WLAN的攻擊技術[24,25]中比較有代表性的包括針對秘鑰的主動或者被動攻擊、偽AP釣魚攻擊、利用DNS端口繞開計費問題、Web Portal安全問題、拒絕服務攻擊、欺騙攻擊和中間人攻擊等等。

下面以針對秘鑰的主動或者被動攻擊以及分布式拒絕服務攻擊為例對WLAN面臨的安全問題進行說明。

在WLAN環(huán)境中，攻擊者可采用主動方式或者被動方式截獲用戶秘鑰。在采用主動攻擊方式時，攻擊者向接入特定WLAN的某個已知用戶發(fā)送信息，比如通過有線互聯網給某個用戶發(fā)送電子郵件，然后通過比較加密前和加密后的數據包，就可以獲得該用戶的密鑰。而當采用被動攻擊方式時，攻擊者只需要被動接收無線信號，并將所截獲的加密信息與各種常用的提供未加密信息傳輸的網絡傳輸協議及數據包格式進行針對性的比較就能獲得密鑰。

而拒絕服務攻擊(Denial of Service，DoS)是指攻擊者利用軟件(含操作系統(tǒng))的缺陷和協議的漏洞，通過搶占主機或網絡的幾乎所有資源的方式，使得合法用戶無法獲得相應的服務。拒絕服務攻擊可以很容易被應用到WLAN接入網絡。在這種攻擊模式中，攻擊者通過發(fā)送與WLAN相同頻率的干擾信號來干擾無線接入網絡的正常運行，進而導致正常的用戶無法使用無線資源接入網絡。拒絕服務攻擊的另一種攻擊手段是在短時間內發(fā)送大量的同種類型的報文[26]，比如發(fā)送大量的非法身份驗證請求，此時無線訪問接入點(Access Point，AP)會被攻擊設備發(fā)送的攻擊報文淹沒，而無法處理正常的移動智能終端(合法用戶)的報文請求。

在WLAN領域的安全標準主要是IEEE制定的802.11i標準和國內自主制定的WAPI標準，這兩項標準都是用于解決無線接入段(即用戶到AP)的認證和加密問題。其中，802.11i標準采用基于共享密鑰的方式實現認證，并定義了更加嚴謹的加密算法，彌補了原有用戶認證協議的安全缺陷，而WAPI采用基于數字證書的機制實現認證，并定義了國內自主的加密算法。綜合而言，這兩大標準在接入控制方面都存在比較明顯的缺陷，各有優(yōu)劣[27]。

5.3應用層面臨的安全問題分析

移動互聯網帶動了大批具有明顯個性化特征，并且?guī)в幸苿犹厣膭?chuàng)新型和融合型移動應用的快速發(fā)展。這類移動互聯網應用一般都具有很強的信息安全敏感度，擁有如用戶位置、通信錄及交易密碼等用戶隱私信息。

移動互聯網應用的上述特征與其潛在的巨大用戶群的綜合，導致其面臨著更新的攻擊目的、更多樣化的攻擊方式和更大的攻擊規(guī)模[6]。

按照通行的分類方法，移動互聯網應用面臨的安全威脅[9]主要包括SQL注入、分布式拒絕服務(DDOS)攻擊、隱私敏感信息泄漏、移動支付安全威脅、惡意扣費、惡意商業(yè)廣告?zhèn)鞑?、業(yè)務盜用、業(yè)務冒名使用、業(yè)務濫用、違法信息及不良信息等。在內容安全方面，還面臨著非法、有害和垃圾信息的大量傳播，嚴重污染了信息環(huán)境，并且干擾和妨礙了人們對信息的利用。

此外，移動互聯網應用平臺由于軟硬件存在的漏洞，也極易受到來自外界的攻擊。而另一方面，由于進行安全防護將會給應用平臺帶來附加的檢測支出，且不會帶來額外收入，導致應用提供商通常缺乏為用戶提供安全防護的意愿。

