WiFi万能钥匙CSO龚伟：当前移动终端安全形势严峻，如何有效应对？

近两年，随着移动互联网和智能终端的普及，电信诈骗、网络攻击等新型安全威胁更加普遍，黑色产业链的成熟也为不法分子提供了更大的获利空间。 打击非法生产现在已经逐渐从政府和企业渗透到个人。

今日，WiFi万能钥匙在北京举办主题沙龙。 首席安全官龚伟（Goodwell）为听众普及了一些基本的手机信息安全知识，讲解了当前国内外网络安全的典型事件，以及无线网络中的WiFi Master Key本身。 具体的安全措施。

猎云网（微信：ilieyun）获悉，龚伟被誉为中国“黑客教父”、绿色军团创始人、COG发起人。 2016年5月，龚伟加入WiFi万能钥匙，担任首席安全官（CSO），负责WiFi万能钥匙的网络安全工作。

龚伟直言，移动终端的安全问题已经从过去争夺root权限，演变为针对应用层的直接攻击（恶意软件、盗版软件、代码植入等）； 此前共筛选出1387款“WiFi万能钥匙”仿冒应用，暂时下架1305款仿冒应用； 此外，代码植入等方法也是以前所没有的。

根据WiFi万能钥匙统计超过4亿个热点，风险热点占热点总数的1.52%。 其中，虚假热点占比80%，其余为攻击者对正常热点的攻击； 此外，餐饮场所是最容易设置假热点的地方。

同时，龚伟透露，在网络连接安全方面，WiFi万能钥匙在连接前就已经可以判断热点是否正常，准确率达到70%； 连接时，可建立专属的加密隧道供用户通信，保护数据安全； 连接后，产品已开通相关保险。 如果用户通过WiFi万能钥匙连接热点后确实发生安全事故，WiFi万能钥匙会进行相应的理赔。

以下为猎云网整理整理的龚伟演讲全文：

今天的安全方法从目前可能遇到的一些新形式的 Internet 威胁开始。 移动互联网最早的安全威胁来自于系统权限本身的威胁。 早期的系统在设计的时候并不是那么完善，存在着各种潜在的系统安全问题。 这些系统安全漏洞可能导致例如远程溢出等权限提升，正是因为系统默认存在这些系统的潜在安全问题。 ，成为恶意攻击者的目标，同时，在早期，系统权限是安全厂商与恶意攻击者竞争的制高点。

我们最早发现的漏洞是在安卓系统中。 这些早期的系统漏洞被一些攻击者用来提权以获得系统root权限。 这个root权限是系统中的最高权限，可以超越所有用户在手机上的操作。 有些朋友觉得这句话很难理解。 手机是我的。 我不能控制什么？ 有些真的是你无法控制的。 考虑到系统设计本身的安全性，部分权限未开放。 为了获取这些权限，恶意攻击者获取更高级别的权限，不是应用层权限，而是系统类root权限。

最高根权限的争夺打开了潘多拉魔盒。 恶意软件一旦获得root权限，就可以做很多用户做不到的事情，比如在手机关机后窃听周围环境。 大家可能不相信，但这是安全界的常识。 以前大家都认为这只能由有关部门来做，现在有关部门可能做不了了，但是我告诉大家，这都是可以做到的。

当你拥有系统最高权限的时候，当你按下关机键的时候，我会给你一个原来手机的关机画面，但是手机实际上并没有关机。 同时，将您的手机设置为呼叫转移或限制拨号。 任何人打进来都会给他提示音“用户关机”。 只有当特定号码来电时，您才会自动接听并开启免提，不会晃动屏幕或响铃。 当您按下关机后用特定号码拨打您的手机后，您的手机会自动接听我的号码并开启免提。 我可以听到你在现场谈论什么，以及你在世界任何地方都在谈论什么。 事物。

正是因为root的至高无上，才成为了恶意软件竞争的制高点。 为了防范这些恶意软件，安全厂商无法在应用层对抗这些恶意软件，因此必须获得与其同等甚至更高的权限。

因此，本系统的root权限成为了比赛的制高点。 很多安全厂商都以帮助用户保护或提高安全性为目标，获得了最高的权威。 拥有最高权限后，对付恶意软件也是一种通过破坏安全机制来保护安全的方式。 这种以毒攻毒的方法是有效的，但不一定可取。 早期，root成为安全厂商和恶意软件的制高点。

