3G時代的安全挑戰

張琦

3G移動網絡安全的發展方向是建立一個能夠自動防御、主動出擊、具有一定自我防御功能的“智能網絡”。有必要提供針對安全攻擊和安全威脅的自動修復的快速響應能力,來增加連續性/持續性操作,以及減輕攻擊的影響。

盼望已久的3G牌照終于正式發放了,這標志著3G手機門戶開始真正進入大航海時代。

當然,我們不得不談談與3G網絡對應的3G智能手機的安全問題。一些業內人士甚至認為:3G智能手機將迎來一個新的黑客和病毒的天下,因為在3G的大海中航行,智能手機將會變得更加脆弱。

手機病毒猛于虎

目前已經出現了專門針對智能手機的惡意攻擊軟件,它偽裝成免費應用工具和游戲軟件來欺騙用戶。在2009年,隨著手機用戶數量的不斷攀升,智能手機如蘋果的iPhone和基于谷歌Android操作系統的G1手機的流行,再加上3G手機的發展,手機安全的重要性越來越高。據安全廠商Sophos預測,2009年的黑客很可能會借此“揚名立萬”。

使用普通手機基本不會感染病毒,而類似于小型電腦的智能手機則往往最容易中招,因為它具備下載、安裝和運行軟件的功能,但不少用戶并不清楚手機病毒的危害有多大。手機病毒通過一段特定的程序代碼,利用手機軟件中原本存在的各種軟件漏洞或者設計缺陷入侵手機,實現病毒制造者各種各樣的目的。

國外在很多年以前就開始談論手機病毒的問題,但是國內目前還沒有引起太多的關注,可能是由于國內用戶對于手機的使用多半偏重于語音,很少用于上網或是收發電子郵件,因此手機的操作系統處于半封閉狀態。

3G時代來了,某手機廠商這樣描繪:“3G就是出租車里的視頻會議,3G就是你坐地鐵也不會錯過的肥皂劇,3G就是從現場發回總部供分析用的圖像,3G就是與你的朋友共享你在加勒比的美妙假期……”我沒想過去加勒比,一是沒有銀子,二是怕海盜,但3G時代來了,我相信手機中的電子郵箱肯定會為我惹更多麻煩,因為它現在就要每天過濾掉4~5封病毒郵件(還不算垃圾郵件)。

幾個月前,手機上開始流行“瘋狂打企鵝”這個游戲,網上還提供下載一個能把企鵝打飛到1500米以外的插件。裝了該插件后就是隨之而來的死機和重啟。就是“Skulls.B”這個手機病毒,讓很多同事把我看成了騙子。很多人擔心,由于3G網絡帶寬更大,文件在使用者的手機中隨意傳輸,很難辨別誰的文件是干凈的還是染毒的。

手機病毒的原理其實和計算機病毒一樣,它以手機網絡和計算機網絡為平臺,通過病毒短信、下載等形式,對手機進行攻擊,從而造成手機使用異常。手機感染病毒后,突出特征是運行慢、經常出現死機或者白屏現象,并且電池消耗會特別嚴重,甚至還會自動根據手機上的聯系人名單發短信,浪費機主的話費。

智能手機不斷普及的今天,手機病毒的危害也隨之日漸泛濫,無論是著名的“Cabir”蠕蟲病毒,還是當前流行的“ThemeCharge.B”病毒,其破壞程度和查殺難度都隨著其變種的不斷更新而日益提高。

從某種意義上說,手機病毒是手機智能化的衍生物,而3G手機的一個顯著特征就是智能化。隨著3G時代的到來,越來越多的手機用戶將使用藍牙或網絡傳輸技術,手機正在成為病毒載體以及黑客和病毒制造者的攻擊目標。假設有大規模的手機用戶感染了病毒,也許將會出現一個龐大的手機僵尸網絡。