下面以移動互聯網應用的發(fā)布推廣和移動支付安全為例，對移動互聯網應用層面臨的安全問題進行說明。

移動互聯網應用的發(fā)布推廣渠道中存在著安全審核環(huán)節(jié)薄弱的問題[2]，使其難以阻擋惡意應用的發(fā)布和推廣。以當前發(fā)展最廣泛的Android應用的發(fā)布為例，目前采用的方式是由應用開發(fā)者自行利用Android平臺提供的簽名工具生成自簽名并對外發(fā)布APK文件，而不是由權威的第三方機構發(fā)放用于標識應用及開發(fā)者基本信息的數字證書，這導致了惡意應用程序的開發(fā)者難以被追溯。另一方面，由于對上線應用程序的安全審核缺乏有效的管理制度和技術保障，部分渠道甚至完全通過聚合方式推廣應用，導致針對Android移動終端操作系統(tǒng)的第三方應用商店成為手機病毒泛濫的主要推手。據工業(yè)和信息化部電信研究院信測平臺對國內部分應用商店上線應用檢測數據顯示[4]，惡意程序的平均占比超過4%，部分占比甚至超過20%。

其次，作為移動互聯網的典型應用之一，移動支付類應用中除了存在著如釣魚、連接中斷導致交易失敗、用戶交易欺詐等安全威脅之外，還面臨一些特殊安全風險，如短信交互風險。在移動支付類業(yè)務中，很多用戶關鍵信息是通過短信方式傳遞的，而這些信息很可能在空口傳遞時被竊聽盜取，從而導致用戶金融信息以及交易信息的外泄。短信業(yè)務還存在丟失和重發(fā)的可能，如果應用于支付環(huán)節(jié)時，將會造成交易問題，如多次支付或者支付失效等。另一方面，基于手機短信驗證的移動金融身份認證也存在著安全漏洞[28]。一旦發(fā)生手機卡被復制或者是驗證短信被劫持轉發(fā)等情況，攻擊人員就能夠非法控制被害人的手機銀行，甚至可以通過“幫助”被害人注冊并開通手機銀行的方式來進行犯罪活動。

據統(tǒng)計[16]，2015年上半年涉及用戶資金安全的資費消耗和惡意扣費類病毒類型占比超過80%，對用戶的安全威脅最大；隱私類病毒占比僅為1.80%，但攻擊方式更加多元化，如與短信相結合的“相冊”木馬病毒通過釣魚、誘騙、欺詐的方式竊取用戶姓名、身份證號、銀行卡號、登錄賬號密碼等重要的隱私信息，嚴重威脅用戶財產安全。

目前，對移動互聯網應用安全的監(jiān)管工作起步不久，還缺乏相應的支撐手段以及適用政策和標準，因此，對于移動應用安全的監(jiān)管尚處于“有心無力”的狀態(tài)。

6移動互聯網安全體系與標準化研究

目前，業(yè)界已提出多種移動互聯網安全體系的解決思路。概括而言，本文認為可以采用動靜結合的方式制定移動互聯網的安全標準體系。所謂靜，是研究制定一套移動互聯網安全總體架構，設計移動互聯網可以采用的安全防護體系；所謂動，是研究移動互聯網主動安全防御技術，在網絡運轉過程中提高對異常流量、攻擊流量的防控能力。

6.1移動互聯網的安全框架設計

業(yè)界一般認為，移動互聯網安全體系架構的設立應當采用物理與信息安全相互分層，并依據其體系結構來構建的原則。圖4是業(yè)界提出的一種移動互聯網的安全框架[29]，其中安全管理負責對所有安全設備進行統(tǒng)一管理和控制，基礎支撐為各種安全技術手段提供密碼管理、證書管理和授權管理服務。

但是，業(yè)界目前提出的移動互聯網安全框架往往僅關注于其安全體系的某一方面，缺乏對于整體化規(guī)范的制定。

一般而言，移動互聯網統(tǒng)一安全框架體系的制定，需要采用系統(tǒng)化的方法，在整體上把復雜的網絡安全相關特征劃分為多個構成部分，以便進行相關的安全規(guī)范制定。目前，移動互聯網的安全體系框架的制定工作涉及多個標準化組織，但是這些標準化組織之間的協同性還存在不足，導致尚缺乏系統(tǒng)性的移動互聯網安全體系的標準化工作。

