Microsoft、移动与安全
蓝帽会议
/作者：bluehat
2007年9月27日
4分钟阅读
Ollie Whitehouse
架构师，高级威胁研究，赛门铁克公司
如果有人告诉我，有一天我会被微软邀请去谈论一个我断断续续研究了六年多、并且大部分时间都充满激情的主题，我可能会说“不太可能”。但当我写下这篇文章时，这确实是我正在做的事情。微软第二次邀请赛门铁克的员工在蓝帽会议上发言——Matt Conovor是第一个谈论堆溢出的人。
在我详细介绍我在蓝帽会议上的演讲内容之前，让我先简要介绍一下移动设备安全的背景以及我们目前的处境。今天，我们处在一个大多数设备都存在安全风险的世界——然而，由于这些设备操作系统的专有性质，这些风险在大多数情况下很难被利用。
这些专有系统本质上几乎没有或根本没有公开信息——这甚至阻止了最有决心的攻击者进行逆向工程和利用，除非他们能够获得仅限于少数人的资源。然而，随着COTS（商用现成品）在手机上的出现和普及，这种情况正在改变。
今天，我们有三个主要参与者——Symbian、Windows Mobile（CE）和Linux。这些系统由于设计为设备开发者、运营商以及售后市场定制、扩展和开发，因此在同一操作系统运行的设备中存在共性，并且有大量信息可用。这反过来有助于成功的利用——我们还看到了其中两个平台（Symbian和Windows Mobile）上传统恶意代码的出现。
正如我多次说过的那样，说这种恶意代码的规模与桌面端相同只会夸大其词。然而，以下观点是真实的——我们现在拥有的移动设备具有如此普遍的通信能力，并且与桌面端相比，在安全演进上至少落后一两代。这意味着，随着移动设备上数据的价值和敏感性增加，再加上它们的普及度提高，它们与企业基础设施的连接也在增加。桌面端变得越来越难攻击的事实意味着，逻辑上，我们迟早会看到针对移动设备的最佳情况是定向攻击，最坏情况是像今天桌面端那样的大规模疫情。
许多人问为什么我们至今没有看到广泛的移动攻击。我的回答通常很简单，有时很短——那就是“当桌面端仍然如此富有时，为什么要费心呢？”我们必须记住，攻击者是懒惰的——他们很少会主动创新——通常只有在被迫时才会选择新目标。这一点，再加上手机市场在三个主要参与者之间相当分散，以及专有平台的混合，意味着以非歧视性方式定位正确类型的设备进行攻击或传播（微软在这个领域没有90%的份额）要困难得多，并且很可能失败。攻击也更有可能被检测到，并在可能的情况下在网络中安装缓解措施，并将签名推送到手机防病毒软件中。
然而，我们有一个很好的例子，大多数供应商都犯了某种错误——那就是蓝牙。一个标准，多种实现，许多错误——这证明了实现问题或标准解释通过基于标准栈的溢出可能存在于许多供应商开发的代码中，对安全产生影响。这是一个相当大的恐慌——但自那以后，行业还没有需要应对这种规模的任何事情。
所以，在我啰嗦太久之前，谈谈我来微软要讨论的内容。嗯，我在高级威胁研究部门工作了近两年，之前是在赛门铁克的政府研究部门。我一直在研究移动设备和网络容易受到的各种威胁。部分研究已在赛门铁克博客上总结[1][2]。其余部分仅针对我们的内部产品团队。作为这项研究的一部分，我花了很多时间记录移动设备的攻击面[3]，并对Windows CE/Mobile进行了一些更深入的分析。我来到微软就是要介绍这两个主题。总之，我的演讲涵盖：
- CE 5.x、WM 5和WM6的安全态势概述
- CE 5/WM 5 & 6对rootkit的易感性，以及为什么与桌面端没有真正区别[4]
- 移动设备攻击面
- 与MSRC讨论安全问题的经验[5][6]
目标实际上是让听众记住六个信息：
- 与桌面端相比，对CE/WM的安全投资相形见绌
- 净结果是它没有许多与桌面端相同的缓解措施
- 它容易受到的漏洞与桌面端没有不同，其影响也不小
- 通信的普遍性意味着它们拥有当前存在的任何系统中最大的攻击面
- 通过今天解决这些问题，我们可以避免重复在桌面端看到的持续战斗——即，让我们从以前发生的事情中学习
说到这里，我想我已经打够了字，所有内容都相当逻辑，相当直接……
我为改变和改进举杯！
[1] http://www.symantec.com/enterprise/security_response/weblog/security_response_blog/mobile_wireless/
[2] http://www.symantec.com/enterprise/security_response/weblog/authors/ollie_whitehouse.html
[3] http://www.symantec.com/enterprise/security_response/weblog/upload/2007/02/MobileThreatBlog-lg.jpg
[4] http://www.symantec.com/enterprise/security_response/weblog/2007/07/windows_cemobile_rootkits.html
[5] http://www.symantec.com/enterprise/security_response/weblog/2006/05/the_elephant_under_the_carpet.html
[6] http://www.symantec.com/enterprise/security_response/weblog/2007/04/the_elephant_is_still_under_th.html
——————