近日，天翼网信安全产业联盟发布了总第1期专刊，北京智游网安科技有限公司（爱加密）《移动安全在运营商行业的应用与分析》解决方案成为专刊亮点。作为联盟首批成员单位及重要合作伙伴，爱加密一方面将通过领先的专业技术、优质的服务体系助力电信行业移动应用安全生态的建设；另一方面，将继续协助联盟构建安全生态、联合推动创新、护航信息化发展，实现市场共拓、价值共创与合作共赢。以下为方案全文：

移动互联网为运营商行业带来了颠覆性的影响，抓住移动互联网入口，围绕移动端给用户以优质体验是运营商公司需要首要解决的问题。目前，大多数运营商及其子公司都开发了自有的移动应用，但是对于这种新的工作模式和业务接口，一个不容忽视的问题越来越重要：安全。因此，为了提高移动应用的安全性，本文结合当前运营商行业的特点、移动应用所面临的安全风险以及相对应等技术手段进行分析，就如何保障移动应用的安全性展开分析。

01

运营商行业业务发展概述

随着信息技术的发展和移动终端的普及，运营商移动业务迎来了迅猛发展。运营商通过接入信息化来作为提高竞争力的手段，运营商类移动应用一般都具备用户信息绑定、业务更新快、具备交易、开户、信息查询等特点。不仅为用户提供了丰富多样、可定制化的便捷服务，提升用户体验，同时在人力成本上也获得了明显优势。移动应用已成为连接运营商企业与用户的重要接口。

近几年，运营商行业移动业务飞速发展，移动端业务开通、交易量等功能已经较为普及。运营商行业加速核心业务的互联网化进程和数字化转型的重要前提是网络安全的保障。习近平总书记曾在网络安全与信息化工作座谈会上的讲话中提到，网络安全和信息化是相辅相成的。安全是发展的前提，发展是安全的保障，安全和发展要同步推进。要树立正确的网络安全观，加快构建关键信息基础设施安全保障体系，全天候全方位感知网络安全态势，增强网络安全防御能力和威慑能力。

目前，运营商类移动应用面临着盗版软件、隐私泄露、用户密码被窃取、数据被修改等诸多风险。近些年，各类移动应用被盗版、被破译、数据失窃的事件屡见不鲜，一旦移动应用遭遇黑客攻击，将会给企业和用户带来直接的经济损失。

移动端的兴起也带来了与PC时代割裂的新难题，包括移动安全、兼容性等问题。在经历过几年的高速发展之后，运营商类移动应用的功能在渐趋完善的同时也造成了同质化极其严重的问题。面对这样的现象，不少运营商选择了从技术上进行突破以提升用户的使用黏性。

基于移动操作系统多样性和终端类型的庞杂使得现在一些智能终端还存在着不能正常安装、意外错误、强制退出等严重影响用户体验的缺陷，移动应用的兼容问题将是运营商企业亟待解决的一个大问题。相比较几年前，运营商类移动应用的兼容性已经有了翻天覆地的变化，尤其是一些大型运营商类移动应用基本能够兼容市面上所有主流的机型，实现全面的“开放”、“共享”。

02

运营商行业移动应用安全风险

总体看来，安卓平台应用安全形势仍不容乐观，由于安卓应用安全问题频出，造成影响范围广、程度深，安卓应用安全越来越重要;运营商及其子公司的移动应用不管是自主研发和还是第三方公司研发的，没有专业的移动应用安全防护技术支持，均无法有效保障移动应用的安全性。

根据目前移动应用的相关安全特性，以下8类安全风险最为突出：

1. 通信数据明文发送：客户端APP与服务器端交互的数据通过明文的通信信道传输。

2. 敏感数据本地可破解：客户端APP将敏感数据(如登录密码，手势密码等)以明文存储在本地，或加密存储但通过逆向分析程序可以破解该数据。

3. 调试信息泄漏：客户端APP将开发时帮助调试的信息打印出来，这些信息通常包含一些敏感的参数，消息的明文等。

4. 敏感信息泄漏：客户端APP代码中泄漏敏感数据，如对称加密密钥，非对称加密中的私钥，认证使用的共享密钥，不应被暴露的后台服务器管理地址等等。

5. 可二次打包：客户端APP可被修改代码后，重新打包发布在市场上供用户下载。

6. 可调试：客户端APP能够被调试，动态的提取、修改运行时的程序数据和逻辑。

7. 代码可逆向：客户端APP的逻辑能够被轻易获取和逆向，得到代码和程序中的敏感数据。

在这7类安全隐患中，通过调研发现动态调式、代码注入、反编译、内容篡改、二次打包这五个风险等级是最高的，也是被各移动安全论坛提到次数最多的。结合运营商行业，这些风险也极有可能导致具备交易属性的APP被植入恶意程序后再传播，导致用户的密码或其它信息被盗，导致黑客利用漏洞攻瘫运营商的移动服务端，导致客户被钓鱼而钱款被恶意转账等风险。

结合运营商业移动应用的安全现状分析，目前移动应用主要面临的移动安全风险包括：源码反编译、文件(代码、资源及签名)篡改、本地数据泄露、动态调试、进程调试、内存DUMP、页面数据泄漏、数据传输保护不足、不可信的执行环境等。