为泛终端软件保驾护航 2019软件绿色联盟开发者大会闭幕

11月19日，2019软件绿色联盟开发者大会在北京国家会议中心顺利召开。本次大会议题精彩纷呈，不仅有来自各行业的专家大咖解读当下泛终端软件发展趋势，还有来自顶级互联网公司的一线技术开发者为现场超过2000名开发者讲解前沿技术落地实践。作为软件行业发展的基础，信息安全技术是生态建设中必不可少的一环。在本次大会中，诸多专家学者共同讲述了他们在安全领域的实践经验，为参会者指点迷津。

在大会开始，软件绿色联盟理事长杨泽民便对绿盟在安全方面做出的贡献进行了梳理。作为一家开放性非盈利性组织，软件绿色联盟持续致力于为用户打造安全信赖、健康、放心的中国软件绿色生态。为持续规范应用行为，提升用户使用体验，今年联盟制订了《软件绿色联盟应用体验标准3.0》。新的标准在安全方面着墨颇多，不仅新增了隐私保护标准，还进一步完善了全线的机制。此外，在大会上还有诸多来自联盟成员的技术专家发表了在软件安全方面的技术观点。

移动设备可信基(TCB)的今生与来世

在大会主论坛上，蚂蚁金服副总裁韦韬针对当下安全形势讲解了《移动设备可信基(TCB)的今生与来世》。

韦韬表示，当前互联网产业中的安全和隐私越来越重要，而其核心还是在于获得用户的信任。信任是社会中最重要的综合力量之一，它会简化人与人之间的合作关系，也让各种社会活动更高效的推进。关键技术推广时，也必须要解决信任问题。科技信任不仅仅是纯技术问题，既有理性的刚性部分也有感性的弹性空间。科技公司首先要知托付，对用户托付的风险充满敬畏;其次要守有责，要尽到自己的社会责任和业务责任;最后要零透支，不能让用户信任的情感弹性过载，要及时解决出现的安全和隐私问题。一旦透支用户的信任，将会对公司和行业都会造成严重的打击，修复需要漫长的时间和巨大的代价。

移动生态中，信任是整个生态的基础。在各类App越来越复杂的今天，移动生态信任的建立相当大程度上依赖于可信执行环境(Trusted Exectuion Environment, TEE)。TEE解决了设备可信标识、安全敏感功能的隔离和验证，以及对生物特征感知识别的保障等核心问题。

TEE被赋予了越来越多的职责，也面临着越来越多的挑战，也是未来整个行业需要携手共同推进解决的问题。首先是TEE在承载越来越复杂的可信应用的时候，要保障和验证的不只是TEE内核的安全，TEE应用的安全验证和保障也愈发重要;其次，TEE也是下一步解决隐私保护的重要途径，但需要业界共推标准化;同时，现在黑产已经在滥用移动设备上的隐私保护机制，反过来对用户的隐私、资产和权益造成严重破坏，业界也急需发展和标准化保护隐私同时能追踪黑产滥用的可信技术，这对于行业的健康发展也至关重要，真正形成对整个社会大众的普惠。

移动安全攻与防

大会下午还开设了 “安全、性能与体验优化”专题分论坛， 360安全技术总监曹阳分享了《移动安全攻与防》。

随着移动互联网的快速发展，破解者的攻击技术也日新月异，开发者的防御成本持续增高。在终端代码的破解、逆向等领域，攻防的焦点从整体上来讲分为3个点：注入、运行和协议。注入就是黑客对进程的入侵，分为有root权限方式和无root权限方式;运行就是在进程内能做哪些操作，例如内存修改、进程调试、函数拦截、程序脱壳、代码盗用等;协议就是目标进程与第三方进行通信，其通信过程如何被拦截、篡改和伪造。

针对这些安全威胁，360团队的保护方案分4类：程序加壳、协议保护、源码保护和H5保护。程序加壳解决的是注入和运行里大部分的问题，核心技术是代码虚拟化保护等;协议保护，主要针对程序加壳保护不了的通信部分。技术上基本围绕HTTPS的证书校验做防护;源码保护，是对SO保护的强度提升，把保护方案提前到开发编译的时候;核心技术是基于LLVM中间语言的虚拟化保护;H5保护，为了满足混合开发的安全需求而推出，核心技术有Webview强化、H5自释放自解密、Js虚拟化保护等方案。

