移动互联网应用软件安全检测技术研究

李 玮/Li Wei

（中国移动通信集团设计院有限公司 北京100080）

1 移动互联网应用软件发展迅猛

移动互联网的兴起，不仅使其成为推动众多产业壮大的强力引擎，更由于智能终端的便捷性、网络的广泛性和服务的多样性等特色，不断催生出新的产业链、业务链和服务链。2014年7月中国互联网络信息中心（CNNIC）发布的第34 次《中国互联网络发展状况统计报告》显示，截至2014年6月，中国网民规模达6.32 亿，互联网普及率为46.9%。其中，手机网民规模达5.27 亿，占总网民数的83.4%，这标志着我国移动互联网发展进入了全民时代。

随着产业规模的壮大，以应用商店模式为主要承载方式的移动互联网应用软件（简称应用软件）产业在飞速发展的过程中，成为了推动移动互联网发展的关键因素。苹果iTune Store的引领、Android 开放平台的后来居上，各种官方APP Store 应用商店和非官方应用商店层出不穷。据统计，目前应用商店中软件规模已达上百万款，再辅以规模惊人的用户群体和更加高速的网络接入，正在快速催化出一种全新模式的生态环境和产业链条，深刻地影响着我国政治、经济、文化等各个方面。在这一形势下，移动互联网应用软件安全已经成为当前各方博弈和研究的热点。

2 应用软件安全威胁凸显

移动互联网应用软件正在步入一个新的增长周期，在巨大经济利益的背后，安全问题也逐渐凸显。除了早期使用的利用病毒传播进行恶意吸取话费、订购业务、发送垃圾短信、传播不良信息等手段不断升级更新外；一些放置在应用商店的应用软件会有意或者无意存在一些安全漏洞，在用户不知情的情形下被第三方利用。这些合法或者非法获取的身份、位置等敏感或者隐私信息，会被持久和秘密地加以处理和包装，向产业链的其他环节输出，成为一些不法分子侵害用户利益的捷径。2013年底，国家网络信息安全技术研究所软件安全评估中心对我国4家官方商店、11家iOS 非官方商店和27家Android 非官方商店分别进行了信息统计和安全检测分析。通过对90 811 个移动应用样本进行恶意行为检测分析，共发现3 165 个恶意应用，恶意应用比例达3.5%，而可疑应用比例高达57.8%，并且一个应用可以包含多个行为。据统计，每年我国由于漏洞给终端用户带来的经济损失超过10 亿元人民币。

就社会层面而言，通过智能终端和可穿戴智能设备获取敏感信息，不仅快捷、隐蔽，再辅助以强大后台的云计算、大数据捕获和检测分析平台，能很容易收集到国家的经济、政治等涉密信息。棱镜门事件就曝光出Google、微软、苹果这样的巨头公司都在与美国安全部门合作，成为在政治、经济、军事方面入侵的新型工具。与此同时，我国在操作系统和相关核心技术方面有仍待继续突破，尚待建立自主技术产业。这些问题交织在一起，对我国国家战略安全造成很大威胁。

3 应用软件安全检测技术

从技术角度分析，移动互联网应用软件安全主要关注两个方面：漏洞安全和功能安全。前者是指应用软件在设计、实现、操作、管理上是否存在可被利用的缺陷或弱点，从代码源头确保漏洞不会被恶意利用；后者主要从功能实现的角度，确保漏洞遭受恶意攻击的情形下，软件依然可以在授权范围内合法使用或者正确运行。总地看来，由于移动互联网应用软件安全的基本属性和实现目标没有本质变化，因此，所采用的安全理论、技术手段与传统软件安全是非常近似的。例如，在安全体系建设中经常采用的P2DR安全模型（Policy（安全策略）、Protection（防护）、Detection（检测）和Response（响应）），也可以很好地指导移动互联网应用软件安全模型搭建；再例如，下面即将谈到应用软件中最常用的检测技术——静态安全检测技术（Static Security Detection Technology）和动态安全检测技术（Runtime Security Detection Technology），也是在传统的软件安全检测基础上发展起来的。