移動互聯網安全框架的構建可以參考ITU-T的X.805建議[30]定義的端到端的安全體系框架和安全尺度模型，該安全體系框架如圖5所示，包含有3個層次、3個平面和8個維度。

圖5　ITU-T X.805中的安全體系框架

在此基礎上，移動互聯網安全框架的構建還可以借鑒傳統(tǒng)移動通信網的安全體系框架。為了保障用戶信息的安全，3GPP和3GPP2等標準化組織為傳統(tǒng)移動通信網絡制定了嚴格的安全體系框架和安全保障手段[9，10]，其安全機制涵蓋了移動終端層面、網絡層面、應用層面以及管理層面。這種嚴謹的安全框架的制定方式為移動互聯網安全框架的設計奠定了良好的參考基礎。

除了安全體系框架之外，業(yè)界還提出了制定相應的移動互聯網安全評測體系的需求。比如我國已制定了針對移動智能終端的安全評測體系[9]，該安全評測體系包括兩大部分，一是移動智能終端自身的安全評測，二是移動應用軟件的安全評測。通過安全評測體系的建立，對移動互聯網相關設備、軟件以及應用的入網提供必要的安全保證。

6.2主動安全防御技術的研究

隨著移動互聯網面臨的安全事件正在向規(guī)模化、復雜化、分布化和間接化的趨勢發(fā)展，單純依靠部署在局部范圍內的傳統(tǒng)安全產品或技術來識別和發(fā)現整個網絡中的安全事件，已經變得非常困難或有失準確性，因此迫切需要一種能夠主動監(jiān)控大規(guī)模網絡的安全態(tài)勢并進行安全防御的新技術。

針對該需求，業(yè)界提出了主動安全防御技術[31，32]，并積極進行相關產品與系統(tǒng)的研發(fā)。主動安全防御技術能夠幫助用戶預先識別網絡系統(tǒng)脆弱性以及所面臨的潛在的安全威脅，根據安全需求來選取符合最優(yōu)成本效應的主動安全防御措施和策略，從而提前避免危險事件的發(fā)生[33]。

方濱興院士也提出[34]：“主動實時防護模型與技術的戰(zhàn)略目標是通過態(tài)勢感知、風險評估和安全檢測等手段對當前網絡安全態(tài)勢進行判斷，并依據判斷結果實施網絡主動防御的主動安全防護體系?！?/p>

作為主動防御技術的一個重要組成，大規(guī)模網絡態(tài)勢感知通過綜合各方面的安全因素，對網絡安全信息進行深度挖掘和信息關聯，及時發(fā)現已經發(fā)生的和正在發(fā)生的安全事件，并在此基礎上提供一種直觀的安全威脅態(tài)勢圖，在反映出網絡整體安全狀況變化的前提下，能夠對其下一步的發(fā)展趨勢進行預測和預警，可以方便管理人員進行準確及時的決策，并為網絡安全性的提升提供一套可靠的參照依據。

在概念上，大規(guī)模網絡的安全態(tài)勢感知需要解決態(tài)勢要素獲取、態(tài)勢理解和態(tài)勢預測3個重要環(huán)節(jié)[35]。其中，態(tài)勢要素獲取負責收集安全事件，包括主動和被動兩種收集模式；態(tài)勢理解則負責分析安全事件，需要對上述態(tài)勢要素獲取步驟所得到的安全事件進行數據融合和關聯分析，以獲取具有表現網絡運行狀況的特性的數值。態(tài)勢預測則根據網絡安全威脅發(fā)展變化的實際數據和歷史資料，運用科學的理論、方法和各種經驗、判斷、知識去推測、估計、分析其在未來一定時期內可能的變化情況[36]。

目前在標準化組織中尚未進行大規(guī)模網絡安全態(tài)勢感知技術的探討，但是其在學術界則已成為研究的熱點方向之一[37，38]。

7結束語

近年來，移動互聯網的網絡規(guī)模和用戶規(guī)模都呈現出爆炸性增長的態(tài)勢。而當前移動互聯網的安全問題也呈現出快速發(fā)展的態(tài)勢，其原因主要來自于移動互聯網終端受限制的計算能力、接入網絡受限的防攻擊能力以及業(yè)務應用有限的安全防護手段等。可以預期，針對移動互聯網安全的研究將在很長一段時間內成為信息安全研究的重點和熱點。在當前移動互聯網發(fā)展的初期階段，在通盤考慮移動互聯網安全需求與安全保障技術的基礎上，完全有機會設計結構嚴謹的移動互聯網安全框架，使其變得更加安全。

參考文獻

[1]Theodore新華網.我國網民數量已達6.68億人[OL].http:∥news.xinhuanet.com/fortune/2015-07/23/c_1116022351.htm,2015.

