Mindmap-Galerie Analyse der Sicherheitsanforderungen für mobile Anwendungen und Sicherheitsschutztechnik
Für die Sicherheit mobiler Anwendungen ist NetEase YiDun ein professioneller Anbieter von Anwendungsverstärkungsdiensten mit hoher Kompatibilität, Nullverlust, hoher Sicherheit und kostenloser Testversion. Für die Sicherheit mobiler Anwendungen bietet NetEase YiDun Anti-Reverse, Anti-Manipulation, Anti-Debugging und Anti -Sekundärverpackung. Warten auf eine Komplettlösung zur Anwendungsverstärkung.
Bearbeitet um 2022-10-11 17:41:08Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
Projektmanagement ist der Prozess der Anwendung von Fachwissen, Fähigkeiten, Werkzeugen und Methoden auf die Projektaktivitäten, so dass das Projekt die festgelegten Anforderungen und Erwartungen im Rahmen der begrenzten Ressourcen erreichen oder übertreffen kann. Dieses Diagramm bietet einen umfassenden Überblick über die 8 Komponenten des Projektmanagementprozesses und kann als generische Vorlage verwendet werden.
Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
Projektmanagement ist der Prozess der Anwendung von Fachwissen, Fähigkeiten, Werkzeugen und Methoden auf die Projektaktivitäten, so dass das Projekt die festgelegten Anforderungen und Erwartungen im Rahmen der begrenzten Ressourcen erreichen oder übertreffen kann. Dieses Diagramm bietet einen umfassenden Überblick über die 8 Komponenten des Projektmanagementprozesses und kann als generische Vorlage verwendet werden.
25. Analyse der Sicherheitsanforderungen mobiler Anwendungen und Sicherheitsschutztechnik
1. Analyse von Sicherheitsbedrohungen und Anforderungen für mobile Anwendungen
1. Zusammensetzung des mobilen Anwendungssystems
2. Analyse der Sicherheit mobiler Anwendungen
Die wichtigsten Arten von Sicherheitsbedrohungen für mobile Anwendungen sind folgende.
(1) Sicherheitsbedrohungen für mobile Betriebssystemplattformen.
(2) Angriffe auf drahtlose Netzwerke. Zum Beispiel gefälschte Basisstationen, Domainnamenbetrug, Phishing und andere Angriffsaktivitäten.
(3) Reverse Engineering des mobilen Anwendungscodes. Angreifer dekompilieren und analysieren den Binärcode mobiler Anwendungen, um an die wichtigsten Algorithmusideen des Quellcodes mobiler Anwendungen zu gelangen oder vertrauliche Daten zu stehlen.
(4) Illegale Änderung mobiler Anwendungen. Illegale Manipulation mobiler Anwendungen und Diebstahl von Benutzerinformationen. Es kann auch eine Bedrohung für den Server darstellen.
2. Sicherheits- und Schutzmechanismus des Android-Systems
1. Übersicht über die Zusammensetzung des Android-Systems
Android ist ein Open-Source-Betriebssystem für mobile Endgeräte. Seine Systemstruktur ist in die Linux-Kernelschicht (Linux Kenel), die Systemlaufzeitbibliotheksschicht (Bibliotheken und Android Runtime), die Anwendungsframeworkschicht (Application Framenork) und die Anwendungsschicht (Anwendungen) unterteilt.
Jede Schicht des Android-Systems ist unterschiedlich starken Sicherheitsbedrohungen ausgesetzt. Unter anderem geht die grundlegende Sicherheitsbedrohung des Android-Systems von Linux-Kernel-Angriffen aus. Zu den gängigen Formen gehören das Umpacken von APKs, Update-Angriffe usw. ---Zum Beispiel einen Trojaner implantieren und ihn dann verpacken
2. Sicherheitsmechanismus des Android-Systems
(1) Anwendungsschicht
Anwendungsschicht: Berechtigungsdeklarationsmechanismus. Zwischen Betriebsberechtigungen und Objekten werden einige Einschränkungen festgelegt. Nur durch die Bindung von Berechtigungen an Objekte können Sie das Recht haben, Objekte zu bedienen. Zu den Berechtigungen auf der Anwendungsebene gehören normale Berechtigungen, gefährliche Berechtigungen, Signaturberechtigungen und Signatur0rSystem-Berechtigungen. Normale Berechtigungen verursachen für Benutzer keinen erheblichen Schaden; gefährliche Berechtigungen können potenzielle Bedrohungen für Benutzer darstellen, z. B. das Lesen von Benutzerstandortinformationen, das Lesen von Signaturberechtigungen usw., was bedeutet, dass nur Anwendungen mit derselben Signatur auf Systemberechtigungen zugreifen können werden hauptsächlich von Geräteherstellern verwendet.
