如何開發下一代高度安全的 App
移動手機應用程序（App）生態系統的一大好處就是它使得我們的生活更加方便和容易，而不好的一面就是這些 App 越流行，它們就越有可能受到黑客的襲擊。當 App 在我們的生活中扮演的角色越來越重要的時候，例如通過我們的手機進行金融交易，或者上傳我們的健康數據等，我們的個人數據就越有可能發生泄漏。安全攻擊不僅會影響用戶的個人信息和敏感數據，同時也會對商業、政府和軍隊產生巨大威脅。
因此，作為程序的開發人員，你就有責任和義務來確保你客戶的數據的安全，保證它們不會受到黑客的侵擾。而保護消費者私人數據安全的一種方法是通過安全手段來保證我們的每一次操作的安全。當開發人員在進行移動 App 開發的時候，他們需要注意以下這些因素。
1 二元認證
我們使用的密碼很容易被忘記或者被黑客竊取。有時候，是因為密碼太過簡單，從而使得很多人都可以經過幾次嘗試以后猜到密碼。對于那些存儲有大量私人信息的 App，一旦被黑客知道，這也就意味著巨大的損失。二元密碼認證則可以幫助解決這個問題。其最常見的形式就是當你在登陸一款 App 的時候，你可以通過事先預留的郵箱或者手機來獲得包含隨機密碼的郵件或者信息。只有當你輸入這串密碼的時候，你才可以登陸你的 App。那些儲存有你敏感信息的 App 應該在你不使用的時候登出，當你再次使用的時候需要再次登陸，這樣就會來到我們將要討論的下一個問題。
2 用 Oauth2 來構建 Mobile API 安全系統
也許你已經聽過 OAuth，這是一種用于不可信設備的用于確保 API 服務的原型，它提供令牌驗證的方式來對移動用戶進行授權。OAuth2 采用的這種授權方式是，它限定了授權令牌的使用時間。當用戶登錄移動設備的時候，用戶會輸入登錄賬號和密碼，這時就會為用戶創造訪問令牌，并且在移動設備進行儲存。一旦訪問令牌過期，使用者就需要再次登錄才能繼續使用。OAuth2 并不需要使用者在一個并不安全的環境下儲存 API 密匙。相反，它可以產生一個訪問令牌，這個令牌可以暫時儲存在非信任的環境中。這種機制運行得非常好，這是因為即便黑客獲得了使用者的訪問令牌，它也會很快過時。
3 安全套接層 SSL(Secure Sockets Layer)
OActive Labs 研究人員 Ariel Sanchez 測試了 60 家全球影響力最大的銀行中的 40 種移動銀行 App，其研究結果是：40% 經過審計的 App 并沒有驗證 SSL 證書的真實性。而很多的 App（大約 90%）在整個應用中包含了一些非 SSL 鏈接。在這種情況下，攻擊者可以攔截流量，并通過創見創建任意的 JavaScript/ HTML 代碼來制造一個假的登錄提示，從而造成使用者信息泄露。通常情況下移動 App 不能有效地執行 SSL 驗證，從而使得使用者很容易受到這方面的攻擊。使用 SSL/TLS 來進行遠程交流的 App 需要檢查其服務證書。
4 加密
AES，即高級加密標準（Advanced Encryption Standard），是目前用于對稱密鑰加密的最流行的算法之一。同時它也是一種「黃金標準」加密技術；很多具有安全意識的企業則會要求他們的雇員使用 AES-256 (256 - 比特 AES) 來進行通訊交流。事實上，公司應該使用那些經過安全組織調整的現代算法，例如具有采用 256 比特的 AES 進行加密。
當你在設計 App 的時候，如果你可以確保使用者的數據安全，那么你的 App 就會更加吸引用戶，并且幫助你建立良好的安全因素。而這也會幫助你獲得和留住更多的用戶。