随着时代的发展，现在已经有重大漏洞被释放，并且越来越完善。 不像高危漏洞在刚发布前的几个月内发布，可能会越来越少。 获得这些权限会越来越难，尤其是大家都知道越狱和root越来越难了。 最初创建恶意软件的人会将攻击的目标或重点转移到应用层，而在过去，需要获得用户的root权限。 它可以通过窃取您的银行帐号或汇款或其他信息来获利。

随着互联网的发展，可以用更多的手段来获利，也就是说不再需要root权限，可以在应用层实现。 应用层如何变现？ 主要攻击应用层的入口首先是权限声明，然后是恶意软件和山寨软件的泛滥和代码植入。 权限声明非常简单。 现在所有的应用层软件都会大量申请各种系统权限，比如GPS定位、定位、通话记录等等。

根据CNSeart的数据，2013年感染恶意软件的用户数量为609万，2014年为2292万，2015年超过1亿，恶意软件数量从2011年的6000个增加到2015年的16万个。 恶意软件恶意程序，无论是国家、法规还是用户，随着安全意识的提高，其生存空间越来越小。

2015年，互联网应急响应中心要求向302家应用市场、网盘等上报恶意软件案例17000多起，查杀力度越来越大，而这些恶意软件本身就依赖于直接获取用户本地机器的信息。 为了获得利润，他们转向了另一种方法。 他们过去常常将恶意软件植入手机以获取您的隐私并出售以换取现金。 现在，由于打击力度加大，他们转向了另一种盈利模式。 我们称之为盗版软件。

在所有的应用市场，尤其是工具类市场，一个知名的手机APP至少有100多个山寨。 它可能具有相同的徽标、相似的名称和完全相同的皮肤。 这些山寨程序让用户很难区分哪个是哪个。 哪些是真的，哪些是假的？ 很多人说他山寨可能没有恶意，但是实现的方法有很多。

例如，当你在移动客户端上行走时，很多人要求你扫描二维码安装一个应用软件。 一个手机APP的生存成本至少要15元以上。 但是，山寨软件被盗用后，首先是某款被盗用后，晚上12点可以在后台推送大量软件。 如果你发现你的手机经常在第二天启动时多了几个软件，那可能是半夜推送的。 软件，而这些推送是可以大批量变现的。

正是因为这个好处，才产生了大量的盗版软件。 同时，盗版软件并不是恶意程序。 很难将其定义为非法程序。 它只是一个合法正版软件的皮肤、LOGO或名称和长度。 很像，没有明显的恶意攻击，查杀也不是很严格。 这种现象在应用市场很普遍。

2016年，WiFi万能钥匙联合各大手机应用市场和手机厂商开展打假活动，查获WiFi万能钥匙山寨APP1387个。 同时，通过我们的努力，1305个山寨APP下线，山寨软件如雨后春笋般涌现。 我们砍了一个又生产了很多，大量山寨软件冒出来。

截至2017年3月，WiFi万能钥匙联合各大应用市场和手机厂商在各渠道筛选出1387款“WiFi万能钥匙”山寨APP。 经过努力，1305款山寨APP已被临时下架。

这些盗版软件被植入后，没有明显的攻击行为，就会偷你的东西，有的会这样做。 还有一些恶意程序假冒直接进来窃取信息和账号，而且大部分都潜伏在那里，也可能提供一些常用的服务，只是你不知道你用的是假的，这可能类似于我们的或者某个APP工具。 一模一样，可以实现这个功能。

但是它往往在后台还有一些其他的变现方式，或者哪天用你的手机在你不知情的情况下投票，或者晚上给你推送一个软件等等，名字都差不多，来回变换，各类手机WiFi万能钥匙、密码WiFi万能钥匙，你想要的组合，这里应有尽有，一字排开。