(2) Anwendungs-Framework-Schicht
Anwendungs-Framework-Schicht: Anwendungssignaturmechanismus. AAlle im Android-System installierten Anwendungen müssen über ein digitales Zertifikat verfügen. Dieses digitale Zertifikat wird verwendet, um die Vertrauensbeziehung zwischen dem Autor der Anwendung und der Anwendung zu identifizieren.
(3) Systembetriebsschicht
1||| Sandbox-getrennte Maschine.
2||| Verwenden Sie das SSL/TSL-Protokoll, um die Netzwerkdatenübertragung zu verschlüsseln.
(4) Die Kernelschicht des Systems
Kernelschicht: Dateisystemsicherheit, Randomisierung des Adressraumlayouts, SELinux.
Die Kernelschicht des Android-Systems übernimmt Partitions- und Linux-ACL-Berechtigungskontrollmechanismen. Der Linux-ACL-Berechtigungskontrollmechanismus bedeutet, dass die Zugriffskontrollberechtigungen jeder Datei gemeinsam von ihrem Besitzer, der Gruppe, zu der sie gehört, und der Lese-/Schreibausführung gesteuert werden . Den Dateien werden bei der Erstellung unterschiedliche Anwendungs-IDs zugewiesen. Auf sie kann nur dann von anderen Anwendungen zugegriffen werden, wenn sie die gleiche Anwendungs-ID haben oder als global lesbar und beschreibbar eingestellt sind. Jede Anwendung verfügt über eine eigene Benutzer-ID und ein eigenes privates Dateiverzeichnis. Wenn das System ausgeführt wird, bietet Linux den äußersten Sicherheitsschutz. Die Partition, auf der sich system.img befindet, ist schreibgeschützt, und die Partition, auf der sich data.ing befindet, ist schreibgeschützt und wird zum Speichern von Benutzerdaten verwendet.
Hardwarebasierte NX-Unterstützung (NoeXecute) wurde nach der Android-Version 2.3 hinzugefügt, die keine Codeausführung im Stapel zulässt. Nach Android 4.0 wurde die Funktion „Address Space Layout Randomization (ASLR)“ hinzugefügt, um speicherbezogene Angriffe zu verhindern.
3. IOS-Systemsicherheits- und Schutzmechanismus
1. Übersicht über die IOS-Systemkomponenten
Die Systemarchitektur von IOS ist in vier Ebenen unterteilt: Core OS Layer, Core Services Layer, Media Layer und Cocoa Touch Layer.
(1) Berührbare Schicht.
(2) Medienschicht. Stellt Technologie für audiovisuelle Aspekte von Anwendungen bereit.
(3) Kerndienstschicht, die grundlegende Systemdienste bereitstellt, die von Anwendungen benötigt werden, wie z. B. Konten, Datenspeicherung, Netzwerkverbindungen, geografischer Standort, Bewegungsframework usw.
(4) Kernbetriebssystemschicht. Stellen Sie lokale Authentifizierung, Sicherheit, externen Zugriff, System- und andere Dienste bereit.
2. IOS-Systemsicherheitsmechanismus
Die Sicherheitsarchitektur der IOS-Plattform lässt sich in Hardware, Firmware und Software unterteilen.
Die Hardware- und Firmware-Schichten bestehen aus Geräteschlüsseln, Gerätegruppen-Verschlüsselungsstahl, Apple-Root-Zertifizierung, Verschlüsselungs-Engine und Kernel.
Die Softwareschicht besteht aus Dateisystem, Betriebssystempartition, Benutzerpartition, Anwendungssandbox und Datenschutzklasse.
