智能终端安全：【终章】应用安全技术—移动互联网信息安全解决方案（上）

转眼就到了本系列的最终章，其实这类似的概念性文章不会对技术的深度有很大的帮助。但是对于处于在这个领域的从业者，能站在宏观角度去看整个行业，整个领域，会对个人的发展和学习都会有极大的引导与帮助。

Perface

移动互联网智能终端信息安全是一个整体的系统性课题，从技术角度来看，涉及到终端硬件架构、内核和终端操作系统、应用等各个层面。

同时，信息安全又是和用户自身需求紧密相关的需求驱动型课题，从用户角度来看，公众用户可能更关心通信安全和费用、反病毒和防个人信息遗失等，政企用户可能更关心通话安全、商业机密保护、终端安全管理等，事关国家安全的还有更进一步的要求。

总的来说，不同群体、不同场景对终端信息安全需求是不一致的，满足不同用户分层次安全需求的有针对性的解决方案，才能获得市场认可，其差异体现在终端策略、终端产品、云端支撑平台等各个方面，同时还离不开行业标准化研究工作的支持。

终端安全解决方案

1 软件厂商的终端安全解决方案

随着智能机的大规模普及和用户通过手机上网的行为大幅增多，普通用户面临的安全威胁来自使用过程的多个方面，关于公众用户遭受的安全威胁的调查结果如图所示。

公众用户遭受的安全威胁调查

针对大众用户面临的威胁类型分析，诸多软件应用厂家均推出了各自面向大众的信息安全解决方案。

个人用户在使用过程中大多更关注于使用体验，个人信息安全一般不应过于影响使用体验，而对个人使用体验的理解向来是互联网厂商的强项。

互联网厂商推出的手机管家类应用，以互联网模式推广的手机应用，主打免费牌，标榜为“免费的手机安全与管理软件”。代表产品有腾讯手机管家、百度手机管家，以杀毒软件厂家的360手机、金山手机助手。

市场上常见的手机安全防护应用产品LOGO如图所示。

此类型的手机安全防护应用产品，延续了个人电脑管理软件的设计思路，集成了系统加速、病毒查杀等个人喜好功能，并结合移动互联网环境特征融合了用户感受更为直接的流量监控管理、应用管理等功能。

此类型的手机安全防护应用产品的功能具有很大的相似性，其应用核心功能可以总结为以下4个方面。

1）病毒查杀：由于手机的个人特征更为显著，手机病毒带来更大的安全危害，可能导致个人信息丢失或损坏，手机软硬件破坏、非法信息传播、通信费用损失等。部分安全厂商在传统病毒查杀的基础上，建立了手机病毒库，并提供病毒查杀服务，通常可提供本地查杀和网络查杀两种方式。
2）垃圾清理：手机运行过程中产生大量的系统缓存数据，由于手机存储容量大小受限，缓存数据占用空间过大会导致系统允许速度降低。应用一般允许用户设定当手机存储容量占用超过一定比例（如90%）时给出垃圾清理提示，可自动清理各类型缓存数据。
3）骚扰拦截：个人生活中经常遇到骚扰电话的解决方案，包括来电标签、电话黑名单、短时振铃来电自动拦截等。用户可针对所来骚扰电话添加标记分类，如常见的推销、中介、诈骗等，并可手动或自动添加至电话黑名单，黑名单中的来电系统自动拒接；对短时振铃的诈骗性来电也可自动标记或拒接。
4）流量管理：按流量计费是移动智能网络发展到3G/4G时代的重要消费行为转变，流量作为智能机时代终端的重要个人资产，因为直接关系到用户资金而备受关注。流量管理可实现智能终端当前流量消耗情况，及各应用的具体消耗明细等，并可依据设定给出流量管理提醒，避免应用偷跑流量、消耗流程超过套餐流量等问题，达到“省钱省心”的效果。

基于以上常规安全功能服务，有的应用还基于其服务提供商的定位提供其擅长领域的服务，常见的集成功能有如下4个。

1）应用商店：推送各种官方安全应用，提供后台App行为分析，经后台扫描后的应用上架到应用商店，并基于用户应用行为习惯向用户推送类型应用。主推官方App纯净安全。
2）手机管理：在集成前述安全防护的基础上，主动满足用户体检加速、手机系统优化、电池管理优化、手机丢失找回、手机信息远程擦除等手机本地和远程管理功能。
3）无网线快传：不用数据线，通过Wi-Fi或其他方式快速轻松传文件等。
4）公共Wi-Fi星级标记：公共Wi-Fi热点分布越来越广，智能终端随时随地在寻找Wi-Fi热点并连接已经成了很多人的新习惯。但公共场合的Wi-Fi热点不可避免地存在良莠不分和各种安全风险，以星级所在位置的Wi-Fi评价得到部分用户的欢迎。

