三大措施确保移动信息安全

相对于固网而言，移动信息安全面临着更为严峻的形势。从总体上来看，手机病毒、开放的移动网络以及不安全的身份验证，是移动应用当前面临的主要信息安全问题。与此同时，解决之道也要从以上三个问题上“对症下药”采取措施。移动应用的信息安全问题，主要体现在三个方面。

第一，智能手机的普及，令各种病毒开始瞄准移动终端设备，病毒发作后轻则让手机瘫痪，重则让移动银行账户的巨款不翼而飞；移动设备由于无法像电脑一样方便地进行系统重装而更加脆弱，更加容易遭到攻击而无法恢复。

第二，移动网络是一个开放的网络，无线信道是一个开放的信道，没有传输加密机制，没有身份验证机制，甚至可以认为比固网的互联网还要开放，所传输的信息更容易被非法截获、非法窃听和非法篡改。所以，如果不采取任何加密措施，基于GPRS数据传输的各种移动应用的机密数据可以说真的是毫无安全性可言。

第三，各种移动应用的身份验证，和其他电脑上的应用一样基于用户名和密码。这种方式是非常不安全的，因为这些无线传输的用户名和密码太容易被截获了。

借鉴传统信息安全产业的做法，针对以上三个问题，可以分别采取不同的应对策略。

对于手机病毒而言，尽管许多杀毒软件提供商开始提供手机防病毒软件，但“防”绝对是防不胜防的，关键是智能手机要支持数字签名安全机制。目前，基于Symbian操作系统的诺基亚和索尼爱立信手机在这方面支持得很好，没有数字签名的软件是不允许安装的，这样就能彻底杜绝用户可能安装恶意软件而感染病毒的可能，是治本的解决方案。国产手机在这方面则有相当大的差距。可以说，不支持数字签名安全机制的手机就不能称之为智能手机，中国手机制造业需要支持数字签名安全机制与制订行业标准。

无论是基于WAP还是Web的无线访问移动应用系统，同互联网一样都是明文传输的，所以各种机密信息在无线网络中传输时是很不安全的，必须部署SSL证书来加密传输的机密信息。这不仅要求服务器端部署SSL证书，还要求移动终端设备也要支持SSL加密（即：支持https浏览），而目前只有一些国外品牌（如：诺基亚和索尼爱立信）的手机才支持，国产手机基本上都不支持。

由于无线网的开放性，所以用户名和密码方式的身份验证方式非常不安全，最可行的方案是在手机SIM卡中集成客户端证书（个人证书或设备证书），用客户端证书实现强身份验证、数字签名和数据加密。这当然更需要移动运营商和手机制造商的支持，但从技术上来讲是非常容易实现的，需要的是业界有一个标准来统一部署实施。

(人民邮电报)