黑客教父龚蔚：扫码应用要警惕 公共WiFi攻不破支付软件

　　中国黑客教父、WiFi能钥匙首席安全官龚蔚　　

新浪科技讯 3月8日下午消息，WiFi能钥匙首席安全官龚蔚近日就互联网安全发表演讲，在这场科普性为主的安全讲座中，龚蔚从安卓手机的安全后门、应用层攻击、流量劫持、大数据黑产、山寨软件以及热点WiFi安全等讲诉了网络攻击的主要方式，以帮助用户提升安全认知。

　　龚蔚曾在2015年出任WiFi能钥匙首席安全官引起过讨论，但其后现身次数并不多。实际上，这位江湖人称“Goodwell”的技术大牛，素有中国黑客教父之称，是中国最早一代黑客的代表人物。其后还发起创立了绿色兵团和COG。(李根)

　　关于这次科普性为主的网络安全讲座，要点如下：

　　Root权限曾是最大安全威胁

　　移动互联网最早的安全威胁隐患来自于系统权限本身的威胁，早期系统在设计的时候不是那么完美，有各种各样的潜在的系统安全问题，这些系统安全漏洞可能导致被提权、远程的溢出等。

　　早期的系统漏洞都被一些攻击者利用来做提权取得系统root权限，这个root权限就是系统最高的权限，可以超越所有的用户对手机的操作。

　　恶意软件一旦取得root权限可以做很多超越用户所做的事情，比如手机关机以后可以窃听周边的环境。

　　当有系统最高权限的时候，按关机键的时候，我会给你放一段原本这个手机的关机画面，但是手机没有真正关机。

　　同时把你的手机做一个呼叫转移或者限制拨号，任何人打进来给他提示音“用户关机”，只有特定号码打过来你会自动接听并且开启免提，不会震屏、响屏，当按完关机用特定的号码打给你的手机，你的手机就会自动接听我的号码，并且开启免提。

　　不过随着时代的发展，现在主要的漏洞被发布，越来越完善，取得这些权限也会越来越难，尤其比如大家知道越狱、root越来越难，原本制作恶意软件的人会把攻击的目标或者重心移向到应用层，而且以前要获取用户的root权限是为了窃取你的银行帐号或者钱财的转帐或者其它信息它能够获利。

　　路边的扫码应用要警惕

　　随着互联网的发展，可以用更多的手段来获利，也就是说它已经不需要root权限，在应用层就可以变现。

　　应用层如何变现?应用层主要攻击的入口。首先是权限的声明，然后是恶意软件还有山寨的泛滥以及代码的植入。权限声明很简单，现在所有的应用层的软件都会大量申请各种各样的系统权限，GPS位置、定位、通话记录等等。

　　来自CNSeart的数据，2013年恶意软件被感染的用户数量是609，2014年2292，2015年1点多亿，恶意软件的数量从2011年6000多个，到2015年的16个，恶意软件是一个恶意程序，国家也好，法规也好，用户也好，安全意识的提高，它的生存空间越来越小。

　　它们以前通过恶意软件植入手机获取你的隐私来变现倒卖，现在因为打击力度越来越大，转向另一种盈利的模式，我们把它叫做山寨软件。

　　在所有的应用市场尤其工具类，一款知名的移动端App至少有一百多种以上的山寨，它可能是LOGO一样、名称相似、皮肤一模一样，这些山寨的程序很难让用户分辨清楚哪些是真哪些是假，这些山寨的应用有很多变现的方法。

　　比如走在路上很多人让你扫一下码装一个应用软件，如果遭遇山寨软件仿冒进入手机，它先是仿冒某一款进去，然后晚上12点后通过后台推送大量的软件，如果发现你的手机经常第二天开机多了几个软件的话，可能就是在半夜被推入一些软件，而这些推送可以大量变现，一个软件的成本可能达到15元。

　　当植入这些山寨软件以后，并不带有明显的攻击行为，有一些恶意程序会仿冒直接进来偷取信息帐号，还有大部分潜伏在那里，可能也提供一些通常的服务，只是你不知道你用的是山寨的，但它往往在后台会有一些其它的变现手段，或者某一天它就用你的手机去投票，甚至晚上给你推一个软件过来等等。

　　代码植入

　　在移动互联网应用层还有一件事情不得不说新形态，叫做代码植入。

　　去年开始，有些恶意程序找到了源头，比如Xcode事件，所有苹果开发的人员都会用一款开发工具叫做Xcode，用这款工具开发iPhone手机端的移动App。

　　恶意攻击者会对原有的Xcode进行代码改编植入一个后门，所有用这个软件开发的苹果App都会被相应植入后门，就像基因遗传一样，在原始的开发工具里面植入了一段后门。

　　为什么开发者会下到改过代码的程序?一般来讲，Xcode需要到苹果官网去下，但因为国外网站打开速度慢，于是有些程序员便通过搜索引擎直接下载，或者一些网盘的资源，这成为隐患。

