OPPO技術(shù)開放日第六期丨OPPO安全解析"應(yīng)用與數(shù)據(jù)安全防護(hù)"背后的技術(shù)
11月29日,OPPO技術(shù)開放日第六期在成都1906創(chuàng)意工廠-A11舉行。本期活動(dòng)以"應(yīng)用與數(shù)據(jù)安全防護(hù)"為主題,聚焦密鑰、惡意行為檢測(cè)等移動(dòng)應(yīng)用背后的安全技術(shù),分享OPPO在安全領(lǐng)域的最新技術(shù)成果與行業(yè)解決方案,推動(dòng)安全生態(tài)的建設(shè)。
OPPO云密碼本背后的安全技術(shù):端云協(xié)同的安全密鑰技術(shù)
前不久的2020 OPPO開發(fā)者大會(huì),OPPO正式發(fā)布ColorOS 11。全新的ColorOS 11系統(tǒng)搭載OPPO端云協(xié)同的安全密鑰技術(shù)。OPPO基于端云協(xié)同安全密鑰技術(shù)為支撐,實(shí)現(xiàn)了用戶密碼的安全托管和安全同步。
OPPO端云協(xié)同的安全密鑰技術(shù)以安全的跨平臺(tái)自動(dòng)同步、應(yīng)用間互相隔離的獨(dú)立密鑰體系、OPPO無法解密和攻擊者無法窺探為目標(biāo),構(gòu)建安全的密鑰管理方案,進(jìn)而實(shí)現(xiàn)保護(hù)用戶數(shù)據(jù)的目的。
我們來看看密鑰的攻擊入口有哪些。從密鑰的生成、分發(fā)、使用、撤銷、銷毀、歸檔、備份、更新、存儲(chǔ)的完整生命周期中可能遇到的攻擊分析入手,最可能遭受攻擊的是生成、傳輸、使用、存儲(chǔ)階段。OPPO端云協(xié)同的安全密鑰技術(shù),在設(shè)計(jì)上重點(diǎn)考慮在以上敏感階段如何緩解可能遇到本地暴力破解、云端暴力破解、側(cè)信道分析和中間人攻擊、端側(cè)滲透攻擊、云端滲透攻擊等常見類型攻擊。
在端云協(xié)同的安全密鑰技術(shù)使用的安全工具方面,主要通過硬件安全環(huán)境(SE、TEE、HSM集群)保障密鑰的生成、使用安全,同時(shí)使用HTTPS、SRP、 E2E安全信道保障傳輸交互的安全性,并使用賬號(hào)密碼、安全密碼、短信安全碼、可信設(shè)備證書等諸多因子保證身份認(rèn)證的安全性。
OPPO端云協(xié)同的安全密鑰技術(shù)具備非常廣泛的應(yīng)用場(chǎng)景,例如對(duì)地圖收藏、歷史軌跡、個(gè)人瀏覽記錄、瀏覽標(biāo)簽同步、屏幕使用時(shí)間等行為特征類數(shù)據(jù)的保護(hù),以及對(duì)Wi-Fi密鑰、藍(lán)牙密鑰、loT設(shè)備配對(duì)密鑰等密鑰類數(shù)據(jù)的保護(hù)。未來,OPPO端云協(xié)同的安全密鑰技術(shù)會(huì)應(yīng)用到更多的場(chǎng)景,為用戶數(shù)據(jù)隱私保駕護(hù)航。
OPPO通過AES密鑰白盒解決密鑰安全問題
現(xiàn)如今,數(shù)據(jù)及信息安全已逐漸演變?yōu)槊荑安全。如果密鑰不安全,加密便形同虛設(shè)。目前,業(yè)內(nèi)密鑰安全需求主要包括核心技術(shù)保護(hù)、終端數(shù)據(jù)安全、防止密鑰竊取和數(shù)據(jù)傳輸安全四個(gè)層面,AES密鑰白盒的出現(xiàn)在一定程度上解決了密鑰的安全問題。
白盒將密鑰擴(kuò)展并融入到了加密運(yùn)算中,使得密鑰在整個(gè)加密過程中不再明文出現(xiàn),從而達(dá)到隱藏和保護(hù)的目的。白盒的實(shí)現(xiàn)方式主要有三種,分別是查找表技術(shù)、插入擾亂項(xiàng)和多變量密碼。即使有了白盒的保護(hù),密鑰也并不絕對(duì)安全,白盒也面臨著多種多樣的攻擊。
AES密鑰白盒受到的攻擊方式主要包括兩種,一種是BGE攻擊,另外一種就是DFA攻擊。OPPO安全針對(duì)以上攻擊方式,提供了擴(kuò)展T-Box、隨機(jī)置換、迭代混淆等多種防護(hù)方案,在性能保證的基礎(chǔ)上更進(jìn)一步保障密鑰的安全。
除了AES算法之外,OPPO安全還深度研究了國密SM4、ECC、RSA等算法,在更多的安全技術(shù)探索和算法研究的基礎(chǔ)上,為開發(fā)者和應(yīng)用平臺(tái)提供更優(yōu)質(zhì)的解決方案,攜手保護(hù)用戶隱私。