在移动互联网应用层还有一个不得不说的，一种以前没有被发现的新形式，叫做代码植入。 起初，恶意攻击者获取了系统的root权限遇到比特币黑平台报警有用吗，自行植入。 他们受到重创，转而模仿山寨，制造各种假冒正品。 同时遇到比特币黑平台报警有用吗，他们现在也受到了打击。 去年他们从源头上找到了源头，什么源头？ 这个东西叫做 Xcode 事件。

所有的苹果开发者都会使用一个叫做Xcode的开发工具，并使用这个工具为所有的苹果Iphone手机开发移动应用程序。 恶意攻击者改编原始Xcode的代码并植入后门。 所有使用该软件开发的苹果应用都会被植入后门。 就像基因遗传一样，在原有的开发工具中植入后门。

去年发生了一起比较大的事件，据透露，知名移动互联网品牌的软件都使用这种山寨或嵌入式后门软件开发，影响非常广泛。

为什么开发人员会下载重新编码的程序，或者我将如何下载它？ 下载后，我做了SEO优化。 在搜索引擎，百度或者其他搜索引擎上搜索的时候，出来的前十名的开发工具都是它的，因为这个Xcode是从苹果官网下载的，国外链接如果路有问题，下载就会要很慢。 这时候大家都喜欢在国内的搜索引擎上搜索，附近有下载站就下载。

很多人在搜索引擎上搜索下载，在百度网盘或者一些论坛或者百度搜索引擎上搜索到的基本上都是这个带有后门的开发工具。 也有很多朋友互相抄袭，抄来抄去。 也有人直接从官网下载，也会有问题。 从官网下载后，想用迅雷加速下载。 现在很少有人用浏览器存为存盘，很多人一下子就开始下载软件了。

下载软件时，根据hash进行配置。 当你想要这个软件的时候，你可以从库中检索它，其中流传最广的是被植入后门的开发工具Xcode。 ，导致广泛感染。 好在发现及时，后门还没有被利用。 只有专业的安全研究人员发现了这个后门的存在并找到了使用方法，但作者本人还没有使用过。 此事件称为 Xcode 事件，它是一种新形式，而且非常普遍，影响的用户比我们所知的任何其他恶意软件都多。

目前，一些新的移动安全形态值得我们关注。 比如在数据层，我们现在知道每个公司都在做大数据，都在谈论大数据。 暴露用户隐私的问题越来越突出，尤其在这里我想说的是，黑色产业链黑帮已经走到了白道前面，我们所知道的大数据厂商和知名的BAT大家都知道没听说过。 BAT大数据分享，你在淘宝上买的东西可以结合你在百度上搜索的东西来描述你。

但黑客产业链中的信息是互通的。 今天我有你的身份证，明天我和有你手机号的人交换资源，后天我和有你银行卡的人交换资源。 这在地下行业很常见。 ，而他们的大数据整合能力勾勒出你的整个人，很强，相互配合的意识很强，规划的很准，走在你的前面。

刚才我们提到很多厂商在数据层为了获取厂商信息或者更好的信息，想要获得更多的权限，而这些权限被滥用了。 语句太多，比如一个看图软件也会需要通话记录，通讯录之类的工具，甚至电脑会问你去GPS位置，日历也会问你GPS，可能是我今天用的解释吧不，我只是一个计算器，但明天我会为你提供更多的服务，此时我会用到这些GPS位置。

我把这些许可申请编号。 我们没有明确的法律法规或行业标准来定义您是哪种软件。 您应该拥有这些权限。 您应该只在用户的手机中申请这些权限。 没有一个标准。 由于没有标准，大家总是选择最全面、最广泛的权限去申请。 我们在安装一个软件的时候，发现有各种各样的权限，你摸不着头脑。 有些甚至不给他们这些权限。 你不能使用它。 很明显，没有这个许可，你将不被允许使用这个软件。 权限声明也需要标准化。

2016年，它被定义为对网络安全甚至超过恶意软件的威胁，称为网络勒索。 有一个软件有这样一段话。 这段话出自《德州电锯杀人狂》。 当你陷入这种勒索时，软件就会冒出这样一句话：我现在正在和你玩游戏，你电脑上的文件正被我一点一点地删除。 我每次都会删一点，现在你自己打不开。 这些文件。 如果你重新启动你的电脑，我会一次性删除一千个文件，如果你删除我，你将再也找不到你所有的文件。 如果你想取回那些文件，你需要付钱给我。

