3 移动互联网安全热点研究问题
最近几年，移动互联网的高速发展，廉价智能终端设备的加快普及，随之而来的网络、设备和信息安全问题也越来越受到用户、厂商、运营商和国家的关注。在传统互联网中存在的安全隐患在移动互联网的环境下依然存在，而且有被更加加重的趋势。例如，TCP/IP 协议本身的不完备性。各个移动操作系统存在的系统安全漏洞，特别是开放源代码可以由厂商随意修改的 ANDROID 系统。网络攻击的方式、方法和软件随着互联网和普及也更加的容易，并且大量的终端用户并没有相应的安全知识，也缺少必要的安全意识，这样也导致移动互联网的安全形式更加严峻。在 2013 年 12月，国家发放了 4G 移动网络牌照，相比 3G 网络，4G 网络速度理论是 80-90M,最高100M，已经超过大部分城市固网光线 20M 的接入速度。随着速度的提升，需要对终端流量更加有效的进行监管。现在智能终端系统种类很多,包括 ANDROID（Google公司）、IOS（苹果公司）、WP（微软）、SYMBIAN（诺基亚）、Webos（惠普）、Blackberry（黑莓）、Meego（原诺基亚）、ubuntu、firefox 等，异构的系统需要统一的监管系统和行为控制，这本身就是很大的挑战。由于智能终端通过移动互联网是实时在线，终端病毒和非法软件对终端和移动互联网提供商的攻击更加具有持续性。在给终端用户提供的内容也需要更加严格的监管，大量的垃圾信息和骚扰消息在移动互联网下给用户造成更大的威胁。
3.1 终端智能化发展带来安全问题
4G 高速移动网络的商用普及，为移动应用带来了广阔的发展空间。原来社交网络（人人和 QQ 空间等）、搜索应用（Google 和百度等）、微博、微信、LBS（手机地图和路线优化）等会更加普及。原来在 3G 网络下无法流畅使用的手机在线视频观看和视频聊天在 4G 高速网络会更加的为人们所使用。
在传统互联网时期。进行信息处理的是台式电脑，便携性稍好的是笔记本电脑，它们功能强大，有很大的存储空间存放数据。在移动互联网时期，传统的电脑因为其移动性不佳，已经被更加符合掌上操作，而且功能更加强大，便携性更好的移动终端锁取代。随着而来的问题就是在传统电脑的安全问题也会转移到移动终端平台。
从国家安全层面来说，移动互联网所带来新的安全问题更加严重:(1)现阶段的移动终端的操作系统几乎都被外国厂商所垄断。因此，国家无法从底层来监管程序的安全性。(2)外国厂商依托于他们自身的移动操作系统，将终端用户的个人信息和企业信息、乃至于国家信息，通过云存储在国外的服务器中。这样国家无法跨地狱进行监管，容易造成个人信息的泄露。国外的企业利用他们强大的云计算的能力，对存储在他们云存储上的中国用户的数据进行大规模的分析，可以了解甚至于掌控到生产生活的各个方面。(3)国外厂商可以通过 GPS 全球卫星定位技术，对我国的移动用户进行定位，这样一些安全保密的基础建设信息就会完全暴露在外，没有任何的安全性可言。(4)国外厂商通过自由的加密和解密技术，逃过我国的信息监管。对于用户来说，一些暴力、邪教会传播到人们大众当中。对于国家来讲，无法监控移动通信，会导致国外针对国内间谍活动的猖獗，威胁到国家的安全和稳定。
手机病毒是最近几年新兴的产物，是网络访问方式从互联网向移动互联网转变的产物。在移动互联网普及之前，手机以功能机为主，智能手机非常少，那个时期针对手机的病毒也相对较少。但是随着苹果手机在全球的畅销，已经 Google 将 Android系统开源，针对智能手机的病毒越来越多。而且有愈演愈烈的趋势，这个不仅仅是手机病毒的问题，而是有些非法分子利用这些病毒获取不义之财。手机病毒发展：2006年约 100 种，2007 年超过 200 种，2008 年则达近 400 种。2009 年年末，已经超过1000 种。进入 2010 年，手机病毒及恶意软件进入空前活跃期，已经形成一条黑色产业链。2011 年央视 315 晚会：曝光了手机杀毒软件网秦及其关联公司飞流下载恶意赚取用户费用的行为：飞流软件会导致用户手机故障，只有通过付费更新网秦病毒库才可解决。手机病毒可以造成：(1)经济损失: 发送大量短信及彩信，并且呼叫产生大量话费和恶意强制用户订购电信业务，进行虚假交易。(2)信息泄漏：盗取个人隐私信息，如通讯录定位信息等和盗取帐号、存储的商务信息等及用病毒对手机用户进行定位跟踪、监听， 甚至利用手机摄像功能对用户进行监控。(3)业务滥用：传播恶意信息和垃圾信息传播，影响电信网络和造成手机终端运行缓慢或崩溃及远程控制手机终端，或安装虚假应用。(4)攻击网络：控制手机对运营商网络发起 DDOS 攻击，造成网络质量下降，影响用户使用手机。