软件安全检测技术的首要作用就是检测软件中存在的漏洞安全问题，从而指导软件进行安全性能的改善。最初的移动互联网应用安全检测基本上是通过人工阅读源代码或者分析反汇编得到程序代码进行检测分析，也称为静态分析方法。这种分析方法不仅要求分析人员熟悉软件功能和结构，还要对用户行为、漏洞原理有深入了解，因此，虽然有一些简单辅助工具，但效率和准确性也是差强人意，更不要说面向海量的移动互联网应用软件。

目前，移动互联网应用软件基本是运行在两大智能操作系统上：Google 公司牵头开发的Android和苹果公司的iOS。由于这两类操作系统占有率最高，且Android 还是开源软件，这就为在这两种操作系统上构建出面向应用软件漏洞的检测方法提供了可能，静态安全检测技术也是依据这一情况衍生出来的。与前面提到的静态分析方法偏重于人工方式不同，该技术是通过形式化描述语言，从软件结构和代码中自动地提取软件程序特征与状态特征，从而发现软件安全漏洞的方法。主要由特征匹配和行为分析两种关键技术组成，二者分别从检测已知、发现未知两个角度对应用程序漏洞进行检测。

（1）特征匹配

特征匹配主要通过已知恶意程序库中的恶意样本特征对检测样本进行匹配，可以检测出应用程序是否含有已知恶意代码或者漏洞，类似于“黑名单”检测。组织合理的特征代码库和高效的扫描算法是恶意特征匹配的两个核心部分。特征匹配最大优势在于可以高效、准确地分析出存在已知威胁的恶意代码，有效弥补行为分析工具检测效率的问题，从而提升整体的分析能力。

（2）行为分析

行为分析主要是基于移动互联网应用程序安全缺陷的特征分析，通过形式化语言描述源程序或者反汇编后获取的代码，从程序中词法、语法、结构、过程、接口等抽象语义，发现满足所有可执行状态的软件属性，如控制行为、数据流向等，再与移动互联网应用程序安全缺陷状态模型分析匹配，以检查分析程序中可能存在的敏感和恶意行为。

特征匹配和行为分析技术，为设计并开发出应用程序安全漏洞和缺陷自动化检测工具奠定了基础。相比传统的静态分析方法，不仅自动化程度高，而且还能通过一系列恶意特征行为发现可疑的恶意样本，供深度分析进一步研究确认。

静态安全检测技术虽然有速度快、效率高等优点，但必须预知恶意代码或者缺陷状态模型才能有效鉴别存在的安全威胁。对于未知的、尚未添加入恶意代码库的新型恶意代码等，则无法使用这一技术进行检测判别，因此在时效方面存在一定问题。

动态安全检测技术的出现，使得对移动互联网应用软件运行时恶意行为的迅速发现和防御成为可能，确保了软件运行动作和结果的合法性。该检测技术是在应用软件运行的过程中，通过对运行环境变化和运行结果全面、实时的监测，检测出软件是否存在对话音通道、短信通道、网络通道等恶意操作以及对软硬件系统进行的恶意操控和破坏，如恶意扣费、隐私窃取、后门软件等。人工模拟和程序测试是动态安全检测技术的基础核心技术。由于这种测试技术模拟了用户的真实行为，没有对软件代码进行抽象处理，不但不要求开发源代码，从而降低了检测门槛，而且其结果也是准确可信的。动态安全检测技术的主要缺陷是结果的不完整性，即运行软件过程中可能无法显现所有的安全漏洞或者隐藏的恶意行为，因此存在较高的漏报率。

总之，两种安全检测技术各有所长，宜为互补。在技术的选择上，要综合考虑检测全面性、时效性、误报率、漏报率以及经济性等多方面的因素。例如，对于国内上架的应用软件在具备开放源代码的情况下，非常适宜采用静态安全检测技术为主的检测方式；而对于应用商店站点设置在国外或者不容易获取源代码的应用软件，则比较适合采用动态安全检测技术。