[2]中國工業(yè)和信息化部電信研究院.移動終端白皮書(2014年)[R].北京:中國工業(yè)和信息化部電信研究院,2014.

[3]百度百科.移動互聯網[OL].http:∥baike.baidu.com,2015.

[4]中國工業(yè)和信息化部電信研究院.移動互聯網白皮書(2011年)[R]．北京：中國工業(yè)和信息化部電信研究院,2011.

[5]羅軍舟,吳文甲,楊明.移動互聯網：終端、網絡與服務[J].計算機學報,2011,34(11):2029-2051.

[6]封莎,閔棟.移動互聯網安全問題分析[J].現代電信科技,2010(4):5-8.

[7]吳吉義,李文娟,黃劍平,等.移動互聯網研究綜述[J].中國科學:信息科學,2015,45(1):45-69.

[8]李勇輝,王曉箴，賈亦辰.移動互聯網安全威脅及策略研究[J].郵電設計技術,2013(10):10-13.

[9]林東岱,田有亮,田呈亮.移動安全技術研究綜述[J].保密科學技術,2014(3):4-25.

[10]陳尚義.移動互聯網安全技術研究[J].信息安全與通信保密，2010(8):34-37.

[11]李暉,李鳳華,曹進,等.移動互聯服務與隱私保護的研究進展[J].通信學報,2014,35(11):1-11.

[12]中國工業(yè)和信息化部電信研究院.移動終端白皮書(2012年) [R].北京:中國工業(yè)和信息化部電信研究院,2012.

[13]李根.Android系統(tǒng)惡意代碼檢測技術研究[D].黑龍江:哈爾濱工業(yè)大學,2014:27-31.

[14]落紅衛(wèi).移動惡意代碼分析及檢測技術研究[J].信息通信技術,2015(01):34-38.

[15]劉立新.智能終端漏洞和惡意代碼分析及安全性評估研究[D].北京：北京郵電大學,2015:19-23.

[16]中國信息通信研究院.移動終端白皮書(2015年) [R].北京:中國信息通信研究院,2015.

[17]中國工業(yè)和信息化部電信研究院.移動終端白皮書(2013年) [R].北京:中國工業(yè)和信息化部電信研究院,2013.

[18]秦建華;羅洪莉.基于位置服務中用戶隱私泄露與保護[J].電腦編程技巧與維護,2015(8):113-114.

[19]張承.移動互聯網隱私泄露研究[D].北京:北京郵電大學,2012:15-20.

[20]柳青.移動互聯網安全問題分析[J].衛(wèi)星電視與寬帶多媒體,2011 (09):36-37.

[21]趙大偉.移動網絡安全若干關鍵問題研究[D].北京：北京郵電大學，2014:32-35.

[22]明芳，彭亞雄.移動互聯網安全問題分析及策略[J].通信技術,2013,46(04):19-21.

[23]羅志強,史國水,沈軍,等.移動互聯網安全熱點技術研究[J].電信科學,2013(Z1):254-256

[24]張彬彬.無線局域網攻擊技術研究[D].湖北:華中科技大學,2006:55-59.

[25]戴偉.大規(guī)模集中式無線局域網安全研究[D].河南：解放軍信息工程大學，2012:36-41.

[26]湯鵬杰.WLAN拒絕服務攻擊仿真及其防御研究[D].江西:南昌大學,2008:27-35.

[27]張帆,馬建峰.WAPI認證機制的性能和安全性分析[J].西安電子科技大學學報，2005,32(2):210-215.

