Day-054-移动安全基础

# Day 52: 移动安全基础

> Web 安全系列第 22 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [移动安全概述](#移动安全概述)
2. [Android 安全架构](#android 安全架构)
3. [iOS 安全架构](#ios 安全架构)
4. [移动应用漏洞](#移动应用漏洞)
5. [移动网络通信安全](#移动网络通信安全)
6. [移动数据存储安全](#移动数据存储安全)
7. [移动应用测试](#移动应用测试)
8. [防护策略与最佳实践](#防护策略与最佳实践)
9. [总结与思考](#总结与思考)
10. [参考资料](#参考资料)

---

## 移动安全概述

### 移动安全重要性

**为什么移动安全重要**：
```
1. 普及率高
   - 全球数十亿移动设备
   - 处理敏感数据
   - 金融交易频繁

2. 攻击面大
   - 应用漏洞
   - 网络通信
   - 数据存储
   - 设备丢失

3. 影响严重
   - 隐私泄露
   - 资金损失
   - 企业数据泄露
   - 身份盗用
```

**移动安全威胁**：
```
1. 恶意应用
   - 间谍软件
   - 勒索软件
   - 银行木马

2. 网络攻击
   - 中间人攻击
   - 虚假 WiFi
   - 钓鱼攻击

3. 数据泄露
   - 不安全存储
   - 未加密传输
   - 过度权限

4. 设备威胁
   - 设备丢失
   - Root/越狱
   - 物理攻击
```

**真实案例**：
```
案例 1: 某银行 App（2019）
- 漏洞：硬编码密钥
- 影响：用户凭证泄露
- 手法：反编译 App
- 后果：资金被盗

案例 2: 某社交 App（2020）
- 漏洞：不安全的 API
- 影响：用户数据泄露
- 手法：API 未授权访问
- 后果：隐私泄露

案例 3: 某购物 App（2021）
- 漏洞：WebView 漏洞
- 影响：XSS 攻击
- 手法：注入恶意 JS
- 后果：会话劫持
```

### 移动安全特点

**与 Web 安全对比**：
```
相同点：
- 网络通信安全
- 输入验证
- 认证授权
- 数据保护

不同点：
- 设备物理安全
- 应用沙箱
- 权限模型
- 逆向工程风险
```

**移动特有风险**：
```
1. 设备丢失/被盗
   - 物理访问
   - 数据提取
   - 未授权访问

2. 恶意应用
   - 应用商店审核绕过
   - 侧载应用
   - 应用内恶意代码

3. 不安全网络
   - 公共 WiFi
   - 中间人攻击
   - 虚假基站

4. 逆向工程
   - 反编译容易
   - 代码暴露
   - 密钥泄露
```

---

## Android 安全架构

### Android 安全模型

**沙箱机制**：
```
每个应用运行在独立沙箱：
- 独立 Linux 用户
- 独立文件系统
- 独立进程空间
- 默认无权限

好处：
- 应用隔离
- 限制权限
- 防止横向移动
```

**权限模型**：
```
权限分类：
1. 普通权限
   - 自动授予
   - 低风险
   - 如：网络访问

2. 危险权限
   - 用户授权
   - 高风险
   - 如：相机、通讯录

3. 签名权限
   - 同签名应用
   - 系统应用
   - 如：系统 API
```

**应用签名**：
```
作用：
- 验证应用来源
- 确保应用完整
- 权限授予依据

要求：
- 所有应用必须签名
- 更新需同签名
- 签名不可更改
```

### Android 组件安全

**Activity 安全**：
```
风险：
- 导出 Activity
- 意图劫持
- 数据泄露

防护：
- 设置 android:exported="false"
- 验证 Intent 来源
- 检查调用者权限
```

**Service 安全**：
```
风险：
- 导出 Service
- 服务劫持
- 权限提升

防护：
- 设置 android:exported="false"
- 使用权限保护
- 验证调用者
```

**BroadcastReceiver 安全**：
```
风险：
- 广播劫持
- 恶意广播
- 信息泄露

防护：
- 使用权限保护
- 验证发送者
- 加密敏感数据
```

**ContentProvider 安全**：
```
风险：
- 数据泄露
- SQL 注入
- 文件读取

防护：
- 设置 android:exported="false"
- 使用权限保护
- 参数化查询
```

### Android 存储安全

**内部存储**：
```
位置：/data/data/<package>/
特点：
- 应用私有
- 其他应用无法访问
- Root 后可访问

安全建议：
- 存储敏感数据
- 加密存储
- 定期清理
```

**外部存储**：
```
位置：/sdcard/
特点：
- 所有应用可访问
- 用户可访问
- 不安全

安全建议：
- 不存储敏感数据
- 加密文件
- 使用内部存储
```

**SharedPreferences**：
```
用途：存储配置信息
风险：
- Root 后可读取
- 备份可提取
- 明文存储

安全建议：
- 加密敏感数据
- 使用 EncryptedSharedPreferences
- 不存储凭证
```