Basierend auf dieser Gesamtsicherheitsarchitektur hat Apple verschiedene Sicherheitsmechanismen integriert, um die Sicherheit der IOS-Plattform zu schützen. Die wichtigsten Sicherheitsmechanismen sind wie folgt:
(1) Sichere Bootkette. Die Sicherheit der IOS-Plattform hängt von der Sicherheit der Startup-Kette ab. Um zu verhindern, dass Hacker den Startvorgang angreifen, müssen die im IOS-Startvorgang verwendeten Komponenten einer Integritätsüberprüfung unterzogen werden, um sicherzustellen, dass die Vertrauensübertragung kontrollierbar ist. IOS-Startvorgang: Nachdem ein IOS-Gerät eingeschaltet wurde, führt sein Anwendungsprozessor sofort den Code im Nur-Lese-Speicher (auch Boot-ROM genannt) aus. Dieser unveränderliche Code wird bei der Herstellung des Chips festgelegt und ist implizit vertrauenswürdiger Code. Der Boot-ROM-Code enthält den öffentlichen Schlüssel der Apple-Root-CA, der verwendet wird, um zu überprüfen, ob der zugrunde liegende Bootloader (LLB) von Apple signiert ist es zu laden. Der Boot-Pfad teilt sich nach dem Verlassen des Boot-ROM in zwei Ausführungspfade auf: Der eine ist ein normaler Boot-Modus, der andere ist der Geräte-Firmware-Update-Modus, der zum Aktualisieren des iOS-Images verwendet wird.
(2) Datenschutz. Es wird eine Datenschutz-API bereitgestellt, um dem Risiko von Datenlecks durch den Verlust oder Diebstahl mobiler Geräte zu begegnen. Die API macht es Anwendungsentwicklern so einfach wie möglich, vertrauliche Benutzerdaten, die in Dateien und Schlüsselbundelementen gespeichert sind, angemessen zu schützen.
(3) Datenverschlüsselungs- und Schutzmechanismus, und alle Benutzerdaten in IOS werden zwangsweise verschlüsselt (--- keine Benutzereinstellungen erforderlich). Die AES-Verschlüsselungs- und Entschlüsselungs-Engines von Apple sind auf Hardwareebene und befinden sich im DMA zwischen Speicher und System. Alle Daten im und aus dem Speicher müssen von der Hardware verschlüsselt und entschlüsselt werden, was eine höhere Effizienz und Leistung bietet. Darüber hinaus bietet IOS eine Datenschutzmethode namens File Data Protection. Alle Dateien verwenden beim Verschlüsseln unterschiedliche Schlüssel. Diese Schlüssel werden Profilschlüssel genannt und in Netafile gespeichert.
(4) Randomisierung des Adressraumlayouts. Verwenden Sie die ASLR-Technologie, um sicherzustellen, dass die Speicherorte von IOS-Binärdateien, Bibliotheksdateien, dynamischen Linkdateien, Such- und Heap-Speicheradressen zufällig verteilt werden, wodurch die Angriffsresistenz erhöht wird.
(5) Code-Signierung. Um Anwendungsangriffe zu verhindern, verlangt das iOS-System, dass alle ausführbaren Programme mit einem von Apple ausgestellten Zertifikat signiert sein müssen.
(6) Sandbox-Mechanismus. Durch den Sandbox-Mechanismus kann das böswillige Verhalten des Prozesses eingeschränkt werden
4. Schutzmechanismen und technische Lösungen für die Sicherheit mobiler Anwendungen
1. Sicherheitsrisiken für mobile Apps
Mobile Apps sind anfällig für Sicherheitsbedrohungen wie Dekompilierung, Debugging, Manipulation und Datendiebstahl.
2. Verstärkung der Sicherheit mobiler Apps
1||| Anti-Dekompilierung. Verschlüsseln Sie mobile Anwendungsdateien, um Angreifer daran zu hindern, statische Dekompilierungstools zu verwenden. Code-Verschleierung für mobile Anwendungen erschwert es Crackern, den Code zu lesen. Zu den gängigen Verwirrungsmethoden gehören Namensverwirrung, Kontrollverwirrung, Berechnungsverwirrung usw.
2||| Anti-Debugging. Die Anwendung stellt die Debugging-Erkennungsfunktion so ein, dass Anti-Debugging-Sicherheitsmaßnahmen ausgelöst werden, z. B. das Bereinigen von Benutzerdaten, das Melden der Situation des Geräts, auf dem sich das Programm befindet, das Verbieten der Verwendung bestimmter Funktionen oder sogar das direkte Beenden des Vorgangs.
3||| Manipulationsschutz durch digitale Signatur und Mehrfachverifizierungsschutzmethoden überprüfen die Integrität mobiler Anwendungen und verhindern das Umpacken und die Piraterie von APKs mobiler Anwendungen.
4||| Diebstahlschutz: Verschlüsseln Sie lokale Datendateien und Netzwerkkommunikation im Zusammenhang mit mobilen Anwendungen, um den Diebstahl von Daten zu verhindern.