3.2 网络 IP 化带来新的安全挑战
核心网 IP 化包含话务网 IP 化、信令 IP 化、承载 IP 化。无线网 IP 化：接入网 IP化改造，实现 2G、3G、4G 一张网，更面相 LTE、WIMAX 等移动宽带新技术。电信网络的 IP 化使得过去封闭的网络走向开放互联，也将互联网的各种安全威胁与攻击、脆弱性等引入电信网络，极大的增加了安全风险。IT 网络层面：Dos、蠕虫、路由器漏洞等。IT 系统层面：病毒、微软操作系统漏洞、oracle 数据库漏洞。通信服务机密性：语音窃听、电话号码探测、口令破解、内部拓扑泄漏等。通信服务完整性：匿名电话、吸费、语言干扰、用户绕计费呼叫。通信服务可用性：电话洪水、拒绝服务攻击、协议漏洞等。移动 IP 技术就是让便携设备在互联网及局域网中不受任何限制的即时漫游，也称移动计算机技术。电信网络的 IP 化使得过去封闭的网络走向开放互联。IP 化也同时将互联网的各种安全威胁不攻击、脆弱性等引入电信网络，极大的增加了安全风险。4G 启用后，数据业务速率急需提高，这使基站 IP 化成为运营商迫切所需。现在的移动网络仍以语音业务为主，但随着 4G 承载的数据业务增多，底层网络必须进行 IP 化。网络作为移动互联网重要基础设施，承载大量应用数据，运营商将加大通信服务的机密性、完整性和可用性，建设更加快速、可靠、智能型管道。
3.2.1LTE/SAE安全存在问题
随着人们对于移动互联网速度越来越高的要求，国际上相关的标准组织启动了无线接入网的长期演进研究项目，即 long term evolution,LTE 等新技术，以及面向全 IP分组域核心网的新项目，即 system architecture evolution,SAE 的相关标准的制定工作。
这样可以在通过无线网络接入到核心网络的持续技术升级，保持在相关移动通讯领域的技术领先性，来保证未来 10-20 年的时间里，为移动互联网的网络提供商和终端用户提供符合要求的技术支持。在 2013 年底，我国就已经给中国移动、中国联通和中国电信颁发了 4G 网络牌照，部分城市已经开始 4G 商用的测试工作了。但是 LTE 项目还有一下问题尚未解决：(1)户身份可能被泄露，从而导致用户隐私暴露。这个问题从移动互联网开始就存在，一直没有得到更加妥善的解决，而且随着高速移动互联网的普及，这个问题更加严重。(2)密钥无法更新，被破解的风险随着使用时间递增。
根密钥是所以密钥的基础，更新根密钥会牵扯到所有网络上加密和解密的行为和过程，影响极为重大。但是无法更新，随着云计算的应用，廉价 X86 服务器组成的集群就拥有了超级的计算能力，这样密钥被破解只是时间问题。(3)完善考虑特殊场景下的安全机制，例如在高铁动车上，因为速度非常快，导致手机从一个基站信号覆盖范围换到另外一个基站信号覆盖范围的时间间隔就非常短暂，这个非常短暂的时间就可以会出现信息泄露的问题。(4)在中国有些地区试点的 4G 网络，在使用语言通话的过程中会出现 4G 信号降频到 2G 的情况，就在切换的过程中就无法保证安全性。鉴于移动互联网的重要性，如果没有我国自由的加密和解密算法，那么我国的信息安全就完全暴露在外，对于国家安全稳定是一个很大的威胁。相比于 LTE 项目，SAE 项目更加重要。未来 4G 的下一代网络将会出现多重标准和技术接口并存的情况，在这样的条件下，标准的同质化将会非常普遍，运营商为了保证投资的技术时间有效性，一套方案尽可能满足多种标准，最好可以从现有系统平滑的升级到新标准，这样用户不断变化的需求也可以在充分利用现有投资的基础上来满足。
