尋夢新聞LINE@每日推播熱門推薦文章，趣聞不漏接❤️
一直以來，安卓系統以其功能多樣、價格低廉廣受APP開發商的青睞。跟被稱為「黑匣子」的蘋果iOS系統不同，開源的安卓系統允許設備製造商修改操作系統。正如Google首席執行官Sundar Pichai曾在一份聲明里所說：如果你買了一部安卓手機，你就選擇了世界上最受歡迎的兩款手機平台之一——它擴大了全球手機的選擇範圍。
然而，安卓系統審核門檻低的硬傷卻飽受詬病——許多惡意APP因此流入應用市場，對用戶造成了極大的安全威脅。11月1日，在2018年保密技術交流大會暨產品博覽會的「網路安全與保密」論壇上，有專家表示，針對軟件編譯及構造環節的供應鏈攻擊代價小、成功率高，而安卓平台審核門檻低是惡意APP高發的原因之一。
重新打包正常 APP，可低代價嵌入惡意代碼
最近，新聞聚合網站BuzzFeed News調查發現，有125款在安卓應用市場非常受歡迎的APP實際上是廣告欺詐程序，涵蓋遊戲、手電筒、照相機以及健康飲食等類別，騙取的廣告收益高達數億美元。據悉，不法分子在合法APP里有計劃地植入可以秘密追蹤用戶行為的惡意代碼，通過復制實際用戶的行為騙過欺詐監測系統，並用虛假流量賺取廣告費用。
中國科學院信息工程研究所副所長鄒維。主辦方供圖
其實，這是獨立於常規網路攻擊的一種特殊攻擊手段——供應鏈攻擊。中國科學院信息工程研究所副所長鄒維用了一個形象的比喻來解釋兩者的區別，「如果把保密場所比作一個辦公室，那麼常規的網路攻擊相當於溜門撬鎖進去之後在傢俱里安裝竊聽器，而供應鏈攻擊是在傢俱廠就把竊聽器裝好了」，他指出，這種攻擊還曾發生在iOS系統內。
2015年9月，騰訊獵豹移動實驗室監測到iOS設備上有APP在啟動、退出時會通過網路向某個域名發送異常的加密流量，行為非常可疑。最終，研究人員確定是針對蘋果的開發環境進行的攻擊：黑客偽造了一個內含木馬的XCode放在網上供大家免費下載，有人基於XCode開發出APP，成功通過了App Store的審核上架，從而做到攻擊。
「這些案例證明，針對軟件編譯及構造環節的攻擊是完全可能的」，鄒維說，美國情報部門早就在採取類似的方法試圖突破蘋果的加密體系，「供應鏈攻擊可以有很強的潛伏期和很隱蔽的攻擊過程，成功率又非常高，特別適合國家級的攻防對抗」。不過事實上，大部分供應鏈攻擊還是發生在安卓平台上。
安卓系統擁有龐大的用戶群體，但其審查程序不如蘋果那樣嚴格。攻擊者可以下載一個正常的熱門APP然後植入惡意代碼，重新打包上架，待用戶在不知情的情況下載安裝之後，就可以完成攻擊。「對攻擊者來說，付出的代價非常小，因為大量的開發工作都是由別人完成的，而開發商又總在功能和安全之間權衡，總體來說對安全的重視不夠，這都導致安卓應用市場魚龍混雜。」鄒維表示。
他建議，應該建立一個關於軟件供應鏈安全的生態體系，其中包括四個重要角色：一是國家主管部門，負責制定戰略、政策法規、安全審核等；二是保密的重點單位，負責制定管理方案；三是開發商，負責建立軟件開發的安全流程；四是軟件安全審核單位，負責建立起安全審計的能力。另外，還應培養應對供應鏈攻擊的專業團隊。
「零信任」模型打破非黑即白的傳統防禦體系
隨著信息化的發展，網路安全面臨的很多問題已經不再是可以通過被動的威脅應對和標準合規來解決的已知危險，現在更多的是每天都可能出現的未知危險。因此，主動規劃網路安全建設逐漸成為主流思想。
360企業安全集團總裁吳雲坤。主辦方供圖
360企業安全集團總裁吳雲坤介紹，網路安全防禦能力體系通常分為靜態和動態兩部分。靜態的綜合防禦能力體系要做到「深度結合，全面覆蓋」，不僅僅依靠安全的設備和系統，還要採取多個手段跟信息化結合，全面覆蓋每一個節點；動態防禦能力則要做到「掌握敵情，協同響應」，需要錄影頭甚至雷達、衛星這樣的系統，對采集的大量數據進行分析，構建應急處置和威脅情報響應的能力。
「我們常說的‘態勢感知’、‘自監管平台’，其實核心都是盡量收集、分析、挖掘數據信息，用於日常監測和應急決策」，吳業坤提到，過去很多監管都是基於合規，發展到如今的積極防禦體系，一共經歷了三個階段：
第一代是「查黑」，即建立病毒特徵庫，比對成功就「殺掉」，類似通緝令；第二代是「查白」，因為互聯網興起之後，病毒傳播速度極快，360首創了「白名單」機制，相當於「拿小區的門禁卡證明自己是這個小區的居民」；第三代是「查行為」，如今把黑程序偽裝成白程序的手段屢見不鮮，非黑即白的策略不再管用，只能通過收集更多數據、利用大數據和人工智能技術分析海量數據監測異常行為，發現惡意程序。
在黑與白之間的灰色空間，前Forrester Research首席分析師John Kindervag 提出的「零信任」模型或許可以很好地解決安全問題。吳業坤表示，「零信任」模型是指每一次訪問都是依據其身份和過去的行為賦予訪問權利，打破了過去一次性訪問獲得權限以後就可以保持權限的準入原則。簡單來說，「零信任」模型的策略就是不信任任何人。
「‘零信任’模型更多的是基於訪問主體和客體之間的每一次授權來保證他獲得最小的特權，這其實是在構建基於能力的新體系模型」，他說，目前該模型已經在Google得到了應用，國內很多重要部委和軍工企業也都開始研究該模型，相關產品和方案也已經在一些地方落地。
采寫：南都記者蔣琳 發自青島