3G时代的安全挑战

张琦

3G移动网络安全的发展方向是建立一个能够自动防御、主动出击、具有一定自我防御功能的“智能网络”。有必要提供针对安全攻击和安全威胁的自动修复的快速响应能力,来增加连续性/持续性操作,以及减轻攻击的影响。

盼望已久的3G牌照终于正式发放了,这标志着3G手机门户开始真正进入大航海时代。

当然,我们不得不谈谈与3G网络对应的3G智能手机的安全问题。一些业内人士甚至认为:3G智能手机将迎来一个新的黑客和病毒的天下,因为在3G的大海中航行,智能手机将会变得更加脆弱。

手机病毒猛于虎

目前已经出现了专门针对智能手机的恶意攻击软件,它伪装成免费应用工具和游戏软件来欺骗用户。在2009年,随着手机用户数量的不断攀升,智能手机如苹果的iPhone和基于谷歌Android操作系统的G1手机的流行,再加上3G手机的发展,手机安全的重要性越来越高。据安全厂商Sophos预测,2009年的黑客很可能会借此“扬名立万”。

使用普通手机基本不会感染病毒,而类似于小型电脑的智能手机则往往最容易中招,因为它具备下载、安装和运行软件的功能,但不少用户并不清楚手机病毒的危害有多大。手机病毒通过一段特定的程序代码,利用手机软件中原本存在的各种软件漏洞或者设计缺陷入侵手机,实现病毒制造者各种各样的目的。

国外在很多年以前就开始谈论手机病毒的问题,但是国内目前还没有引起太多的关注,可能是由于国内用户对于手机的使用多半偏重于语音,很少用于上网或是收发电子邮件,因此手机的操作系统处于半封闭状态。

3G时代来了,某手机厂商这样描绘:“3G就是出租车里的视频会议,3G就是你坐地铁也不会错过的肥皂剧,3G就是从现场发回总部供分析用的图像,3G就是与你的朋友共享你在加勒比的美妙假期……”我没想过去加勒比,一是没有银子,二是怕海盗,但3G时代来了,我相信手机中的电子邮箱肯定会为我惹更多麻烦,因为它现在就要每天过滤掉4~5封病毒邮件(还不算垃圾邮件)。

几个月前,手机上开始流行“疯狂打企鹅”这个游戏,网上还提供下载一个能把企鹅打飞到1500米以外的插件。装了该插件后就是随之而来的死机和重启。就是“Skulls.B”这个手机病毒,让很多同事把我看成了骗子。很多人担心,由于3G网络带宽更大,文件在使用者的手机中随意传输,很难辨别谁的文件是干净的还是染毒的。

手机病毒的原理其实和计算机病毒一样,它以手机网络和计算机网络为平台,通过病毒短信、下载等形式,对手机进行攻击,从而造成手机使用异常。手机感染病毒后,突出特征是运行慢、经常出现死机或者白屏现象,并且电池消耗会特别严重,甚至还会自动根据手机上的联系人名单发短信,浪费机主的话费。

智能手机不断普及的今天,手机病毒的危害也随之日渐泛滥,无论是著名的“Cabir”蠕虫病毒,还是当前流行的“ThemeCharge.B”病毒,其破坏程度和查杀难度都随着其变种的不断更新而日益提高。

从某种意义上说,手机病毒是手机智能化的衍生物,而3G手机的一个显著特征就是智能化。随着3G时代的到来,越来越多的手机用户将使用蓝牙或网络传输技术,手机正在成为病毒载体以及黑客和病毒制造者的攻击目标。假设有大规模的手机用户感染了病毒,也许将会出现一个庞大的手机僵尸网络。

DDoS的最大温床

近年来,僵尸网络已经变得越来越庞大和复杂,不断滋生传播垃圾邮件、网络钓鱼和身份盗用等网络犯罪行为。电信运营商和3G内容提供商的利益也在受到僵尸网络的侵害。由僵尸网络发起的DDoS攻击持续威胁着电信网络的性能与安全,给运营商带来直接或间接的经济损失。3G互联网的成色不纯,将进一步加剧DDoS带来的风险。

移动运营商开放其网络,通过公共互联网和其他数据网络互连,使他们的2.5G/3G网络更容易受到攻击。这意味着网络攻击可能会来自更加丰富的方向。例如,许多先进的攻击会掩饰自己的数据流量端口,这就使查明威胁的来源更加困难。

由于国内移动运营商如中国移动在2G时代不用面对DDoS攻击的问题,因此其在DDoS防范和流量清洗方面的经验并不丰富。

当3G商用,智能化终端和宽带化3G网络会与互联网接轨,而无线互联网内部也将实现互联网化,传统互联网面对的诸多安全问题,如DDoS攻击、蠕虫等,也将陆续出现在无线互联网中。这将会给缺乏固网DDoS防范经验的通信网络带来巨大挑战。可以预言,一些黑客组织将逐步宣布他们占有多少个手机,可以对哪个网站直接发动攻击。黑客们可以夹杂着类似“Overbilling”攻击,在用户不知不觉中,手机自动发送数据,机主不会知道自己的流量资费又提高了多少。

信息泄密更容易

人们在享受眩目的3G手机带来的震撼同时,面临的安全风险也越来越大。有的时候病毒危害、数据丢失、系统入侵、无线网络瘫痪对于用户的损害是致命的。在网络融合之前,手机大部分情况下是比较安全的(除了语音窃听)。

但实际上,3G被广泛使用后,更多的合作伙伴、客户将通过手机直接访问公司的网络。根据今天的网络发展趋势看未来,有可能任何一个电子产品都会接入网络,手机也有可能取代移动PC,网络无处不在,数据泄露就随时存在。

著名的希尔顿集团女继承人,帕里斯•希尔顿的手机,就曾被黑客这样无情地光顾过。希尔顿手机中所存储的全部内容,包括许多名人的电话号码、内置相机所保存的个人照片、非常隐私的记事本内容等,都被悉数曝光。

智能手机的硬件、操作系统、无线接入设备、应用软件都会存在漏洞,未来的综合智能网将为任何人提供随时随地可以接入网络的接口。这些漏洞都为机主的手机打开间谍之门。在现代网络技术中,没有任何一个领域对这种系统化架构的需求比安全更为迫切。

所以,3G移动网络安全的发展方向是建立一个能够自动防御、主动出击、具有一定自我防御功能的“智能网络”。有必要提供针对安全攻击和安全威胁的自动修复的快速响应能力,来增加连续性/持续性操作,以及减轻攻击的影响。

美国俄勒冈州波特兰市1月6日正式开通4G(第四代移动通信)移动互联网业务,波特兰因此成为美国西部首个迈入4G时代的城市。但美国的专家们指出,4G比3G更容易造成信息泄密,因为随着手机存储容量的增大,人们在手机存储卡中存放的重要信息将更多,这对非法入侵者的吸引力更大,一旦遇到非法接入或者数据截取等攻击,用户的数据泄密可能是毁灭性的。

幸亏在3G时代,很多国内外厂商都推出了企业手机安全解决方案、手机防毒软件、智能安全接入平台甚至是手机系统灾难恢复软件。

没有人希望自己的隐私被拿来炒作。网络安全是保证隐私权的重要体现。我们都知道,尊重隐私权是每个公民应有的权利,但侵犯信息隐私权的事件在网络上大量存在,一旦不法之徒进入到你的手机,你的一切信息就可能被复制或篡改。