4G 和 3G 有很大的不同，底层的标准将是完全不同的，因此运营商的网络和设备的架构也将是完全不同的。4G 不会是一套标准，可能一家运营商会拥有几张不同标准的 4G 牌照。本身标准就不是完全安全，在多标准之间通讯，安全漏洞被利用和攻击的可能性也就大大增加。移动互联网高速的特点会催生出一些新技术攻击手段和方法，例如，在汶川地震的时候，感受到强烈震感的周边地区，人们同时用手机拨打电话，就会产生大量的信令流量，这样对网络也会产生相当大的影响。如果智能手机被安装了恶意软件，不法份子完全可以利用多部手机同时发出大量网络请求，占据了大量的网络带宽，导致基站的服务响应几乎停滞。还有不法份子利用在电信基站截获信号，使信号覆盖区域的人收到伪造银行短信进行诈骗活动，这样的例子也越来越多。
如何应对这些非法攻击从而保证网络稳定和用户信息安全也是一大挑战。
3.2.2WLAN安全问题亟待解决
WLAN 作为互联网的接入方式，不断演进与移动通信网融合，演进阶段包括：统一账号收费、与电信网统一认证、接入电信分组域网络等等。WLAN 已逐渐成为移动互联网的重要网络接入形式之一。在一些地区因为各种条件的限制，无法架设高速移动互联网所需要的电信基站，为了使当地的用户也可以使用高速网络，便使用WLAN 来替代 3G 或者 4G 的信号。但是 WLAN 也是有其很大的安全漏洞和隐患，这点在国内和国外的各种使用 WLAN 而出现信息泄露的事件中就可窥一斑。 例如04 年雅典奥运会因为安全问题弃用 WLAN 网络等。WLAN 安全体制缺陷加上发展到现在已经非常成熟攻击工具造成了无线局域网安全现状。WLAN 信息通过在空气中开放传播，即使使用加密技术，使用暴力破解也是非常容易。现在终端的智能性非常高，可以利用 DNS 端口来绕开计费系统从而免费的使用；也可以使用端口扫描工具，对同在一个 WLAN 的设备进行端口扫描，找出没有安全保护的设备进行攻击；也可以采用利用本身的设备再次作为网络接入点的方法进行攻击，如果一个用户错误的接入了这个伪接入点（AP）,那么他访问一些网站就会被重新定向为另外的网站。例如访问工商银行的网站就会被链接到和工商银行页面非常相似的网站，用户在操作的过程中，用户的密码和银行卡号、身份证信息就会被记录下来。我国在这方面也做了很多的努力和工作，在 03 年中国推出了基于 WLAN 标准，做了相关加密增强功能的 WAPI标准，而且要求强壮执行。现阶段三大运营商也在机场、学校、公交、火车站等地方部署了免费的 WLAN 接入，为了安全使用要求用户必须用自己的手机号码登录系统并且确认后才可以正常使用。
3.2.3 全球IPv4地址耗尽
在IPv4标准进行设计的时候，世界上还没有那么多的设备接入互联网，所以当时设计出的IP地址数量对应当时的设备是天文数字，几乎不可能被用尽。但是现实的发展远远超出了当时设计者的想象，未来几年间，IP地址的需求可能从几百亿上升到上千亿，现有的IPv4已经无法满足如此大的需求。因此IPv4向IPv6的过渡是全世界需要共同面对的问题。特别是随着移动互联网的发展，物联网对应IP地址的需求更为迫切，如果不及时进行升级工作，会对未来的发展形成严重制约。
随着互联网的蓬勃发展，互联网已经开始进入新的时期，IPv4已经过时，IPv6是下一代互联网的必然选择。据相关部门和第三方统计机构统计，2012年底已经有超过百家企业或者供应商提供IPv6接入服务，特别是近一段时间内新兴技术（移动互联网、云计算、物联网和大数据等）发展，对IPv6的需求更为迫切。首先在教育网和科研网进行了IPv6的系统升级。与此同时，中国三大运营商也分别在一些大中城市开始逐步的改造工作。在产品方面，华为和中兴等国内厂商在产品研发和产业化的工作也加速进行。防火墙、交换机、路由器和VPN设备也得到了用户广泛认可，其他终端产品也远销海外。在国家层面，高速互联网也是国家战略的重要组成部分。在2012年国家发布了互联网十二五建设的指导意见。在指导意见中要求规定了互联网的普及率和IPv6接入用户达到的数量。在IPv4和IPv6共存的时间段内，相关的业务可以正常使用，不存在访问障碍的情况。