3. Sicherheitserkennung für mobile Apps
Gemeinsame Inhalte der App-Netzwerksicherheit: Erkennung des Sicherheitsmechanismus für die Identitätsauthentifizierung; Erkennung des Sicherheitsmechanismus für den Protokollsicherheitsprozess; Erkennung von Anti-Manipulationsfähigkeiten; Erkennung von SOL-Injection-Funktionen: Erkennung von Anti-Phishing-Sicherheitslücken;
„Grundlegende Spezifikationen der Informationssicherheitstechnologie für die Erfassung personenbezogener Daten durch mobile Internetanwendungen (App) (Entwurf)“. Darunter sind für die Berechtigungen, die persönliche Informationen in Android 6.0 und höher sammeln können, der minimal erforderliche Berechtigungsreferenzbereich für Diensttypen angegeben. Die spezifischen Anforderungen sind: ① Kartennavigation: Standortberechtigungen, Speicherberechtigungen; ② Online-Ride-Hailing: Standortberechtigungen, Erlaubnis zum Telefonieren; ④Blog-Forum: Speicherberechtigung; ⑧Online-Shopping: keine; ⑩Essenslieferung : Standortgenehmigung, Transportgenehmigung: keine; ⑬Arbeitsplatzvergabe: Lagergenehmigung; ⑯Gebrauchtwagengeschäft: Lagergenehmigung; : Standortberechtigungen, Sensorberechtigungen; ⑱ Webbrowser: Keine; ⑳ Sicherheitsverwaltung: Speicherberechtigungen, Einholen von Anwendungskonten und Einholen von Telefonstatusberechtigungen.
5. Umfassende Anwendungsfallanalyse für die Sicherheit mobiler Anwendungen
1. Finanzielle mobile Sicherheit
Zu den häufigsten Sicherheitsrisiken gehören Trojaner, die die Mobiltelefone der Benutzer kontrollieren, Phishing-Apps, die Benutzerkontoinformationen erfassen sowie Benutzergelder stehlen und überweisen.
Sicherheitsschutzplan
1||| Implementieren Sie ein Entwicklungsmanagement für die Sicherheit mobiler Apps. Bereitstellung von Beratungsdiensten für finanzielle Unternehmenssicherheitsanforderungen, um Kunden dabei zu helfen, potenzielle Sicherheitsrisiken zu verstehen und das Geschäftsdesign zu optimieren. Berücksichtigen Sie beim Entwerfen einer App Aspekte der Anwendungssicherheit. Führen Sie Schulungen zur mobilen Sicherheitsprogrammierung durch, um das Sicherheitsbewusstsein zu stärken. Die App fügt Sicherheitsschutzfunktionen hinzu und bietet Sicherheits-SDKs und -Komponenten wie sichere Softtastatur, Anti-Interface-Bewegungssteuerung, SMS-Schutz und Standortfreigabe. Führen Sie Sicherheitsprüfungen und Risikoprüfungen für den Quellcode mobiler Anwendungen durch, um Sicherheitslücken im App-Code zu reduzieren und finanzielle Sicherheitsrisiken für Unternehmen frühzeitig zu erkennen.
2||| Der Kommunikationsinhalt der mobilen App-Netzwerke ist sicher verschlüsselt und geschützt, und das Kommunikationsprotokoll der mobilen Aoo-Anwendung ist verschlüsselt und geschützt.
3||| Verstärkung der Sicherheit mobiler Apps. Führen Sie eine Sicherheitsverstärkung der App durch, z. B. Dex-Verschlüsselung, Smal-Prozess-Verschleierung, also Dateiverschlüsselung, Schlüsselfunktionsverschlüsselung, und fügen Sie Anti-Debugging- und Dekompilierungsfunktionen hinzu.
4||| Mobile Aop-Sicherheitsbewertung. Bieten Sie Penetrationstestdienste für mobile Anwendungen an, um Sicherheitslücken in mobilen Anwendungen zu entdecken und Sicherheitsrisiken zu vermeiden. Sicherheitsüberwachung für mobile Apps.
5||| Phishing-Überwachung und -Reaktion: Überwachen Sie gefälschte und Phishing-Apps und reagieren Sie darauf. Kontaktieren Sie schnell Kanäle, um gefälschte und Phishing-Apps zu entfernen und so Auswirkungen auf die Sicherheit zu vermeiden.