**SQLite 数据库**：
```
用途：存储结构化数据
风险：
- SQL 注入
- Root 后可读取
- 备份可提取

安全建议：
- 参数化查询
- 加密数据库
- 使用 SQLCipher
```

---

## iOS 安全架构

### iOS 安全模型

**沙箱机制**：
```
每个应用运行在独立沙箱：
- 独立文件系统
- 独立 Keychain
- 网络访问限制
- 硬件访问限制

好处：
- 应用隔离
- 数据保护
- 权限控制
```

**权限模型**：
```
权限类型：
1. 系统权限
   - 自动管理
   - 如：网络访问

2. 用户权限
   - 用户授权
   - 如：相机、位置
   - 可随时撤销

3. 企业权限
   - 企业证书
   - 内部应用
   - 需要审批
```

**代码签名**：
```
要求：
- 所有应用必须签名
- Apple 审核
- 证书验证

好处：
- 确保应用来源
- 防止篡改
- 质量保证
```

### iOS 组件安全

**App Transport Security (ATS)**：
```
要求：
- 强制 HTTPS
- TLS 1.2+
- 有效证书

配置：
<key>NSAppTransportSecurity</key>
<dict>
  <key>NSAllowsArbitraryLoads</key>
  <false/>
</dict>
```

**Keychain 安全**：
```
用途：存储敏感数据
特点：
- 系统级加密
- 应用隔离
- 设备绑定

安全建议：
- 存储凭证
- 存储密钥
- 使用访问控制
```

**应用组**：
```
用途：应用间共享数据
风险：
- 数据泄露
- 未授权访问

安全建议：
- 限制应用组
- 加密共享数据
- 验证访问者
```

### iOS 存储安全

**应用沙箱**：
```
目录结构：
- Documents/：用户数据
- Library/：应用数据
- tmp/：临时文件

安全建议：
- Documents 备份
- Library 不备份
- tmp 定期清理
```

**NSUserDefaults**：
```
用途：存储配置信息
风险：
- 备份可提取
- 明文存储
- 越狱后可读取

安全建议：
- 不存储敏感数据
- 加密存储
- 使用 Keychain
```

**CoreData/SQLite**：
```
用途：存储结构化数据
风险：
- 备份可提取
- 越狱后可读取
- SQL 注入

安全建议：
- 加密数据库
- 参数化查询
- 不存储敏感数据
```

---

## 移动应用漏洞

### OWASP Mobile Top 10

**M1: 不当平台使用**：
```
问题：
- 未使用安全特性
- 忽略安全警告
- 配置错误

示例：
- Android 未启用 ATS
- iOS 禁用 ATS
- 权限配置错误

修复：
- 启用安全特性
- 遵循最佳实践
- 定期审计
```

**M2: 不安全的数据存储**：
```
问题：
- 明文存储敏感数据
- 不安全的存储位置
- 备份泄露

示例：
- SharedPreferences 明文
- SQLite 未加密
- 外部存储敏感文件

修复：
- 加密存储
- 使用安全存储
- 限制备份
```

**M3: 不安全的通信**：
```
问题：
- 未加密通信
- 弱加密
- 证书验证缺失

示例：
- HTTP 传输
- 自签名证书
- 忽略证书错误

修复：
- 强制 HTTPS
- 证书绑定
- 验证证书
```

**M4: 不安全的认证**：
```
问题：
- 弱认证机制
- 会话管理不当
- 凭证泄露

示例：
- 硬编码凭证
- 会话固定
- Token 泄露

修复：
- 强认证机制
- 安全会话管理
- Token 保护
```

**M5: 加密不足**：
```
问题：
- 弱加密算法
- 密钥管理不当
- 加密实现错误

示例：
- MD5/SHA1
- 硬编码密钥
- ECB 模式

修复：
- 使用强算法
- 安全密钥管理
- 正确实现
```

### 常见漏洞类型

**硬编码密钥**：
```
问题：
- 密钥写在代码中
- 反编译可获取
- 无法轮换

示例：
String apiKey = "hardcoded_key";

修复：
- 使用密钥管理
- 动态获取
- 定期轮换
```

**日志泄露**：
```
问题：
- 敏感信息日志
- 日志可读取
- 未清理日志

示例：
Log.d("DEBUG", "Password: " + password);

修复：
- 生产环境禁用日志
- 不记录敏感信息
- 使用安全日志
```