DDoS的最大溫床

近年來,僵尸網絡已經變得越來越龐大和復雜,不斷滋生傳播垃圾郵件、網絡釣魚和身份盜用等網絡犯罪行為。電信運營商和3G內容提供商的利益也在受到僵尸網絡的侵害。由僵尸網絡發起的DDoS攻擊持續威脅著電信網絡的性能與安全,給運營商帶來直接或間接的經濟損失。3G互聯網的成色不純,將進一步加劇DDoS帶來的風險。

移動運營商開放其網絡,通過公共互聯網和其他數據網絡互連,使他們的2.5G/3G網絡更容易受到攻擊。這意味著網絡攻擊可能會來自更加豐富的方向。例如,許多先進的攻擊會掩飾自己的數據流量端口,這就使查明威脅的來源更加困難。

由于國內移動運營商如中國移動在2G時代不用面對DDoS攻擊的問題,因此其在DDoS防范和流量清洗方面的經驗并不豐富。

當3G商用,智能化終端和寬帶化3G網絡會與互聯網接軌,而無線互聯網內部也將實現互聯網化,傳統互聯網面對的諸多安全問題,如DDoS攻擊、蠕蟲等,也將陸續出現在無線互聯網中。這將會給缺乏固網DDoS防范經驗的通信網絡帶來巨大挑戰?？梢灶A言,一些黑客組織將逐步宣布他們占有多少個手機,可以對哪個網站直接發動攻擊。黑客們可以夾雜著類似“Overbilling”攻擊,在用戶不知不覺中,手機自動發送數據,機主不會知道自己的流量資費又提高了多少。

信息泄密更容易

人們在享受眩目的3G手機帶來的震撼同時,面臨的安全風險也越來越大。有的時候病毒危害、數據丟失、系統入侵、無線網絡癱瘓對于用戶的損害是致命的。在網絡融合之前,手機大部分情況下是比較安全的(除了語音竊聽)。

但實際上,3G被廣泛使用后,更多的合作伙伴、客戶將通過手機直接訪問公司的網絡。根據今天的網絡發展趨勢看未來,有可能任何一個電子產品都會接入網絡,手機也有可能取代移動PC,網絡無處不在,數據泄露就隨時存在。

著名的希爾頓集團女繼承人,帕里斯?希爾頓的手機,就曾被黑客這樣無情地光顧過。希爾頓手機中所存儲的全部內容,包括許多名人的電話號碼、內置相機所保存的個人照片、非常隱私的記事本內容等,都被悉數曝光。

智能手機的硬件、操作系統、無線接入設備、應用軟件都會存在漏洞,未來的綜合智能網將為任何人提供隨時隨地可以接入網絡的接口。這些漏洞都為機主的手機打開間諜之門。在現代網絡技術中,沒有任何一個領域對這種系統化架構的需求比安全更為迫切。

所以,3G移動網絡安全的發展方向是建立一個能夠自動防御、主動出擊、具有一定自我防御功能的“智能網絡”。有必要提供針對安全攻擊和安全威脅的自動修復的快速響應能力,來增加連續性/持續性操作,以及減輕攻擊的影響。

美國俄勒岡州波特蘭市1月6日正式開通4G(第四代移動通信)移動互聯網業務,波特蘭因此成為美國西部首個邁入4G時代的城市。但美國的專家們指出,4G比3G更容易造成信息泄密,因為隨著手機存儲容量的增大,人們在手機存儲卡中存放的重要信息將更多,這對非法入侵者的吸引力更大,一旦遇到非法接入或者數據截取等攻擊,用戶的數據泄密可能是毀滅性的。

幸虧在3G時代,很多國內外廠商都推出了企業手機安全解決方案、手機防毒軟件、智能安全接入平臺甚至是手機系統災難恢復軟件。

沒有人希望自己的隱私被拿來炒作。網絡安全是保證隱私權的重要體現。我們都知道,尊重隱私權是每個公民應有的權利,但侵犯信息隱私權的事件在網絡上大量存在,一旦不法之徒進入到你的手機,你的一切信息就可能被復制或篡改。