市场价一般便宜的在25美元，最贵的要150美元。 它会根据您支付的时间而增加。 你不是第一天付100，第二天付150。 而且你不接受转账，只接受比特币。 你必须先购买比特币。 硬币给他。 这些已经成为比较大的威胁，无论是在国内还是在国外。 把钱付到国外以后，就比较有信用了。 通常会给你一个密码让你找回，在国内给了钱也不一定能找回。

还有一点要告诉大家，如果遇到网络勒索，不要付钱，为什么？ 付款后，它会有一个白名单。 贵公司邮箱后缀的域名属于优质客户，大量勒索发往你的域名。 无奈放弃。

当然，如果有人加密后找到我们的安全人员，他们能解锁吗？ 我也解决不了。 只有两种方法，一种是付费。 付出的结果，你可能永远不会再赢了，因为你吸取了经验，但你公司更多的人可能会赢，因为他把你放在这个位置上。 记下邮箱的后缀域名后，就会发送到你的邮箱，因为你会付钱的。 另一种选择是提前采取预防措施。 网络勒索发生在PC和手机上，大家要提前做好防范。

还有一些数据是我们保存在服务器端的，还有一些话我们要在服务器端说，也许你的手机不属于你。 我们应该经历过和发生过或者身边的朋友听说过，因为邮箱密码泄露后，别人登录它的APP Store账号时，里面有一个功能，一般人不会设置两个-因素认证。 里面有一个功能。” 我的手机丢了”，这个苹果会帮你锁手机，没人能打开，当你想登录解锁的时候，修改密码就不能登录了。这时候，你发现你的手机已经无法访问了。

早期找过苹果，苹果解决不了。 为了体现自身的安全性，非常复杂。 只要把电池拆下来装到另一台机器上，零件还是可以用的。 后来苹果提供了这个服务，因为中国人越来越多，尤其是发现中国人越来越多，它提供了一个服务，200元到苹果专卖店给你解锁。 当攻击者锁定你的手机，让你汇款到某个账户时，价格也是200元。 你汇款给他后，他会为你解开iphone的APP Store账号密码。

智能汽车的功能如此先进，甚至连上了互联网。 将来，你的车可能不属于你。 在您的汽车帐户被锁定一天后，您的引擎将永远不会再启动。 可能你找车厂的时候，它会告诉你，我们是安全的，你问我也解不开。

我们有的人在网上应用比较多，一些钱或者类似的货币，这个和传统的银行不一样，丢了用身份证找回来，把银行卡拿回来。 如果你在网上丢了钱，那就真的丢了。 最简单的例子就是比特币。 为什么这些勒索者只接受比特币？ 它是属于它的，也查不到是谁给它的，钱流向何方也不得而知，它可能有这些未来的特征。

在网络安全新的威胁形态下，我们还要说说网络层。 首先说一下流量劫持，还是刚才的例子，苹果的Xcode开发软件，我不在搜索引擎上找，找的也不靠谱，就像我在百度上找的药方一样. 我去官网下载，不需要迅雷，我点右键保存在某个目录下，这样就可以了吗？ 抱歉，您还有问题。 问题是什么？ 流量劫持也是困扰移动安全端的一个比较大的安全威胁。

有很多攻击者或恶意攻击者或其他形式。 部署在我们部分地级市三四线城市IDC机房出入口。 当你下载某个软件，它发现特征匹配，名字匹配后，你就会被替换掉。 WiFi万能钥匙也发生了。 用户下载我们的软件，下载后会报警。 您的交通在入口和出口处受到监控。 当你发现在IDC机房下载了某个软件，就会替换掉，给你一个新的软件。 这也是我们的一种新形式。

你可能以前遇到过。 显然你想在互联网上或某个地方下载一个软件。 你明明看到你下载的软件就是这个软件。 当你到了你所在的地区，就不再叫这个名字了。 你可能遇到的就是这种流量劫持。 虽然概率不高，但还是时有发生。 经常出现在全国各个城市的一些地方，主要是在一些三四线或者二线城市，整个区域的流量都会被劫持。

