Michael Cobb是認證信息系統安全架構專家(CISSP-ISSAP)，知名的安全作家，具有十多年豐富的IT行業經驗，并且還從事過十六年的金融行業。他是Cobweb Applications公司的創始人兼常務董事，該公司主要提供IT培訓，以及數據安全和分析的支持。Michael還合著過IIS Security一書，并為領先的IT出版物撰寫過無數科技文章。此外，Michael還是微軟認證數據庫系統管理員和微軟認證專家。

NSA最近批準KNOX平臺可用于保護基于Android的三星設備中的機密數據，但我聽說，該平臺并沒有想象中那么安全。三星KNOX有哪些安全問題?企業應該怎樣做來緩解其帶來的風險?

[[135960]]

Michael Cobb：三星KNOX被設計用于解決開源Android平臺中的安全缺陷，它提供獨立的分區或容器，以隔離個人數據和業務數據。其中容器有其自己的加密文件系統，讓受保護的應用與容器外的應用隔開。

KNOX軟件被安裝在各種三星Android Galaxy設備中。三星Galaxy4、5和Galaxy Note3以及Note10.1 2014版最近都經過NSA審核，被列入保密項目商業解決方案組件清單(CSfC)中，在結合KNOX管理套件使用時，這些設備可用于機密政府網絡和數據。這對三星的SAFE(Samsung For Enterprise)起著重要的推動作用，可幫助推廣其設備到企業和政府客戶。

KNOX應用需要用戶使用密碼和PIN登錄，但一名安全研究人員最近發現，PIN以純文本格式存儲在名為pin.xml的文件中。任何可訪問該手機的人都可以讀取純文本PIN，并用它來找回忘記密碼提示，而這剛好是該密碼的長度，其中第一個和最后一個字符可見。另外，所使用的加密密鑰就是該設備的Android ID和硬編碼字符串。

這看起來似乎像是三星KNOX的重大安全問題，但正如我以前所說，我們應該查看頭條新聞背后的原創性研究，看看真正的問題是什么，以及它是否真正會危及數據和網絡安全。這可以避免企業將資金和人力浪費在與其IT環境不相關的威脅中。

這位研究人員的說法是對的，并且很多人都在傳播這種說法，但這其實只是針對預裝KNOX Personal應用。KNOX EMM是用于管理用戶、應用和跨平臺設備的云計算管理產品，它并不是該研究人員分析的一部分。顯然，以純文本保存用戶的PIN以向用戶提供密碼提示的做法僅限于KNOX 1.0的Personal容器，該容器旨在讓消費者體驗KNOX容器。也許事實是這樣，但以純文本形式存儲任何登錄憑證都很難讓人接受，更讓人難以接受的是，在三星網站并沒有指出個人容器的安全性要弱于企業容器。三星只是聲稱：“KNOX企業容器不會存儲任何可替換PIN用于密碼恢復目的”以及“三星KNOX設備已通過多項安全認證，包括FIPS 140-2和MDFPP(移動設備基礎保護框架)等”。

雖然安全認證提供了一定的保障，但很多認證(例如FIPS 140-2)產品被發現有嚴重的缺陷，包括蘋果的GotoFail SSL漏洞和Blackberry OS 10漏洞—與Flash和Heartbleed相關。KNOX并不是開源產品，因此我們不可能對它如何部署安全性進行全面分析，并且，我們不清楚CSfC項目評估的是哪個版本的KNOX。對于有較高安全要求的企業，一定要確保用戶不要使用Personal版本的KNOX，以保護敏感數據的安全，并應對保持或處理敏感數據的產品執行自己的風險分析，畢竟安全認證不能百分百保證安全性。

另外，管理員需要了解其用戶使用的三星設備版本，以及每個版本實際支持的安全功能。安全團隊應關注三星和谷歌的警報信息，以保持了解最新情況，特別是因為Android 5.0 Lollipop開始利用KNOX容器技術。同時，最好使用內置Android加密來加密個人數據，因為這會使用基于密碼的密鑰導出函數((PBKDF2)，它不會保留在設備中。