典型安全应用推广文案如图所示，关注的在于优化终端响应速度、骚扰拦截、支付等安全防护等方面。

互联网软件厂商的终端安全宣传

软件厂商给出的解决方案，是纯软件解决方案，在不影响用户体验的前提下，提供必要的安全防护功能选项。相对于其安全功能，更倾向于其安全管理特征，通常会向用户体验妥协牺牲必要的安全性。

但是，第三方安全软件为了获取更高的安全管理能力，经常需要破解系统获取ROOT权限，可能为系统引入其他不安全影响。

2 企业移动办公终端安全解决方案

随着移动智能终端和移动互联网技术的不断发展，终端的软硬件能力持续提升，移动智能终端已不单单作为个人通信和娱乐的工具，越来越多的企业员工也开始摆脱办公室的约束，随时随地通过自带的移动智能终端设备来处理日常事务，如使用企业邮箱、登录OA系统（Office Automation System，办公自动化系统）等。

企业用户使用移动终端满足办公需求，对信息安全的要求更高。作为信息安全的代价，企业级安全用户能接受一定程度的性能和体验的下降。

CCSA（China Communications Standards Association，中国通信标准化协会）很早就启动了行业标准化工作，推动企业级信息安全解决方案的标准实施。CCSA的企业信息安全项目，称为BYOD（Bring Your Own Device，自带设备办公）。

企业级信息安全方案的解决策略，原则上是企业终端安全方案和企业安全云端的集合，通过“终端—管道—云端”的整体安全设计，达到较高级别的安全性。

企业安全云端的解决策略，包括企业定制化可信应用商店、传输安全机制等；而企业终端安全方案的解决策略，通常采用沙箱技术以软件方式隔离个人工作区并对其提供必要的安全防护，同时兼顾了设备成本和设备安全。

在企业信息安全解决方案之上，再叠加定制化的企业办公应用，从而满足企业用户的移动办公需求。

芯片层面的ARM TrustZone架构为企业级信息安全做好了硬件准备，但TrustZone在之前很长一段时间里都没有得到正式的大规模应用。伴随着终端信息安全概念的深入人心，大量系统开发商、应用开发商都启动了基于TrustZone的安全机制研发，可以预见企业信息安全解决方案在近期将产生大规模应用效果。

相对于完全独立的两套硬件设计的硬件隔离方案，基于TrustZone架构的安全设计在设备成本、业务部署等方面有着明显的优势，可以满足一般性安全需求的企业需求。

与企业移动办公类似的，大众的支付类业务也可以接受前述的解决方案，如银联也提出了基于TrustZone的安全支付解决方案。

典型的企业级信息安全解决方案，有三星KNOX、360天机以及Android for Work等。

KNOX——垂直的移动终端办公安全

KNOX是三星推出的一种基于Android系统的移动解决方案，集成了Android系统安全强化套件（SE for Android）和应用于硬件以及Android框架的完整性管理服务，提供从硬件层、架构层到应用层的多层次的整体安全保护，为企业及员工提供企业移动终端办公安全解决方案。

KNOX具有综合移动设备管理性能，结合安全容器技术，可在不侵犯公司员工隐私的情况下，满足企业IT移动安全的需要。

KNOX解决方案的层次架构示意如图所示

KNOX试图从终端系统和应用层面解决移动终端的安全性问题。

在终端系统层面，KNOX使用ARM TrustZone实现硬件资源隔离，通过可信任安全启动、TIMA（Linux内核完整性监控模块）、SE for Android（Android系统安全强化套件）保障系统启动和运行时的安全性。

在应用层面，KNOX使用安全容器保障运行时的安全性，通过专属应用商店保证应用程序的下载、安装及运行的安全性，使用VPN防止传输数据泄露，对终端数据加密防止静态数据泄露。

同时，KNOX支持根据用户需求提供客制化的安全配置策略。三星KNOX针对原生Android平台的短板，通过上述多重安全措施来确保Android设备上的企业数据安全。

360天机——轻量化的移动终端办公安全

360天机的全称为360天机企业移动终端安全管理系统，是360企业安全集团面向政府、金融、运营商、能源、制造等企业推出的企业级移动终端安全管理系统，为客户移动终端安全使用企业资源提供从硬件、OS、应用、数据到链路等多层次的安全防护。

360天机分为移动终端解决方案和企业管理平台。360天机在移动终端上建立了一个严格安全的办公区域，通过加密、监测等手段确保企业数据和应用在移动终端上的安全；企业管理平台则部署于企业内部，用于管理员的管理和维护操作。

