◆申鴻燁 于維海

（沈陽(yáng)廣播電視大學(xué) 遼寧 110003）

Android網(wǎng)絡(luò)學(xué)習(xí)平臺(tái)安全架構(gòu)的相關(guān)研究

◆申鴻燁 于維海

（沈陽(yáng)廣播電視大學(xué) 遼寧 110003）

目前，鑒于手機(jī) Android 網(wǎng)絡(luò)學(xué)習(xí)平臺(tái)的廣泛應(yīng)用，Android 平臺(tái)的安全就成了一個(gè)嚴(yán)重問(wèn)題。本文首先從Android 網(wǎng)絡(luò)學(xué)習(xí)平臺(tái)存在的網(wǎng)絡(luò)安全問(wèn)題，如：手機(jī)端木馬、網(wǎng)絡(luò)入侵、網(wǎng)絡(luò)攻擊等分析出發(fā)進(jìn)行研究，最后給出了Android 網(wǎng)絡(luò)學(xué)習(xí)平臺(tái)網(wǎng)絡(luò)安全的保護(hù)措施。

手機(jī)網(wǎng)絡(luò)安全；Android 平臺(tái)；安全措施

0 引言

沈陽(yáng)廣播電視大學(xué)在全國(guó)范圍內(nèi)較早地開展了終身教育工作，終身教育學(xué)院和繼續(xù)教育學(xué)院自2007年起，陸續(xù)與沈陽(yáng)市的凱旋社區(qū)、振興社區(qū)等10余個(gè)街道和社區(qū)、遼寧省保監(jiān)會(huì)，沈陽(yáng)市財(cái)政局，沈陽(yáng)市藥監(jiān)局，沈陽(yáng)市交通局等多個(gè)行業(yè)主管部門開展遠(yuǎn)程終身教育合作，依托沈陽(yáng)終身教育學(xué)習(xí)平臺(tái)(http：//www.syeee.net/)，實(shí)現(xiàn)了現(xiàn)代信息技術(shù)與終身教育的深度融合。大力開展“百名教授進(jìn)社區(qū)”等活動(dòng)，開發(fā)了沈陽(yáng)市干部在線學(xué)習(xí)網(wǎng)、沈陽(yáng)市公務(wù)員在線學(xué)習(xí)網(wǎng)等諸多終身學(xué)習(xí)子平臺(tái)，學(xué)員可以通過(guò)PC或者Android手機(jī)移動(dòng)端參與學(xué)習(xí)，切實(shí)為全市市民提供了人人皆學(xué)、時(shí)時(shí)能學(xué)、處處可學(xué)的在線學(xué)習(xí)環(huán)境。學(xué)習(xí)平臺(tái)時(shí)刻面臨著來(lái)自互聯(lián)網(wǎng)的各種訪問(wèn)，也時(shí)刻存在各種網(wǎng)絡(luò)攻擊，為保證平臺(tái)能夠?yàn)橛脩籼峁┎婚g斷的流暢服務(wù)，網(wǎng)絡(luò)安全極其重要，提高網(wǎng)絡(luò)安全性迫在眉睫。鑒于手機(jī)Android平臺(tái)的廣泛應(yīng)用，Android平臺(tái)的安全研究具有深遠(yuǎn)意義。

1 Android網(wǎng)絡(luò)學(xué)習(xí)平臺(tái)網(wǎng)絡(luò)安全問(wèn)題分析

Android網(wǎng)絡(luò)學(xué)習(xí)平臺(tái)的服務(wù)器被托管在學(xué)校機(jī)房，服務(wù)器端使用asp.net開發(fā)，通過(guò)專線與外部連接，由Web服務(wù)器、SQL Server數(shù)據(jù)庫(kù)服務(wù)器、Windows Media Server流媒體服務(wù)器等多臺(tái)服務(wù)器組成，另外包括磁盤陣列、防火墻等，因此，存在以下安全問(wèn)題：