**WebView 漏洞**：
```
问题：
- JavaScript 启用
- 文件访问启用
- 未验证来源

示例：
webView.getSettings().setJavaScriptEnabled(true);
webView.addJavascriptInterface(obj, "interface");

修复：
- 限制 JavaScript
- 验证来源
- 使用安全 WebView
```

**Intent 劫持**：
```
问题：
- 隐式 Intent
- 未验证来源
- 敏感数据传递

示例：
startActivity(new Intent("com.example.ACTION"));

修复：
- 使用显式 Intent
- 验证调用者
- 加密数据
```

---

## 移动网络通信安全

### HTTPS 实施

**证书验证**：
```
Android:
// 默认验证
HttpsURLConnection conn = (HttpsURLConnection) url.openConnection();

// 证书绑定
CertificatePinner pinner = new CertificatePinner.Builder()
    .add("example.com", "sha256/AAAAAAAAAAAAAAAAAAAAAAAAAAAA=")
    .build();
```

**证书绑定**：
```
iOS:
// 默认验证
URLSession.shared.dataTask(with: url)

// 证书绑定
class Delegate: URLSessionDelegate {
    func urlSession(_ session: URLSession,
                    didReceive challenge: URLAuthenticationChallenge,
                    completionHandler: @escaping (URLSession.AuthChallengeDisposition, URLCredential?) -> Void) {
        // 验证证书
    }
}
```

### API 安全

**Token 管理**：
```
Android:
// 安全存储 Token
SharedPreferences prefs = getSharedPreferences("auth", MODE_PRIVATE);
String token = prefs.getString("token", null);

// 使用 Token
Request request = new Request.Builder()
    .addHeader("Authorization", "Bearer " + token)
    .build();
```

**请求签名**：
```
防止请求篡改：
1. 生成签名
   signature = HMAC(secret, request_data)

2. 添加签名
   request.headers["X-Signature"] = signature

3. 服务端验证
   verify_signature(request)
```

### 网络攻击防护

**中间人攻击防护**：
```
1. 证书绑定
   - 绑定服务器证书
   - 防止证书替换

2. 双向认证
   - 客户端证书
   - 服务器验证

3. 公钥绑定
   - 绑定公钥哈希
   - 防止证书更换
```

**重放攻击防护**：
```
1. 时间戳
   - 请求包含时间戳
   - 验证时间范围

2. 随机数
   - 请求包含随机数
   - 防止重用

3. 序列号
   - 递增序列号
   - 防止重序
```

---

## 移动数据存储安全

### 数据加密

**Android 加密**：
```java
// 使用 EncryptedSharedPreferences
EncryptedSharedPreferences prefs = EncryptedSharedPreferences.create(
    context,
    "secret_prefs",
    masterKey,
    EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV,
    EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM
);

// 使用 SQLCipher
SupportFactory factory = new SupportFactory(SQLCipherUtils.getPassphrase(context));
Room.databaseBuilder(context, AppDatabase.class, "db")
    .openHelperFactory(factory)
    .build();
```

**iOS 加密**：
```swift
// 使用 Keychain
let query: [String: Any] = [
    kSecClass as String: kSecClassGenericPassword,
    kSecAttrAccount as String: "account",
    kSecValueData as String: data
]
SecItemAdd(query as CFDictionary, nil)

// 使用 CommonCrypto
let encrypted = data.aes256Encrypt(key: key)
```

### 安全存储最佳实践

**敏感数据存储**：
```
1. 使用系统安全存储
   - Android: Keychain/Keystore
   - iOS: Keychain

2. 加密存储
   - 使用强加密
   - 安全密钥管理

3. 最小化存储
   - 只存必要数据
   - 定期清理
```

**凭证管理**：
```
1. 不硬编码
   - 动态获取
   - 安全传输

2. 安全存储
   - 使用 Keychain
   - 加密存储

3. 定期轮换
   - 定期更换
   - 泄露时立即更换
```

---

## 移动应用测试

### 静态分析

**Android 反编译**：
```bash
# 反编译 APK
apktool d app.apk

# 查看代码
jadx -d output app.apk

# 查看 Manifest
cat AndroidManifest.xml
```

**iOS 反编译**：
```bash
# 提取 IPA
unzip app.ipa

# 查看二进制
otool -L Payload/app.app/app

# 反编译
class-dump -H Payload/app.app/app
```