為了和這些安全攻擊進行斗爭，世界對于網絡安全公司的關注也越來越多，而緊跟著的就是一些巨額投資。由此每年也產生了成千上萬的工作崗位。為了支持這些產業的發展，全世界也發展出了一些網絡安全生態系統，將公司、風險投資、人才和專業技術集中在一小塊區域內。接下來要介紹的就是網絡安全領域的一些頂級中心。
1 硅谷（Silicon Valley）
硅谷是絕大多數領先的網絡安全公司的大本營。該地區很大一部分的風險投資都投入到了防病毒、防欺騙和反黑客軟件領域。數據保護也是一個日益增長的方面，且這些威脅不緊來自外部黑客的攻擊，也會來自內部。例如，根據 McAfee 的創始人 John McAfee，最近阿什利麥迪遜數據泄露就是由該網站的一名女性雇員造成的。
預防內部人員造成數據泄露也是硅谷公司正在努力的一個方向。硅谷整體的權威和高科技產業的主導地位使得其成為了網絡安全初創公司的不二之選。公司、軍隊和政府都轉向該區域尋求網絡安全保護，以免遭黑客和恐怖主義的襲擊。在今年 4 月，美國國防部宣布和硅谷公司展開合作，以保護數據的安全。一些公司，例如 Cylance、Ionic Security 和 Symantec 的總部都設在硅谷。硅谷的初創公司還在繼續成立、創新、合并和變革，毫無疑問，這里的很多公司都將網絡安全視為巨大的機遇。
2 以色列（Israel）
以色列初創公司的蓬勃發展、嚴重的安全威脅和軍事情報單位大量的人才流動使得這個國家成為了全球網絡安全領域的超級大國。在過去的數年間，網絡安全的協同作用在初創公司、跨國科技巨頭、學術界、軍事和政府之間建立起來。「將以色列打造成一位安全領域內的領導者是政府的一個目標，而國家總理也對此非常重視。以色列很有可能成為世界兩大網絡安全中心中的一個，對此我非常樂觀。」Nadav Zafrir 說。Nadav Zafrir 是 team8（位于特拉維夫的一個非常規的風險投資公司，主要投資領域為創新型網絡安全公司）的創始人。在這個國家中有超過 200 個網絡安全公司，大多數都集中在特拉維夫和耶路撒冷，每年的網絡輸出達到了 30 億美元。其中的領導者包括 Check Point、CyberArk、Imperva 等。
3 紐約市（New York City）
紐約市的金融區和企業財富創造了對于網絡安全的巨大需求。為了解決這些問題，安全公司紛紛建立起來。許多公司都致力于保護股票市場，防止銀行和金融欺騙。該市有大量的資本進入到了網絡安全領域，但是其獨特的位置增加了該區域的網絡安全活動。頂級的初創公司包括身份驗證公司 Socure，事件解決方案供應商 UpLevel 和數據泄露預防公司 Third Party Trust。
4 波士頓（Boston）
波士頓是 MIT 和哈佛的所在地。這里的天才已經創造了很多數學天才、科技專家和工程師，同時也成為了一個網絡安全中心。這里的一些頂級公司包括主要軍工承包商 Raytheon、安全密碼解決方案提供商 SQRL 和安全分析初創公司 Rapid7，并且這些公司也持續募捐數百萬美元成立基金。該地區的很多新公司也獲得了成功。BitSight 科技宣布在 6 月份獲得了 2300 萬美元的融資，而 Barkly 獲得了 1250 萬美元的資金。
5 倫敦（London）
CyLon，或者倫敦網絡是歐洲第一個網絡安全加速器。該公司致力于幫助商業開發信息安全技術和相關產品，同時幫助倫敦的網絡安全的成長。CyLon 的成員包括 CyberLytic、Intruder 和 Sphere Secure Workspace。不僅如此，英國政府也推出了相關的活動和項目來解決網絡犯罪，增加相關領域的知識和意識。