IPv4和IPv6共存安全，在两者同时存在的条件下互相之间的通信就存在安全隐患，从IPv4访问IPv6的网络，如何将IPv4的短地址安全的转化为IPv6的长地址，已经存在的http、ftp、smtp之间的转换如何进行。在加密和解密方面，已经存在的共有证书和私有证书如何改变，如何在不影响正常业务使用的情况下，减少两者共存的时间，平滑的升级也是需要重视的问题。IPv6部署也存在安全问题：虚假的IPv6孤岛陷阱，DNS的安全问题，真实地址的验证，移动端的IPv6的安全问题。IPv6在信息产业部的地址安全规划和ipsec安全监管问题，都是需要面对的问题。
3.3 运营商将承担更多信息重任
移动互联网时代，业务服务端逐渐向云计算平台演进，云计算虚拟化、多租户、动态调度的特点为移动互联网引入新的安全问题。多元化业务面临多样的安全威胁：
(1)针对业务信息的威胁：不良信息传播（手机淫秽色情）、敏感信息泄漏（出售详单）。(2)针对业务载体的威胁：后门木马（内置吸费）、Web攻击（首页替换）。(3)对业务模式的威胁：业务滥用（群发广告）、恶意订购（强制定制）。运营商的多元化业务开展需保证用户安全需求,例如电子商务与支付必须保证客户交易支付的信息与资金安全。媒体、出版商、手机报必须符合新闻出版相关信息内容安全要求。终端提供商必须保证提供终端内置系统与应用的安全。应用游戏提供商和应用商店游戏必须保证提供的应用程序与游戏内容安全。
最近几年，公民的用户信息泄露的事件发生的频率越来越高，泄露的信息量也越来越大，造成的恶劣影响也不断升级。为此国家制定了《关于加强网络信息保护的决定》。而作为提供移动互联网服务的国内的三家运营商是最需要关注用户信息泄露的问题：(1)电信运营商作为第一步进行用户身份识别的厂家，它本身就收集和存储了大量的用户信息。信息的泄露是通过外部人员窃取和内部人员利用职权之便倒买倒卖形成的。因此首先要明确电信运营商的最初责任人的法律义务。对管理用户信息的员工进行法制交易和宣传。对于违反公司规定和国家法律法规的人员给予严厉的处罚并追究其刑事责任。不断提高运营商对应用户信息安全性和重要性的认识。(2)运营商要建立起符合安全管理规范要求的信息保障制度和安全审核机制。不能够仅仅依靠员工的道德自律，更应该对访问用户信息的行为进行内部流程规范和相关 IT 审计技术的应用，对于那些人员可以访问到用户信息，访问到什么层次的信息，以及这些访问行为的相关日志和系统记录都要进行保留，如果出现问题可以及时的追查到问题的源头。(3)对应用户信息的访问和使用，以及相关行为的审计是需要不同人员进行操作的，避免了使用着和监督者为同一责任人而出现的问题。在公司的组织架构上也需要将二者分开管理，以便可以更好的行使监督和审计责任，提高内部信息安全的等级，提高了移动互联网的服务水平，同时也增强了用户的信心。
云计算的虚拟化、多租户和动态性不仅需要进一步强化传统的安全问题，同时也为移动互联网应用引入了新的安全问题。现在的移动互联网的商业模式都是基于云计算，而云计算从底层的架构层向平台层和应用软件层的不断深化，所要求的管理范围和内容也越来越多，例如安全管理、配置管理、性能管理、计费管理和故障管理等。
云平台的安全性和稳定性关乎着整个移动互联网用户的使用感受。在云计算所面临的所有挑战中，人们最为关心的就是安全性问题，这也是云计算还没有真正的普及到所有用户的一个很重要的原因。任何技术的出现和发展，都会有各色各样的问题，但是最为基础和重要且制约该技术发展的关键因素就是安全性。
用户本身并不清楚自己已经是云计算的使用者了。例如手机微信就有一个通讯录安全助手的功能，该功能实际上将用户手机通讯录中的联系人上传到服务器，而后台的服务器通过云存储来保留这些数据。用户对于自己的联系人信息保存在哪里并不之情，是深圳、北京、上海等腾讯机房的数据库服务器中。但是也经常会听到各大移动互联网公司受到网络攻击，造成了数据的泄露和丢失，而由此造成了各种严重后果都是用户自身来承担。在使用这些云计算功能的时候，都必须同意厂商的使用协议，而这些协议中都包含了相关的免责条款。出现了问题，用户索赔无门。随着国内外类似的事件发生，人们对应云计算的安全性会更加的怀疑。