网络诈骗大家应该都不陌生，比如网络钓鱼等等。 这里我想说一下智能更换。 在移动互联网上，去年发生了一些事情。 美国的电力设备遭到大规模拒绝服务攻击。 过去大量的流量请求导致它瘫痪。 追根溯源后发现，这些攻击的源头不是服务器，不是PC，也不是手机，而是智能设备。

什么概念？ 可能是门铃，也可能是iroot扫地机器人，也可能是WiFi智能排插。 恶意攻击者控制大量智能设备向互联网发起攻击。 这种形式在未来可能会越来越普遍。 智能设备的使用越来越多，它们都连接到网络中。 这些设备的安全保护很差。 甚至有的开发者自己留下后门，遭到恶意攻击。 这种事情可能会越来越多。 未来，攻击可能不再是服务器、PC、移动电脑。 可能是一个门铃就可以发动攻击。 可以进行各种攻击，这是我们未来几年应该看到的。

我们也来谈谈云。 在云端，我给大家总结一下，叫做高处。 云可以做很多事情，现在大部分都依赖云来进行信息采集、版本迭代、策略分发、数据集中、动态推送、权限控制等。你可以在线看各种电视、直播电视。

比如大家点击某个央视，当大家都在看央视的时候，我只需要在云端改一个直播地址链源的信息，所有用户再看央视的时候都会被篡改。 改成了一些反动势力和反政府的视频。 使用这种云技术，你只需要改变一个后台播放地址。

而且到目前为止，我相信整个应用市场上还是有大量的软件存在。 具体数量我没有统计过，但我相信应该不会低，甚至不少于50个。版本更新的时候，没有补丁包，也没有针对自己版本的更新版本验证，自己安装当您收到更新时更新。 一旦云端得到控制，我就可以向所有移动用户推送消息更新我的东西，并在我要推送的某个目标手机上植入相应的代码。 这个问题也比较普遍，因为云可以来做这些事情。

还有就是云可以复制一些策略的分发，这也是一个尚未公布的漏洞。 由于某新闻手机客户端用户验证机制不严，可能某公众号或自媒体或某营销号一下子让所有用户关注他。 不需要用户同意，不需要，所有用户都可以自动关注他。 产业链对黑客的好处是非常大的。 要是有个公众号，别说几亿用户关注他，1000万用户关注他，如果他能推送一条新闻或者广告，那要多少钱，要多少钱。 对于黑客行业来说，只需要几个小时，就可以让上千万用户关注某个公众号或者自媒体。 这是集中控制的问题。

前面提到了一些新的安全形式，WiFi万能钥匙也会在这里发布一些关于WiFi安全的报告。 我们发现有风险的热点占所有热点的1.52%。

之前你可能收到过很多数据，10%或者10%，但是根据我们统计的超过4亿个WiFi热点，你首先要定义规则。 不定义就说安全不安全是没有意义的。 我们报告中的哪些属于我们定义的1.52%？ 我们客观地认为，真正潜在的安全风险甚至对用户的安全影响被定义为风险，大概数字是1.52%。 在这1.52%中，不法分子假设的虚假热点占80%。

有两种形式的风险热点。 第一种热点是咖啡店自己在这里建的，但我是作为攻击者进来的，我控制它，为我做事。 第二种是他们没有建立这个热点。 我在这里创建了一个热点，它并不知道，而且名字和它一模一样。 而其中80%都是恶意攻击者自己设置的。 相对来说，没有更高的技术水平。 我进去之后，我会控制这个热点，然后我会拦截它。 这里可以看到只有15.3%的热点被不法分子正常入侵，整体比例为1.52%。 在这种情况下，外部页面篡改成为主要风险。

还有很多我们定义的 DNS 劫持和外部页面插入。 在这里我想说的是，无论你用什么软件连接这个WiFi，它本身都不会降低或增加风险，而是会保护你，但不会增加你的风险。 . 这里要说的是，说到连接公共WiFi，很多人说不能连接公共WiFi。

这里给大家做个技术科普。 几乎所有支付软件和大多数知名品牌软件在交换核心数据时都使用加密通信。 银行软件和支付软件在支付时使用加密通信。 是的，这是法规要求的，必须加密。 而且加密通讯的流量完全可以放心。 即使流量被劫持，你也不知道里面是什么，也无法被篡改。 支付软件本身在设计时就考虑到了被劫持的问题。