　　大数据黑产

　　目前移动安全的一些新形态值得我们关注，比如在数据层。我们现在都知道每家公司都在做大数据、都在讲大数据，随着数据的搜集，对用户的精准画像。

　　但数据搜集带来用户隐私的问题越来越突出，更可怕的是这方面黑道走在白道前面。

　　我们所知道的所有大数据厂商大家所知道的知名BAT，从来没有听说过BAT大数据共享的，比如你在淘宝买的什么东西可以和你在百度搜索过什么东西大家互相结合来刻画你。

　　但是黑客产业链的信息是互通的，今天我有你一张身份证，明天和有你电话号码的那个人进行资源互换，后天和有你银行卡的人资源互换，在地下产业非常频繁，而且它们这种大数据的整合能力勾划你整个人是怎么样的，非常强，互相合作的意识非常强，他们做规划的时候非常精准，他们走在你的前面。

　　所以权限方面要慎重。

　　我们刚才讲到了，在数据层很多厂商为了获取信息希望获取更多的权限，这些权限就可能被滥用。

　　比如一款看图软件也会要通话记录、通讯录等。哪怕是计算机都会要你去GPS位置，一个日历应用也会要你GPS，可能有些厂商是为了以后更好服务，但现在没有明确的法律和标准来规范，这就存下隐患。

　　WiFi热点能攻破支付类软件?

　　往常大家讲到连接公共WiFi的时候谈虎色变，很多人都说不能连公共WiFi，公共WiFi会怎么样怎么样，经常也有一些展示绵羊墙让你上墙，隐私泄露。

　　在这儿给大家做一个技术普及，几乎所有的支付类软件和大部分知名品牌的软件在核心数据交换的时候都是加密通信的，银行类的软件、支付类的软件，支付的时候是加密通信的，这是有法规要求的，必须加密。

　　而加密通信的流量完全可以放心，就算流量挟持，不知道里面是什么东西，无法篡改，本身支付类软件设计的时候就考虑到被挟持这样的问题。

　　流量挟持可能泄漏你的隐私，看过什么样的网站、搜索过什么东西，可能这些都是明文没有加密的传，这些可以获取得到。

　　但是支付类的、银行类的，转帐之类绝对放心。从我们安全的角度来说，都有加密保护，如果没有加密保护就不符合合规性的要求。

　　还有公众好奇WiFi热点连接怎么做安全。从我们WiFi能钥匙安全解决方案来说，主要有三个架构，从事前、事中和事后。

　　首先在事前，我们会对所有的WiFi热点包括历史的数据进行画像，在用户还没有连上WiFi的那一刻，我就可以告诉你这个节点是否安全。

　　当一枚硬币抛向空中那一刻，其实结果已经确定，只是我们不知道而已。如果能捕获到所有和抛硬币相关的力度，角度、高度等等参数，我就能准确预测它的结果。同样，WiFi是否安全也不是随机的，只要我能捕捉到它的所有数据就能算出来。

　　基于这个理念，我们对所有的WiFi节点取样，并分析历史数据，比如一个WiFi节点位置是否发生过移动?它的存活时长是一天还是一年前就存在?有哪些人连接过它?这个WiFi热点的硬件厂商是怎么样?历史上有没有发生过ARP的攻击?通过这些数据建模，进行分析就可以实现相当准确的安全判定。

　　当你连接上WiFi以后，我们会帮你实时检测当前连接的环境是否存在攻击行为。同时提供一个叫安全隧道的数据加密功能。我们的设计初衷是：即使这是一个钓鱼节点，即使这是一个恶意攻击者部署的窃取信息用户隐私的节点，我照样要使用它的热点，而且做到信息不泄露，现在我们的加密隧道已经完全可以做到。在这之后，我们提供了一个WiFi安全险，假设你使用WiFi能钥匙连接WiFi之后遭遇了相关的攻击，引起觉财产损失，可以向我们理赔，但目前该保险推出了一年多，还没有一起索赔的事件。

　　总之，移动安全由一开始的单一形态向如今纷繁复杂的多形态发展后，安全威胁变得越来越多，WiFi能钥匙作为一款以分享经济帮助用户连接免费公共WiFi的上网工具，也希望能为公众WiFi安全做出一些贡献，帮助提升公众整体网络安全水平。