在中国非常普及的即时通讯软件 QQ，也推出了基于英文的国际版和基于日语的日本版。国内 QQ 的用户数据，各种关联关系和聊天纪律都保留在腾讯位于中国的服务器中。但是国际版和日文版的上述数据是否也保留在中国，还是保存在海外，国际版和日文版的用户并不知晓。百度也在日本突出了基于日文的搜索引擎和输入法，但是前不久日本政府告诫本国民众不要使用百度日文输入法，因为百度日文输入法的数据没有存放在日本境内的百度服务器中，而是通过网络传回了中国。现在云计算厂商对应存储在自己服务器中的数据有最优先的访问权。但是各个国家法律也不尽相同，对于数据保存和访问的规定也不相同，这样也就无法要求云计算提供商必须把相关数据保存在提供服务国家内部，也无法在全球提供统一要求的访问优先级。
用户将自己的数据上传到云存储之后，会关心上传的数据库是否只有自己才可以访问，云供应商如何验证是否是上传数据的用户来访问这部分数据。云供应商是否有监督管理员是否随意访问用户的数据？是否访问都留有日志？如果出现非法访问，如何通知用户？移动网与传感网的融合：“万物沟通”物联网时代，对传统平台单一认证及管理带来的挑战，引入新的安全需求。业务是移动互联网重要基础设施，运营商将加大内容安全、业务流程安全、云计算等平台安全建设，保障绿色、便捷、安全的业务应用环境。
3.4 物联网提出了新的安全需求
物联网（The Internet of Things) 是“万物沟通”的、具有全面感知、可靠传送、智能处理特征的连接物理世界的网络，实现了任何时间、任何地点及任何物体的连结。
可以帮助实现人类社会与物理世界的有机结合，使人类可以以更加精细和动态的方式管理生产和生活，从而提高整个社会的信息化能力。在信息化开始的初期，计算机都是独立的进行信息的处理和分析，随着网络的发展，计算机便可以通过互联网进行信息的交换和协同处理，在未来的发展趋势是万物的信息感知、交互以及处理的物联网，例如：当司机出现操作失误时汽车会自动报警；公文包会提醒主人忘带了什么东西等等。物联网也是在传统的互联网和新兴的移动互联网的基础上发展出来的网络系统。
传统的互联网是计算机与计算机之间的联系，移动互联网是智能终端之间的交互，而物联网则是物品之间的信息通讯。它通过未来扫描技术来感知这个物体的存在，在依靠本身条码的识别进行物品信息和属性的判断，随后依靠无所不在的网络将信息传送出去。物联网会带来以下新的安全需求：
(1)分布式的终端，使得集中式的防护模式可能不适用，如传统的防火墙集中保护无法实现。物联网是靠着各种终端来分析和处理信息，而传统的保护模式是大规模的服务器在单独的机房中，首先在地理位置上进行隔离。使用硬件防火墙来防范各种网络攻击从而保护数据。但是物联网时代不同，终端类型非常小巧、便携而且分布于各个地点，就不可能使用传统的地理隔离和集中保护的方法了。
(2)物联网中 M2M（Mobile to Mobile）终端(如智能电表、火警报警器、室内监控器等)都是不移动或者固定范围内移动的，要求节点的非法移动必须受到监控。这些设备都为智能感知性设备，是为了检测一些重要的数据而部署使用的，由于有些数据采集的环境较为特殊或者严格，常常替代人来做 24 小时不间断的监控和收集工作。而攻击者会对这些无人值守的设备作为突破点进行攻击，一旦设备被人非法利用，它就成为攻击者与物联网系统包括其他设备的桥梁。
(3)物联网中将会包含大量的隐私数据，如个人身份、位置信息、用水用电数据等，隐私信息的传输需要考虑对隐私信息的保护。物品上常常为了识别而贴上条形码或者二维码，这些识别码的信息就唯一标识用户的信息。如果这些信息被盗用或者破解，破坏者在通过新的标识码进行“钓鱼”，将正常的信息转发到伪造的网站，这样用户的所有的相关信息都被获取，用户的人身安全和财产就无法得到保护。如果是涉及到国家安全和机密经济政策的信息被“钓鱼”，将会危及国家安全和全社会的生产生活，要从国家安全的高度给予重视。
(4)物联网设备成为网络通讯的焦点，需要关注物联网设备本身的安全问题，如对设备标识的认证。对物联网设备身份的识别主要是通过蓝牙、红外等信号通过传递信息来进行。而这些传递方式本身的安全性就不高，特别容易被攻击。在加上物联网与互联网之间的通讯机制也是基于 TCP/IP 协议，互联网本身安全问题在物联网上同样存在，而且物联网设备本身型号不同、功能不同、传输的协议不同、数据格式不同、加密和解密的方式不同等等这些原因，使得物联网的信息安全问题更加严重。在加上物联网设备数量庞大，一旦收到病毒或者黑客的攻击，几十万甚至上百万的设备同时进行超过正常使用的大数据量的交换，会导致整个物联网的瘫痪。