檢測(cè)移動(dòng)惡意應(yīng)用與提升惡意行為檢測(cè)能力
隨著移動(dòng)惡意應(yīng)用的惡意行為和攻擊方式愈加復(fù)雜,加固保護(hù)愈來愈多樣化。當(dāng)前,惡意行為的靜態(tài)代碼分析面臨著程序化難度大、人力投入大、成本變高等難點(diǎn),OPPO為應(yīng)對(duì)以上難點(diǎn)并彌補(bǔ)靜態(tài)檢測(cè)的缺點(diǎn),引入了動(dòng)態(tài)檢測(cè)的方法,從而更精準(zhǔn)高效地檢測(cè)出存在惡意行為的應(yīng)用。
動(dòng)態(tài)分析檢測(cè)方法是對(duì)應(yīng)用行為進(jìn)行判斷和檢測(cè);趷阂庑袨榈膭(dòng)態(tài)分析檢測(cè)方法,應(yīng)用很多時(shí)候都需要調(diào)用系統(tǒng)的API來執(zhí)行各種功能。動(dòng)態(tài)分析檢測(cè)可以通過審查應(yīng)用對(duì)系統(tǒng)API的調(diào)用序列和各API的調(diào)用參數(shù)以及API調(diào)用的背景環(huán)境,用明確的邏輯判斷該應(yīng)用是否有執(zhí)行惡意行為。這樣能夠幫助開發(fā)者和應(yīng)用平臺(tái)對(duì)惡意扣費(fèi)、惡意傳播、資費(fèi)消耗、間諜監(jiān)控、隱私竊取等行為進(jìn)行有效的檢測(cè),將惡意行為暴露,保護(hù)用戶的隱私安全和財(cái)產(chǎn)安全。
在新型惡意攻擊方式不斷涌現(xiàn)、惡意軟件自身行為持續(xù)演化、惡意軟件對(duì)抗行為日益普遍的背景下,自然語言處理、深度學(xué)習(xí)等智能化方法與程序分析技術(shù)不斷發(fā)展并融合,激發(fā)出了多種基于智能化技術(shù)的惡意行為檢測(cè)新思路。這些新技術(shù)的應(yīng)用顯著提升了惡意行為的檢測(cè)能力,為移動(dòng)生態(tài)的安全帶來了更多的保障。
例如,面對(duì)新型攻擊不斷涌現(xiàn),WebView新型惡意行為檢測(cè)技術(shù)能夠?qū)pp-to-Web攻擊進(jìn)行建模,并通過自動(dòng)化檢測(cè)工具發(fā)現(xiàn)多款新型惡意軟件;面對(duì)惡意軟件不斷演化,通過對(duì)API語義的構(gòu)建和利用,可以增強(qiáng)現(xiàn)有檢測(cè)模型的可持續(xù)檢測(cè)能力;面對(duì)對(duì)抗行為不斷加劇,通過對(duì)輕量級(jí)敏感行為進(jìn)行監(jiān)控,可以對(duì)惡意行為進(jìn)行高效檢測(cè)。
OPPO在SDK安全質(zhì)量保障方面的實(shí)踐方案和移動(dòng)應(yīng)用安全實(shí)踐
隨著移動(dòng)互聯(lián)網(wǎng)的高速發(fā)展,移動(dòng)應(yīng)用中引入第三方SDK的數(shù)量劇增,而三方SDK往往會(huì)成為移動(dòng)應(yīng)用整體的安全短板。OPPO基于三方SDK安全檢測(cè)的工作實(shí)踐結(jié)合SDL實(shí)施的經(jīng)驗(yàn)總結(jié),落地了一套移動(dòng)三方SDK安全質(zhì)量保障實(shí)踐方案。
針對(duì)三方SDK主要包括隱私合規(guī)檢測(cè)、漏洞檢測(cè)和惡意行為檢測(cè)三個(gè)重點(diǎn)檢測(cè)內(nèi)容,OPPO采用靜態(tài)污點(diǎn)分析技術(shù), 將敏感數(shù)據(jù)標(biāo)記為污點(diǎn)(Source點(diǎn)),然后通過跟蹤和污點(diǎn)數(shù)據(jù)相關(guān)的信息的流向, 檢測(cè)在關(guān)鍵的程序點(diǎn)(Sink點(diǎn))是否會(huì)影響某些關(guān)鍵的程序操作,從而識(shí)別程序是否存在安全風(fēng)險(xiǎn)。
在技術(shù)維度,OPPO制定了"安全檢測(cè)項(xiàng)-反射調(diào)用檢測(cè)-黑名單庫-安全檢測(cè)報(bào)告"的三方SDK檢測(cè)流程。