1.1 手機(jī)端木馬

木馬程序是指由計(jì)算機(jī)遠(yuǎn)程控制另一臺(tái)計(jì)算機(jī)，包括控制端和控制端兩個(gè)應(yīng)用程序。不同于病毒，木馬最初沒(méi)有主動(dòng)傳播，而是偽裝成一個(gè)正常的應(yīng)用，吸引服務(wù)器管理員安裝并運(yùn)行，然后躲在服務(wù)器后，在管理員未知情況下，服務(wù)器端的信息被發(fā)送到控制終端，也可以通過(guò)遠(yuǎn)程終端控制操作，在不知不覺(jué)中破壞服務(wù)器，竊取文件等操作，對(duì)信息安全服務(wù)器的嚴(yán)重威脅。

例如，Backdoor.AndroidOS.Obad.a木馬，能利用 Android操作系統(tǒng)未知的漏洞提升程序權(quán)限，并能阻止被感染機(jī)器試圖卸載惡意程序，通過(guò)悄悄向增值服務(wù)號(hào)碼發(fā)送短信獲利，此外，還能下載額外的模塊，并通過(guò)藍(lán)牙連接傳播，還具有其它先進(jìn)功能，包括復(fù)雜的代碼混淆技術(shù)，利用Android未知的漏洞，阻止刪除等，可見(jiàn)木馬對(duì)安全性造成極大危害，必須注意防范。

1.2 網(wǎng)絡(luò)入侵

網(wǎng)絡(luò)入侵是利用網(wǎng)絡(luò)或服務(wù)器平臺(tái)存在的漏洞或安全性缺陷進(jìn)行侵入，從而達(dá)到竊取服務(wù)器信息或者破壞服務(wù)器的目的。和網(wǎng)絡(luò)攻擊不同，網(wǎng)絡(luò)入侵已不再以降低服務(wù)器性能為目的，而是謀求侵入服務(wù)器平臺(tái)獲取數(shù)據(jù)。常見(jiàn)的入侵手段包括：偵測(cè)服務(wù)器哪些端口處于激活狀態(tài)、掃描服務(wù)器端口、服務(wù)器使用的操作系統(tǒng)漏洞以及提供哪些服務(wù)，為隨后的入侵攻擊做好準(zhǔn)備。服務(wù)器被黑客攻擊，可以遠(yuǎn)程操作，竊取機(jī)密數(shù)據(jù)，或攻擊服務(wù)器作為跳板攻擊，然后攻擊其他服務(wù)器。網(wǎng)絡(luò)入侵的常見(jiàn)方式是SQL注入和通過(guò)緩沖區(qū)溢出入侵服務(wù)器。

1.3 網(wǎng)絡(luò)攻擊

網(wǎng)絡(luò)攻擊是利用現(xiàn)有的網(wǎng)絡(luò)漏洞、安全漏洞、網(wǎng)絡(luò)硬件、軟件平臺(tái)和數(shù)據(jù)破壞。網(wǎng)絡(luò)攻擊與計(jì)算機(jī)病毒和計(jì)算機(jī)木馬不同，后者發(fā)起攻擊的位置是服務(wù)器自身，對(duì)其防范的范圍可以局限于服務(wù)器本身，而前者發(fā)起攻擊的位置則可能是互聯(lián)網(wǎng)上任何一臺(tái)能夠訪問(wèn)服務(wù)器的計(jì)算機(jī)，因此網(wǎng)絡(luò)攻擊防護(hù)范圍更廣，防范難度更大。

常見(jiàn)的網(wǎng)絡(luò)攻擊模式包括：（1）偽造信息，偽裝成真實(shí)數(shù)據(jù)，實(shí)現(xiàn)合法用戶合法權(quán)益。（2）拒絕服務(wù)，即DoS（Deny of Service），通過(guò)向服務(wù)器發(fā)送大量數(shù)據(jù)連接到服務(wù)器，消耗大量的資源連接，從而達(dá)到資源耗盡的效果，服務(wù)器服務(wù)器的性能。這是近年來(lái)常見(jiàn)的服務(wù)器攻擊模式，一旦出現(xiàn)拒絕服務(wù)攻擊，往往導(dǎo)致學(xué)習(xí)平臺(tái)的訪問(wèn)緩慢，用戶無(wú)法訪問(wèn)，極大地降低了用戶體驗(yàn)。

