App过度索权或只是“冰山一角”，移动安全还有这些难题待解 – 作者:指掌易

如今，移动互联网发展带来的安全问题越来越突出。从近日国家互联网应急中心发布的《2019年上半年我国互联网网络安全态势》来看，我国移动App违法违规使用个人信息问题突出，大量App存在读写用户设备文件等异常行为，对个人和以移动业务为数字化转型抓手的企业信息安全造成了巨大威胁。

记者近日遇到指掌易创始人王伟，是在第七届互联网安全大会的展会现场。一副黑框眼镜、一身深色着装，眼前这位扎根移动安全领域10余年的IT“老炮”，看起来颇具文人气质。“移动App强制授权、过度索权、超范围收集个人信息现象大量存在；违法违规使用个人信息问题突出；数字化转型中，企业移动业务安全存在很多隐患……”对于行业现状，王伟这样分析。

指掌易CEO王伟

从内外网到云管端，移动安全防护“边界”去哪儿了

在网络安全发展的历史中，安全老三套（入侵检测、防火墙、反病毒）一直占据主导地位，也就是人们常说的“边界安全产品”。这些产品设计的基础理念是认为企业边界的外部是危险的，存在着病毒、木马等各种安全威胁，安全产品通过在企业的边界网关处加上各种各样的“锁”，就能将危险挡在外部。

然而，万物互联的时代，简单的上“锁”变得不够有效；同时，有数据显示，超60%的网络安全事故来自企业内部违规操作，而边界安全产品对内部威胁的预知与防范并无行之有效的解决方案。与上“锁”的说法类似，王伟打了这样一个比喻：好比一间屋子，在传统安全时代里面有墙有门，在门上做好防控就能保证安全；但到了移动互联网时代，不要说门了，甚至连墙都被“拆”了。“安全业务移动化，从内网外网‘边界’转变为云管端‘无边界”的网络状态。”王伟介绍，“云、管、端”是移动业务安全的三个重要节点。简单来说，“云”是企业为用户提供服务所需的应用系统和数据库；“端”是用户使用的所有智能设备，手机、电脑、智能穿戴设备等；“管”就是连接两者的智能管道，是两者数据交互的通路。谈到“安全和业务的关系”，王伟娓娓道来，以前做安全和业务没有关系，但在移动互联网时代人们越来越频繁在“端”上做事情，业务和安全就紧密联系起来了。以前做边界安全，安全厂商不会考虑业务是什么，但在移动互联网时代必须要考虑，这是安全行业的趋势。这一点与指掌易的理念不谋而合，未来安全与业务越来越结合，越来越相关，只有知道企业业务是什么才能能够很好地做好安全，反过来对企业而言只有理解底层安全怎么防护，才能更大胆地开展业务，安全也能够越来越促进企业业务发展。

担心“太懂我”，应对App过度索权怎么做

显然，随着移动互联网端口的大量增加，IT行业业务从“以硬件为主”不断转向“以软件为主”。在移动互联网时代，App的概念也在逐步被强化，变成了应用的基础承载单元。

“移动设备有非常强的个人属性，涉及到很多私人属性的个人隐私，大量的敏感信息必将会带来安全问题。”王伟说。“已经基本没有隐私了！”不少网民常常这样抱怨。在王伟看来，移动互联网时代，个人隐私泄露须从两个维度来看，首先，便捷性要求用户提供很多数据，但是，便捷性不能成为App应用侵犯网民隐私的理由。其实这两者并不矛盾，网民信息完全可以采取脱敏措施。对于移动App过度收集个人信息的问题，王伟认为，一是国家须加强政策指引，在法规层面上不断加强；二是安全从业者要帮助国家制定策略，如同处置交通乱象一般，不能只靠交警查违规，还需要制定安全规则，“应该是现有规范，后续才是执行”。

王伟认为，欧洲的GDPR里也并没有很多细节的规定，很大程度上也是在意识的层面，这些都需要不断细化。“很多时候，法律法规具有一定的滞后性，比如，过去的等级保护2.0到了移动安全领域已经稍显落后。网络安全从业者应协助国家出台规范，帮助提供技术检测等”。

既要防止App滥用权限，又要做好敏感信息防护

如今，大批互联网业务走向移动化，将带来大量的全新办公场景，也会出现一系列管理问题和安全问题。比如，某家企业的员工在个人手机上使用App时，其移动办公完全基本上不需要通过企业网络，但大量数据都存在于员工个人手机上。很多App都可以轻易获得大量权限，风险不言而喻。

因此，移动互联网时代既要防止App滥用权限，又要做好敏感信息的保护。以部分制造业工厂为例，内部员工的手机需要控制摄像头，设计师可能需要控制文件传输，每个人的工作场景不同，安全需求也不一样，而且要保证所有的安全模块都可以在不同型号的手机上单独运行。“在以往的移动业务安全中，有些企业和组织会采用比较生硬的方法，比如，抠掉摄像头的手机或禁带手机工作等。这样虽然能够降低风险，但等同于直接拒绝了移动办公。”王伟说。事实证明，这类做法长此以往都很难实现。王伟说，我们可以尝试通过在手机上安装软件等形式，让员工在进入工厂后对摄像头进行有效管理。比如，某些区域可授权拍照，但照片不能在手机里存储，需要发送到企业后台进行留存；有些员工需要下班后通过平台开展业务，此时流量则可以走安全通道，数据也可以被远程保护起来。来源： 光明网

关于指掌易

北京指掌易科技有限公司成立以来，致力于为客户提供一站式移动业务安全整体解决方案。基于自主研发的VSA技术，推出SAME（Secured Architecture for Mobile Enterprise）安全架构，以国家等级保护安全框架为依据，建设一站式移动业务安全赋能平台，从“云-管-端”全方位、多维度，捍卫企业移动业务安全。

指掌易专注企业服务，凭借领先的技术和优质的服务，已经为全国人大、全国政协、中国人保、圆通速递、伊利股份、五粮液、泸州老窖、友达光电、苏州银行等金融、制造、能源、航空、互联网等行业领域的头部企业客户以及多家重要政府机构提供了完整的移动端业务安全方案。超100位专家提供本地支持服务(涵盖销售、售前 、实施、售后专家)，覆盖全国所有区域。其产品和服务获得客户的高度评价！

未来，指掌易将继续秉承“客户第一 · 追求卓越”的价值观，不断创新，锐意进取，将更先进的技术、更具市场竞争力的解决方案提供给客户。在充分尊重用户个人隐私的前提下，助力企业信息化建设，为推动各行业数字化转型发展而不断努力！

来源：freebuf.com 2019-09-04 15:23:40 by: 指掌易