移動安全：解析iPhone安全問題
也許對于移動電話來說，最大的安全問題在于，很容易丟失或者被盜。除非丟失或者被盜的手機已經由其擁有者設置了保護以禁止未經授權的使用，理論上來說，任何得到手機的人都能夠與手機所有者一樣任意地查看手機信息。但是，當手機沒有丟失或者被盜的時候，可能出現怎樣的安全問題呢？本文將以蘋果公司的iPhone作為代表來探討移動手機安全問題。
2008年夏天，蘋果公司推出了3G版iPhone以及新版本的iPhone軟件(2.x)，雖然新軟件包括很多商業功能，其中存在的最潛在的安全問題就是iPhone用戶可以從蘋果公司的iTunes下載新的應用程序。iPhone手機就像小型的個人電腦，用戶可以購買第三方供應商開發的應用程序，到2009年4月，用戶已經成功下載了超過10億以上的應用程序。
這些應用程序涵蓋了各個領域的程序，包括醫療、公共事業、社會網絡、旅游、天氣、新聞等，用戶可以直接通過數據連接器下載到iPhone上或者通過使用安裝在電腦上的iTunes程序來下載。
由于在個人計算機上運行第三方應用程序可能導致很多安全隱患問題，IT管理員們也開始擔心員工電話上安裝的惡意iPhone軟件可能對企業造成安全威脅。這些裝置可能帶來的安全威脅包括：很多工作人員使用企業的受保護無線網絡將iPhone連接到互聯網;或者員工可能將企業關鍵信息(聯系人、數據文件等)保存在iPhone上。理論上來說，惡意軟件可能獲取或者修改敏感信息，甚至直接將敏感信息發送給未經授權的接收者。
除了少數情況外，一般情況下，iPhone擁有者只能通過蘋果的iTunes來獲取iPhone應用程序，并且只有在電腦上安裝了iTunes時才能訪問iTunes庫。通常，用戶不能從其他任何來源下載應用程序，或者與其他iPhone擁有者分享他們的應用程序，即使是免費的程序。這種壟斷模式使蘋果公司可以審查iPhone用戶安裝在其手機上的每一個應用程序，在緊急情況下，蘋果公司還可以遠程刪除或者禁用被安裝在iPhone上的惡意程序。
根據筆者的個人觀察與分析，iPhone操作系統的主要安全限制包括以下幾點：
· 沒有應用程序可以訪問iPhone操作系統文件
·沒有應用程序可以訪問其他應用程序文件(除少數例外)，應用程序創建的任何文件都必須保持在本地位置，例如，用于編輯Java文件的應用程序只能邊際該應用程序創建的Java文件，或者下載至該程序的文件。主要例外情況包括：第三方應用程序可能訪問和修改存儲的照片和電話聯絡簿。
· 沒有任何應用程序可以修改系統設置
· 如果一個應用程序崩潰，并且只有該程序崩潰，操作系統是不會受到影響的。在實際操作中，崩潰的程序可能導致系統需要重啟。
·iPhone應用程序可能會與電腦程序同步來交換或者更新程序的數據，但是同步又必須通過無線局域網絡連接來實現，而不能使用有線連接iPhone與電腦。
·應用程序允許通過使用iPhone的網絡連接與互聯網進行連接，因此，理論上講，應用程序內的任何數據文件都可以在不讓iPhone擁有者知情的情況下被發送到未經授權的目的地，這種就可能是木馬程序，雖然這種程序能夠逃脫蘋果公司的初步審查，而實際上木馬程序作者不知道其實是通過iTunes來傳輸的。
換言之，應用程序都是相互獨立的個體，雖然惡意軟件編寫者可能使用移動電話幫助盜取或者發布機密信息，但是這種可能性遠遠小于iPhone擁有者使用下載應用程序帶來的安全風險。正如上文所說，移動電話的主要安全風險在于丟失或者被盜。當員工的手機丟失或者被盜時，企業就需要為潛在的數據泄漏事故做好各種準備，除非該員工的手機裝了機密軟件。除了使用密碼或者個人識別碼(PIN)保護手機本身不受未經授權訪問外，還有幾個實用的加密和數據保護應用程序可供手機使用：
· SplashID
· 1Password
· My Eyes Only
· Verisign Identity Protection (VIP)
· Jaadu VNC
對于智能手機用戶而言，只有部署了適當的防范措施，企業安全管理人員才可以不再為手機安全而擔憂。
【編輯推薦】