流量劫持可能会泄露您的隐私。 你见过什么样的网站，大部分登录也是加密的，微信通讯也是加密的。 如果不能获取，说明有些网页是纯文本的，或者是你看过或搜索过的。 东西，说不定这些都是没有加密的明文传输，这些都能拿到。 但是支付，银行，转账之类的是绝对放心的。 从我们的安全角度来说，有加密保护，如果没有加密保护，是不符合合规要求的。

通过统计，我们发现有风险的热点更喜欢餐饮美食，会仿冒一些餐饮美食热点，这也与用户的生活习惯和连接WiFi节点有关。 餐饮美食用户碎片化时间最长，上网需求最大，连接次数也越多。

WiFi万能钥匙也有自己的安全解决方案，主要有事前、事中、事后三种架构。 事先，我们将分析所有 WiFi 热点，包括历史数据。 我们希望在用户没有连接WiFi的那一刻，但是我可以告诉你这个节点是否安全。

核心思想非常简单。 这个世界上没有随机数，但我们无法测量它们。 发生的一切都是不可避免的。 经典物理学中没有随机数。 一枚硬币抛上去的时候，就是想不出隐蔽性和封闭性。 我可以捕捉到所有的数据，在我抛出它的那一刻，我就知道它是正面还是反面。 这是必然的结果，没有随机性。 的。 WiFi安全与否不是随机的，只要我能抓到这个数据，我就能搞定。

基于这些理念，WiFi万能钥匙也很自豪的告诉大家，我们做到了，我们的准确率达到了70%。 我们对所有WiFi节点进行采样，检查历史数据中是否发生过DNS劫持、GPS轨迹等。 今天和明天SOHO的WiFi节点到五道口吗？ 这是个问题。 The number of people connected to WiFi every day, the duration of survival, or whether it existed just a year ago today, how many people connected to this WiFi connection, and this WiFi hotspot What is the hardware manufacturer like? Has there ever been an ARP attack in history? After the data is extracted, a model is built, and there is an indiscriminate reasoning machine to calculate whether my result is correct or not, and whether it is combined with the actual situation. Combine, and I'll tweak the algorithm if it's correct. In short, we make predictions in advance and tell you whether this node is safe or not. 这是第一步。

The second step, when you are connected, I will do real-time detection. Most security software will do it, and we will do it too. It will help you detect in real time whether there is any attack on you in the currently connected environment. At the same time, the most important thing is that we also provide a real-time protection called a secure tunnel. It's like driving on the highway is very dangerous. At any time, other cars will hit you. As soon as you get on the highway, a barrier will be blocked for you. This passage belongs to you alone, and no one can walk through this passage. . This is an encrypted tunnel. Of course, you can voluntarily choose to open it or not. If you open it, I can guarantee that this is also an original intention and concept of our design.

Even if this is a phishing node, even if this is a node deployed by a malicious attacker to steal information and user privacy, I still have to use its hotspot, and I must not allow it to steal my information, online photos, Information is not leaked, our encrypted tunnel can do it, and can accept the challenge. Anyone deploys a node randomly, and uses your node to go online after deployment, and you will not be able to obtain all the information. This is before connecting and when connecting.

After connecting, there is a WiFi security insurance. If you find property loss after using our tool to connect, you can make a claim to us. So far, the security claim insurance has been launched for more than a year, and there has not been a single claim. Before, during and after the event constitute our entire security protection system.

The security system consists of six modules. The security hotspot evaluation system will evaluate whether the hotspot is safe; the security perception has an algorithm model; the hotspot portrait is a separate model for this hotspot; Remove it, and deploy this hotspot in another place tomorrow. I can deduce that it is still a threatening hotspot; tunnel encryption technology; security real-time detection system. These six functional modules guarantee our security architecture. At the same time, we also have some security measures in the enterprise itself, including secure transmission, encrypted storage of user information, internal security emergency response mechanism, and security requirements that meet international standards. At the code layer, we It also provides driver-level protection for the core code layer of the client software to prevent it from being cracked.