6||| Überwachung und Reaktion auf App-Schwachstellen, Überwachung neuer und aufkommender Schwachstellen in mobilen Geräten, mobilen Anwendungen, Servern usw. und Vermeidung von Schwachstellenrisiken rechtzeitig. Überwachung und Reaktion auf Piraterie, Überwachung raubkopierter Anwendungen, die auf Vertriebskanälen für App-Anwendungen erscheinen, und Entfernung raubkopierter Anwendungen jederzeit.
7||| Situationsbewusstsein für mobile Bedrohungssicherheit.
2. Mobile Sicherheit des Mobilfunkanbieters
Sicherheitsbedrohungen
1||| Erfassung von Konto- und Passwortgeheimnissen.
2||| Ausbeuten.
3||| Schadcode.
4||| Böswilliges Löschen von Bestellungen und Bestellungen, Fälschen einer großen Anzahl falscher Identitäten/Stehlen echter Benutzeridentitäten, um Bestellungen und Bestellungen in großen Mengen automatisch zu löschen.
5||| Denial-of-Service-Angriff.
6||| Das Knacken des Abrechnungs-SDK durch Dekompilierung, Knacken und andere Mittel schützt und knackt das Abrechnungs-SDK für mobile Anwendungen des Betreibers.
7||| Phishing-Angriffe. Gefälschte echte Phishing-Mobilanwendungen usw.
8||| Bei Social-Engineering-Bibliotheksbetrug werden Benutzerinformationen über Raubkopien und stark nachgeahmte Anwendungen sowie andere geleakte Social-Engineering-Bibliotheken gesammelt, um Benutzer zu betrügen.
Sicherheitsschutzplan
1||| Stärken Sie Betreiber-Apps und alle über den Betreiber-App-Markt beworbenen Drittanbieter-Apps.
2||| Bietet Dienste zur Erkennung von Viren, Trojanern und bösartigem Code für AOPs von Drittanbietern, die an den Anwendungsmarkt des Betreibers übermittelt werden.
3||| Bietet Verstärkungsschutzdienste basierend auf Anti-Anpassung, Anti-Änderung und Anti-Cracking für das Abrechnungs-SDK des Betreibers.
4||| Verschlüsseln Sie die Kommunikationsprotokolle und Zertifikate des Betreibers.
5||| Bietet auf mobilen Anwendungen basierende Dienste zur Erkennung von Bedrohungssituationen und liefert Echtzeitwarnungen vor ungewöhnlichem Datenverkehr, Eindringungsangriffen, riskanten Apps usw., die mit dem Netzwerk verbunden sind.
3. Sicherheit für mobile Büros
Mobiles Büro ist vor allem mit folgenden Risiken konfrontiert:
1||| Das Gerät fehlt.
2||| Informationsleck.
3||| Angriff mit Absicht. Installieren Sie Schadprogramme, um Einbruchsangriffe auf Unternehmensserver durchzuführen.
4||| Gemeinsamer Zugriff. Mitarbeiter geben Geräte und Kontokennwörter weiter und geben vertrauliche Unternehmensinformationen preis.
5||| WLAN-Überwachung, Zugriff auf Phishing-Hotspots, Kommunikationsdaten werden gekapert und überwacht.
Als Reaktion auf die Sicherheitsprobleme mobiler Büros haben Sicherheitsanbieter technische Lösungen wie sicheren Zugriff für mobile Geräte, Sicherheitsmanagement für mobile Geräte, Verhinderung mobiler Schadcodes und Verstärkung der Sicherheit mobiler Apps vorgeschlagen.
360-Grad-Sicherheitsmanagementsystemlösung für mobile Endgeräte
Das Sicherheitsverwaltungssystem für mobile Terminals von 360 Tianji besteht aus zwei Teilen: Sicherheitsverwaltungsplattform und mobilem Client. Über die Verwaltungsplattform werden mit mobilen Clients ausgestattete Terminals sicher verwaltet und Dienste wie Terminalperipherieverwaltung, Konfigurations-Push und Systemparameteranpassung bereitgestellt Gleichzeitig werden in Kombination mit dem vom Administrator kontrollierbaren Sicherheitsrichtlinienmechanismus umfassendere Sicherheitsverwaltungs- und Kontrollfunktionen erreicht und die Probleme der Datensicherheit und Geräteverwaltung gelöst, mit denen Unternehmen im mobilen Bürobetrieb konfrontiert sind.