[28]劉會議.移動互聯網中身份認證技術的研究[D].山東:山東大學,2014:

[29]賈心愷,顧慶峰.移動互聯網安全研究[J].移動通信，2011(10):66-70.

[30]ITU-T X.805 Recommendation,Part 6:Security dimension[S],2003.

[31]高曉飛，申普兵.網絡安全主動防御技術[J].計算機安全,2009(1):38-40.

[32]向林宏.主動防御技術的研究與實現[D].成都:電子科技大學,2011:51-55.

[33]姜偉,方濱興,田志宏,等.基于攻防博弈模型的網絡安全測評和最優(yōu)主動防御[J].計算機學報,32(4):817-827,2009.

[34]方濱興．解讀信息安全創(chuàng)新突破點[OL]．http:∥www.eert.org.en/articles/news/common/2007051823317.shtml,2008.

[35]楊光華.2011移動互聯網安全熱點分析[J].中國信息安全,2011(07):48-50.

[36]李碩,戴欣,周渝霞.網絡安全態(tài)勢感知研究進展[J].計算機應用研究,2010,27(9):3227-3232.

[37]司震宇.融合多種網絡層拓撲發(fā)現技術的網絡安全態(tài)勢感知方法研究[J].東北農業(yè)大學學報,2012，43(11):122-128.

[38]李玉超,徐錫山.網絡信息系統(tǒng)的風險評估研究現狀分析[J].科技信息(學術研究),2008(03):187-188.

《無線電工程》期刊歡迎投稿

《無線電工程》期刊創(chuàng)刊于1971年，全國公開發(fā)行，是由中國電子科技集團公司第五十四研究所主辦的學術性電子科技期刊?！稛o線電工程》期刊為中國學術期刊綜合評價數據庫統(tǒng)計源期刊；中國期刊全文數據庫全文收錄期刊；中文科技期刊數據庫全文收錄期刊；萬方數據資源系統(tǒng)數字化期刊群入網期刊；中國電子科技文摘收錄期刊，中國核心期刊(遴選)數據庫收錄期刊。在工業(yè)和信息化部組織的期刊評比中多次榮獲：優(yōu)秀電子科技期刊獎、期刊出版質量優(yōu)秀獎、期刊規(guī)范化優(yōu)秀獎等殊榮。

期刊欄目：

信息系統(tǒng)與網絡；信號與信息處理；測控遙感與導航定位；電磁場與微波；專題技術與工程應用

投稿郵箱：gch4954@163.com,quyx4954@163.com或http://www.wxdg.cbpt.cnki.net

聯系電話：0311-86924954，86924204聯系人：屈永欣，王桂紅，呂坤

Overview of Mobile Internet Security

SUN Qi-bo

(Beijing University of Posts and Telecommunications,Beijing 100876,China)

Abstract：Mobile Internet is a product from the fusion of mobile communication network and traditional Internet.It can provide users with the application support which has higher mobility and can penetrate into people's daily work and life.Based on introduction of functional architecture of mobile Internet,this paper describes in detail mobile Internet security problems and their origin.This paper analyzes in detail the main security challenges come from mobile devices,access network,application service,and puts forward the research thinking of mobile Internet security security system based on combination of static security architecture and dynamic active security defense.

Key words：mobile Internet; intelligent terminal security; network security; application security; security framework; situation awareness

通信地址：河北省石家莊市174信箱215分箱郵編：050002

中圖分類號：TP391.4

文獻標識碼：A

文章編號：1003-3114(2016)02-01-8

基金項目：國家自然科學基金項目(61571066)

收稿日期：2015-11-11

doi:10.3969/j.issn.1003-3114.2016.02.01

引用格式：孫其博.移動互聯網安全綜述[J].無線電通信技術,2016,42(2):01-08.

專家簡介：孫其博(1975—)，男，博士，副教授，碩士生導師，教育部新世紀優(yōu)秀人才，主要研究方向：下一代網絡與網絡智能化、服務計算與服務安全技術，獲國家科技進步二等獎1項，發(fā)表SCI/EI檢索論文90余篇，專著3本，專利41項，在研國家自然科學基金1項，省部級項目2項，國防科研項目1項。