4 移动互联网应用软件安全解决思路

随着LTE 等接入技术和智能终端的逐步普及，移动互联网尤其是应用软件在用户体验、业务创新、盈利模式、产业规模上的表现远远超过了同期的互联网；但是从另外的角度来说，移动互联网的特性决定了其面临的安全威胁远高于传统的互联网；与之类似，移动互联网应用软件面临的安全威胁也高于传统软件。在这一态势下，就应该从多方面入手，从根本上提升移动互联网应用软件安全。

首先，应该加强顶层设计，从政策法规的角度研究、制定针对移动互联网技术发展和应用软件管理的法律法规，如个人信息保护法、移动互联网络安全防护制度等。逐步落实移动互联网应用商店在安全等级保护、安全风险评估、灾难备份及恢复等方面的安全防护检测要求和法规。

技术上，一方面终端用户缺乏自行判断识别应用软件的可信性和功效性能力；另一方面，应用商店中海量的应用软件根本不可能使用传统的检查、分析和评估手段对其安全性进行认定和管理。目前已有的一些安全评测工具还不能形成高效的、系统化的、自动化的安全检测平台，无法对应用商店模式下海量且复杂的软件做有效评测监督和管理。因此，有必要积极利用国家大力发展自主可控信息技术的契机，鼓励和引导一批科研机构、大学、企业等社会力量开展面向移动互联网应用软件的安全检测平台的建设。不同于手动或者工具型安全检测，集中化、平台化、体系化的安全检测能够更好地适应移动互联网的发展特点。不仅可以为最终用户和运营开发者提供可信、安全、可靠的检测服务，还可以依托平台，提取、采集、积累各类安全漏洞和攻击方法，为政府部门和安全机构提供及时、准确的安全状况及动态，有效应对国家网络空间的安全威胁。

与传统互联网模式类似，移动互联网同样对安全服务有巨大需求，尤其是应用软件对安全服务的迫切性更高。换句话说，移动互联网的健康发展和有效应用离不开高质量的安全服务；高质量的安全服务中蕴藏着巨大的商机和利润。需要注意的是，移动互联网应用软件安全服务中最基础与核心的服务应是检测服务，在此基础上，不仅可以提供评估认证服务，还可以进一步深度开展安全加固、渠道监管、舆情预警等工作。移动互联网软件应用安全服务模式不能再沿用传统的服务方式，而要充分挖掘利用移动互联网的开放性、互联性、永久在线、用户体验好、产业链整合协调力强等天然优势，统筹考虑面向广大用户的终端安全和面向应用商店的产品安全，实现安全服务引导、提供、输出和管理的快速化、智能化和人性化。

5 结束语

随着4G的加速普及和产业链的逐步成熟，现有应用商店模式下的应用软件生产更多地考虑功能实现以及对开发者知识产权的保护，但在终端用户和国家社会安全方面仍未形成一个覆盖开发、测试、提交、上线、下载、使用的完整体系，因而有可能导致我国移动互联网应用产业陷入混乱和无序状态，最终损坏广大用户和国家的利益。

国家和很多企业已经认识到移动互联网应用软件背后暗藏着十分现实和严峻的安全问题，也在政策法规和顶层设计上给出了明确的指导意见，如工业和信息化部通信保障局在2014年6月颁布的文件中明确指出，应用商店应建立应用软件黑名单管理制度、黑名单申述机制等。因此，无论是国家层面还是产业层面，都在认真研究和部署如何应对这一问题。在众多解决方案和建议中，开展以检测技术为核心的高水平移动互联网应用安全检测平台研究和建设是当前最为迫切的任务之一。

[1]工业和信息化部通信保障局.关于在打击治理移动互联网恶意程序专项行动中做好应用商店安全检查工作的通知[Z].2014.

[2]国家网络信息安全技术研究所.移动互联网应用安全分析报告[R].2012.

[3]中国互联网络信息中心.第34 次中国互联网络发展状况统计报告[R].2014.

[4]杨洪路,宫云战,高文龄等.软件安全静态检测技术与工具[J].电子技术应用,2009,(9):70-72.

[5]孙剑.计算机安全漏洞动态检测技术[J].信息与电脑：理论版,2013,(3).