2 Android網(wǎng)絡(luò)學(xué)習(xí)平臺(tái)網(wǎng)絡(luò)安全措施

2.1 Android安全性分析

Android采用分層的系統(tǒng)架構(gòu)，由下往上分別是linux內(nèi)核層、硬件抽象層、系統(tǒng)運(yùn)行時(shí)庫(kù)層、應(yīng)用程序框架層和應(yīng)用程序?qū)印?/p>

Android以Linux操作系統(tǒng)內(nèi)核為基礎(chǔ)，實(shí)現(xiàn)硬件設(shè)備驅(qū)動(dòng)、進(jìn)程和內(nèi)存管理、網(wǎng)絡(luò)協(xié)議棧、電源管理等核心系統(tǒng)功能。除此以外，Android還增加了一些面向移動(dòng)設(shè)備的特有功能，如低內(nèi)存管理、匿名共享內(nèi)存，以及進(jìn)程間通信Binder機(jī)制。這些功能的增強(qiáng)進(jìn)一步提升了Android在內(nèi)存管理、進(jìn)程間通信等方面的安全性。

Android程序采用Java語(yǔ)言開發(fā)，目前常用的一些反編譯工具比如apktool等能夠毫不費(fèi)勁地還原Android里的明文信息。一旦Java代碼里存在明文敏感信息，基本上就是毫無(wú)安全而言的。如果重打包即通過(guò)反編譯后重新加入惡意代碼邏輯，重新打包一個(gè) APK文件，發(fā)布到服務(wù)器上，必將對(duì)用戶手機(jī)造成木馬的危害。

2.2 Android安全性措施

包括以下幾點(diǎn)：

（1）應(yīng)用權(quán)限控制。通過(guò)控制應(yīng)用程序的權(quán)限防止惡意應(yīng)用對(duì)系統(tǒng)造成破壞，采取的措施包括合理使用系統(tǒng)內(nèi)置權(quán)限和應(yīng)用程序自定義權(quán)限。

（2）應(yīng)用程序簽名。采用數(shù)字簽名為應(yīng)用程序簽名。

（3）應(yīng)用加固。應(yīng)用加固包括病毒掃描、防注入、防調(diào)試、防篡改四個(gè)模塊，目前行業(yè)內(nèi)已經(jīng)出現(xiàn)了很多的應(yīng)用加固解決方案，如360應(yīng)用加固、騰訊云應(yīng)用加固、百度應(yīng)用加固等等。

還可以通過(guò)專業(yè)的病毒和木馬查殺軟件如 360安全軟件，McAfee等定期檢查。從人員管理角度，要注意操作人員存取權(quán)限，對(duì)U盤或網(wǎng)絡(luò)下載要尤其注意。對(duì)于學(xué)生或教師作為用戶上傳到服務(wù)器平臺(tái)的壓縮包，也要定期查殺工作，防止由于 APP程序感染病毒，造成學(xué)員手機(jī)被大面積感染傳播的情況。

3 結(jié)語(yǔ)

網(wǎng)絡(luò)安全是Android網(wǎng)絡(luò)學(xué)習(xí)平臺(tái)必須要考慮的問(wèn)題，在為學(xué)員提供豐富多彩的教學(xué)資源的同時(shí)，網(wǎng)絡(luò)安全問(wèn)題更應(yīng)該受到特別重視。本文對(duì)Android的安全性進(jìn)行了分析，并給出了相關(guān)解決方案。

[1]楊歡等．基于權(quán)限頻繁模式挖掘算法的 Android惡意應(yīng)用檢測(cè)方法[J]．通信學(xué)報(bào),2013．

[2]王聰．高職院校數(shù)字化校園網(wǎng)建設(shè)探論[J]．淮海工學(xué)院學(xué)報(bào),2013．

[3]張學(xué)剛．?dāng)?shù)字化校園管理網(wǎng)絡(luò)系統(tǒng)體系結(jié)構(gòu)淺析[J]．科技信息,2014．

2016年度遼寧省教育科學(xué)“十三五”規(guī)劃課題（JG16EB182）；2016年度遼寧省高等教育學(xué)會(huì)“十三五”規(guī)劃課題（GHYB160169）的階段性研究成果。