软件供应链中SDK的安全隐患与监测

随后，腾讯安全高级工程师王葵也对移动应用软件供应链中第三方SDK的安全隐患与监测做出了演讲。

第三方SDK已经成为移动开发上越来越重要的一个环节，各类的APP平均会集成将近20个SDK。但第三方SDK在广泛使用的同时，其相关的安全问题也日益凸现。主要包括在3个方面。第一，第三方SDK的开发者在安全能力水平是参差不齐的，并且绝大部分的SDK都缺乏必要的安全审核环节，可能会引入一些安全漏洞。第二，第三方SDK私自收集用户数据;第三，一些恶意的开发者已经深入到SDK的开发环节，通过提供第三方服务的形式来吸引APP开发者来使用他们的SDK，在应用运行期间通过云端控制来下发指标的形式来做恶意的操作。

SDK监测解决方案主要包含4个部分，第一，第三方SDK的识别，主要就是要分析APP中集成了哪些第三方的SDK;第二， SDK恶意性的监测，通过APP的恶意监测比较，监测是否存在一些移动端病毒定义的相关恶意行为;第三，SDK的漏洞和隐私合规的监测，主要监测SDK之中是否存在安全漏洞和搜集使用的数据是否符合隐私规范;第四，SDK运行时的敏感行为监控，很多SDK存在着热更新的能力，需要监控它在运行期间是否有下发恶意子包的行为。

移动终端软件环境变化的安全隐患

当前的移动终端软件所面临的安全环境与传统网络环境有一定的区别，随着移动端用户的数量暴增，移动安全的重视程度也随之提升。

华为消费者BG OS产品总监黄明功在《华为终端软件分布式体验实践及能力总览》的演讲中，对当下的移动终端软件环境变化进行了详细的解读。黄明功表示，当前全球智能手机总持有量趋于稳定，但随着5G时代的到来，未来泛终端设备将会继续高速增长。与此同时，当前的泛终端设备是一个一个的信息的孤岛，会导致泛终端设备联网率和使用率低，消费者从购买到使用，每个操作环节都在考验用户的耐心，厂商存在巨大潜在损失。

同时，移动应用目前在竞争中突围的代价进一步增加，如果不能迈出传统领域，走向泛终端生态，非TOP应用将会陷入困境。对于开发者来讲，在这种局面下还有新的挑战出现，多操作系统、多设备类型、多语言开发、开发多形态UI、代码库维护、数据源集成等诸多问题都在泛终端软件生态的变化中构成了新的难题。安全，自然也是一条不能忽视的沟壑。

那么在泛终端软件方面的安全应当如何解决呢?答案并不唯一。华为CBG软件部HiAI架构师周昕宇就提出了HiAI在这方面的见解。由于现在端侧AI已成为移动终端的必备能力，而且以手机为核心的端侧AI已成业界共识，更多手机将内置AI能力。端侧的AI与云侧对比，端侧AI拥有“安全、成本、时延”三大核心优势，其中的安全优势便主要体现在用户数据不离开设备，从而实现更好的隐私保护，这也不失为一种终端安全的保卫之法。

移动软件的安全生态建设是一个巨大的工程，而且攻击者的技术也会随时间而升级，一攻一防之间显示出的这一工作必然漫长。就像有光之处必有阴影存在，网络安全问题就如光影叠加一般，攻击者被欲望驱使，防御者必须为用户而战。而软件绿色联盟就是需要聚集行业优秀人才，制定高标准、严要求的安全标准，引领各大厂商尽心竭力，保护泛终端软件用户的信息安全，让将网络攻击拒之门外，让黑产没有生存空间，打造值得用户信任绿色软件，共建和谐软件生态。

---------------------------------------------------------

免责声明：

1.本文援引自互联网，旨在传递更多网络信息，仅代表作者本人观点，与本网站无关。

2.本文仅供读者参考，本网站未对该内容进行证实，对其原创性、真实性、完整性、及时性不作任何保证。