Android for work——谷歌在安全办公方向的努力

2015年，Google发布了Android for work项目，为企业用户提供了更加强大的信息安全和管理功能，这是安卓操作系统面向企业市场的专题工作组。支持Android for work的智能机能够安全隔离企业和个人应用，并允许企业管理电邮、日历、联系人等。

Android for work主要安全能力与其他企业安全产品类似，表现在以下几个方面：

1）工作区数据隔离；
2）针对个人数据和企业数据，可选择性的擦除数据；
3）不依赖特定硬件，提供跨设备厂商支持；
4）提供系统级企业管理和配置能力，如静默安装/卸载App、推送系统配置等；5）增强工作区应用安全，限制恶意程序及木马无法侵入工作区；
6）限制个人区和企业区之间的数据迁移；
7）提供企业级安全应用，如安全浏览器、安全邮件、文档处理工具等；
8）工作区内引入应用级VPN支持；
9）支持多平台的企业移动管理系统。但是，以Google Play Market为核心的Google框架在国内无法使用，Android for work在中国市场的前景尚不明朗。

高级别的终端安全解决方案

传统的信息安全管理一直遵循着涉及国家信息安全的内容采用的涉密不上网、上网不涉密的指导思想。

但随着移动智能终端更深度地融入工作和生活，在难以完全杜绝智能终端使用的情况下，进一步提高智能终端安全性、研究更高安全级别终端产品方案成为重中之重。

更高安全级别的智能终端产品，主要面向的用户一般包括涉及商业机密的企业客户、涉及国家安全的政府工作人员和机要人员等。

高安全级别的终端，因其高安全性带来相对更高的终端硬件成本，且为了安全性可以在整体友好交互的前提下而牺牲部分便利性。

相对于TrustZone等基于芯片管理策略创建安全运行环境方式，设备商试图以完全独立的两套硬件来实现更纯粹的资源隔离，构造更为独立的安全运行空间，典型的终端架构如图所示。

双硬件的安全手机终端架构

除了物理上共用的屏幕、听筒、麦克风、机身按键和电池等设备，其他诸如主芯片SoC、ROM、RAM、基带芯片和Wi-Fi、蓝牙、FM等芯片，根据需求均可以采用分立设计，并在各自的硬件平台上适配两个独立的操作系统，安装和运行相互独立的各种应用。

特别地，安全系统视需求可以集成特定的安全加密芯片，为系统提供硬件级安全防护。

前文提到，为弥补产业方面的不足，国产智能终端操作系统在双系统方面做了较大的努力，安全也是其研发和部署的重要方向。

更进一步地，基于国产终端操作系统的双系统方案，加强了国产系统对从系统的运行监管和安全管控，提供系统级安全服务。越来越多的OS开发商，尤其是主打自主知识产权的国内OS开发商，基于系统级安全服务的概念，面向企业级或更高安全等级的信息服务需求，推出系统层规划的安全服务。

从国家信息安全的角度，自主的硬件+自主的操作系统+国密算法硬件+定制的安全应用是最安全的。

国家一直在大力扶助相关产业的研发，从2009年开始设立了一系列重大专项，支持核心电子元器件、高端通用芯片及基础软件产品的研发和产业化，推动相关产业的发展。

运营商的安全手机产品规划

运营商发挥在终端定制领域的引导作用，设立了安全手机研发方向。安全手机研发工作主要致力于研发定制分类安全手机终端和安全业务，满足用户终端安全需求并培育终端安全市场。

基于对用户安全应用场景划分及对用户面临的手机安全问题的调研和分析，运营商的安全手机大致可以分为大众用户市场、企业用户市场和涉密安全用户市场3个等级。

1）针对大众用户，目前运营商推出的安全手机产品侧重于提升病毒查杀、骚扰拦截、流量管理等大众用户普遍关心的日常安全能力，集成主流互联网安全应用厂商的安全解决方案。同时，通过网络升级不断完善自身网络安全能力，面向开发者开放运营商安全能力，为大众用户提供相对安全、放心的大众级安全手机产品。
2）面向企业用户的安全手机产品，除具备上述大众级安全手机所具备的一切安全能力外，通常还叠加安全通信功能，包括加密通信、加密存储等功能，进一步提高对商业信息的安全保护。根据需求，还可采用双系统或国产操作系统、自主芯片的方式，辅以运营商推出的企业服务，全方位地满足企业用户的安全需求。
3）面向党政军警、涉密单位等最高级别安全用户，运营商协同国家专业信息安全机构与自主芯片厂商，积极参与安全手机产品定制研发工作，共同打造“自主芯片+自主OS+安全应用+安全云端服务”的端到端安全手机方案，推出综合的安全通信服务。相关手机通过国家相关部门的安全检验和评测，可满足极高信息安全的使用需求。

各等级安全手机所具有的安全功能如表所示。