### 动态分析

**Android 动态分析**：
```bash
# Frida Hook
frida -U -f com.example.app -l hook.js

# 查看日志
adb logcat

# 网络抓包
adb shell dumpsys package com.example.app
```

**iOS 动态分析**：
```bash
# Frida Hook
frida -U -f com.example.app -l hook.js

# 查看日志
idevicesyslog

# 网络抓包
# 配置代理
```

### 自动化测试

**MobSF**：
```
Mobile Security Framework
功能：
- 静态分析
- 动态分析
- 漏洞扫描

使用：
1. 上传 APK/IPA
2. 自动分析
3. 查看报告
```

**QARK**：
```
Quick Android Review Kit
功能：
- Android 安全分析
- 漏洞检测
- 报告生成

使用：
qark --apk app.apk
```

---

## 防护策略与最佳实践

### 开发安全

**安全编码**：
```
1. 输入验证
   - 所有输入验证
   - 白名单验证
   - 长度限制

2. 输出编码
   - WebView 内容编码
   - URL 编码
   - 数据编码

3. 错误处理
   - 不泄露敏感信息
   - 统一错误处理
   - 日志脱敏
```

**安全测试**：
```
1. 静态分析
   - 代码扫描
   - 依赖检查
   - 配置检查

2. 动态分析
   - 运行时测试
   - 网络测试
   - 存储测试

3. 渗透测试
   - 黑盒测试
   - 灰盒测试
   - 白盒测试
```

### 发布安全

**代码混淆**：
```
Android:
# ProGuard/R8
-keep class com.example.** { *; }
-dontwarn com.example.**

iOS:
# 符号剥离
-strip -S app
```

**防逆向**：
```
1. 代码混淆
   - 变量名混淆
   - 控制流混淆
   - 字符串加密

2. 反调试
   - 检测调试器
   - 检测 Hook
   - 检测模拟器

3. 完整性检查
   - 签名验证
   - 文件校验
   - 环境检测
```

### 运营安全

**漏洞管理**：
```
1. 漏洞收集
   - 用户报告
   - 安全研究
   - 自动化扫描

2. 漏洞评估
   - 风险评级
   - 影响范围
   - 修复优先级

3. 漏洞修复
   - 及时修复
   - 测试验证
   - 发布更新
```

**应急响应**：
```
1. 事件检测
   - 监控告警
   - 用户报告
   - 安全研究

2. 事件响应
   - 评估影响
   - 制定方案
   - 实施修复

3. 事后总结
   - 根本原因
   - 改进措施
   - 经验分享
```

---

## 总结与思考

### 核心要点回顾

1. **移动安全特点**
   - 设备物理安全
   - 应用沙箱
   - 权限模型
   - 逆向风险

2. **常见漏洞**
   - 不安全存储
   - 不安全通信
   - 认证问题
   - 加密不足

3. **防护策略**
   - 安全开发
   - 安全测试
   - 代码保护
   - 漏洞管理

### 深入思考问题

1. **隐私与安全的平衡**？
   - 数据收集
   - 用户隐私
   - 合规要求

2. **跨平台安全**？
   - Flutter
   - React Native
   - 统一安全策略

3. **5G 时代的安全**？
   - 新攻击面
   - 边缘计算
   - IoT 融合

### 实战建议

**开发人员**：
1. 安全编码
2. 使用安全库
3. 定期更新
4. 安全测试

**安全人员**：
1. 移动安全测试
2. 逆向分析
3. 漏洞研究
4. 工具开发

**管理层**：
1. 安全预算
2. 安全培训
3. 合规要求
4. 应急响应

---

## 参考资料

### 学习资源
- [OWASP Mobile Security](https://owasp.org/www-project-mobile-security/)
- [Android Security](https://developer.android.com/topic/security)
- [iOS Security](https://www.apple.com/business/docs/iOS_Security_Guide.pdf)

### 工具资源
- [MobSF](https://github.com/MobSF/Mobile-Security-Framework-MobSF)
- [Frida](https://frida.re/)
- [QARK](https://github.com/linkedin/qark)

### 书籍推荐
- 《移动安全攻防实战》
- 《Android 安全揭秘》
- 《iOS 安全剖析》

---

**标记 明日预告**：Day 53 - Android 应用安全测试

> 本文内容仅供学习和研究使用，请勿用于非法目的。所有实验请在隔离环境中进行。

---

*本文是 365 天信息安全技术系列的第 52 篇，Web 安全部分第 22 篇，精编版本*