在安全流程的維度,OPPO基于三方SDK安全檢測(cè)的工作實(shí)踐結(jié)合SDL實(shí)施的經(jīng)驗(yàn)總結(jié),制定了"安全評(píng)審-黑名單匹配-安全掃描-人工審計(jì)"的三方SDK安全質(zhì)量保障流程,保障OPPO終端安全應(yīng)用的安全。
而面向移動(dòng)應(yīng)用安全,OPPO與參會(huì)的安全從業(yè)者交流了Android平臺(tái)上的應(yīng)用安全問題、安全技術(shù)發(fā)展以及OPPO在移動(dòng)應(yīng)用安全領(lǐng)域的行動(dòng)和積累。
OPPO規(guī)劃了三層次的移動(dòng)應(yīng)用安全平臺(tái)整體架構(gòu)。第一層是終端安全能力,包括安全加固和安全SDK;第二層是云端安全測(cè)評(píng),包括文件掃描、廣告檢測(cè)、仿冒檢測(cè)、漏洞掃描等等;第三層是行業(yè)安全解決方案,比如廣告反作弊、廣告反切量等等。
剖析安全風(fēng)險(xiǎn)、聚焦業(yè)務(wù)場(chǎng)景,OPPO為開發(fā)者和用戶提供便捷、穩(wěn)定、有效、全面的業(yè)務(wù)安全防護(hù)與用戶隱私保護(hù)能力,并為此制定了清晰的規(guī)劃:基礎(chǔ)安全能力建設(shè)、用戶隱私保護(hù)落地、移動(dòng)端風(fēng)控基礎(chǔ)能力補(bǔ)齊、行業(yè)安全解決方案。
通過本期OPPO技術(shù)開放日,OPPO安全團(tuán)隊(duì)為到場(chǎng)的安全領(lǐng)域從業(yè)者和高校學(xué)生,詳細(xì)解讀了應(yīng)用與數(shù)據(jù)安全防護(hù),以及OPPO安全技術(shù)建設(shè)和相關(guān)成果。OPPO安全熱切期待更多安全專家能夠加入,一同為保護(hù)用戶數(shù)據(jù)安全而努力,推動(dòng)安全生態(tài)的建設(shè)。
發(fā)表評(píng)論
請(qǐng)輸入評(píng)論內(nèi)容...
請(qǐng)輸入評(píng)論/評(píng)論長度6~500個(gè)字
最新活動(dòng)更多
-
10月31日立即下載>> 【限時(shí)免費(fèi)下載】TE暖通空調(diào)系統(tǒng)高效可靠的組件解決方案
-
即日-11.13立即報(bào)名>>> 【在線會(huì)議】多物理場(chǎng)仿真助跑新能源汽車
-
11月28日立即報(bào)名>>> 2024工程師系列—工業(yè)電子技術(shù)在線會(huì)議
-
12月19日立即報(bào)名>> 【線下會(huì)議】OFweek 2024(第九屆)物聯(lián)網(wǎng)產(chǎn)業(yè)大會(huì)
-
即日-12.26火熱報(bào)名中>> OFweek2024中國智造CIO在線峰會(huì)
-
即日-2025.8.1立即下載>> 《2024智能制造產(chǎn)業(yè)高端化、智能化、綠色化發(fā)展藍(lán)皮書》
推薦專題
- 1 【一周車話】沒有方向盤和踏板的車,你敢坐嗎?
- 2 特斯拉發(fā)布無人駕駛車,還未迎來“Chatgpt時(shí)刻”
- 3 特斯拉股價(jià)大跌15%:Robotaxi離落地還差一個(gè)蘿卜快跑
- 4 馬斯克給的“驚喜”夠嗎?
- 5 打完“價(jià)格戰(zhàn)”,大模型還要比什么?
- 6 馬斯克致敬“國產(chǎn)蘿卜”?
- 7 神經(jīng)網(wǎng)絡(luò),誰是盈利最強(qiáng)企業(yè)?
- 8 比蘋果偉大100倍!真正改寫人類歷史的智能產(chǎn)品降臨
- 9 諾獎(jiǎng)進(jìn)入“AI時(shí)代”,人類何去何從?
- 10 Open AI融資后成萬億獨(dú)角獸,AI人才之爭開啟
- 高級(jí)軟件工程師 廣東省/深圳市
- 自動(dòng)化高級(jí)工程師 廣東省/深圳市
- 光器件研發(fā)工程師 福建省/福州市
- 銷售總監(jiān)(光器件) 北京市/海淀區(qū)
- 激光器高級(jí)銷售經(jīng)理 上海市/虹口區(qū)
- 光器件物理工程師 北京市/海淀區(qū)
- 激光研發(fā)工程師 北京市/昌平區(qū)
- 技術(shù)專家 廣東省/江門市
- 封裝工程師 北京市/海淀區(qū)
- 結(jié)構(gòu)工程師 廣東省/深圳市