Carrier IQ 软件：企业移动安全的重大风险？

最近移动安全及隐私已经成为引起人们相当多讨论的话题。在移动设备上发现诸如Carrier IQ这样的软件已经引发人们对于移动设备的“电子生态系统”上到底存在多少安全及隐私问题的质疑。作为这个问题的延伸，如果类似Carrier IQ这样的软件可能在企业不知情或是准许的情况下传输敏感的公司数据，企业能从移动设备上期望什么级别的安全及隐私呢？
     带着这些问题在本文中我们会审视Carrier IQ软件，它给企业造成的风险，以及企业能够使用的方法来分析安装在他们移动设备上的应用的安全性和隐私性。
     Carrier IQ 软件
     让我们从审查这个受到质疑的软件的预期目的开始。去年安全研究员Trevor Eckhart在多个安卓操作系统的移动设备上发现了Carrier IQ软件，并且发现它能运行在其它平台上、包括来自黑莓公司和诺基亚公司的操作系统。该软件由AT&T公司、Sprint公司和T-Mobile公司使用，据说用于给移动运营商提供度量信息，但是在许多情况下用户们并不知道他们的设备上安装有该软件。
     在一篇新闻发布稿中Carrier IQ公司明确说明该软件的功能：“当我们查看设备性能的许多方面时，我们对性能参数进行计数和汇总，而不是记录用户的键盘敲击或是作为追踪工具而提供”。尽管与早期各种研究人员宣称的情况相反，Virtual Security Research公司的安全研究员Dan Rosenberg核实该软件没有收集“键盘记录、SMS消息、邮件消息以及其它这种性质的数据”。Carrier IQ软件默认由移动运营商、或是手机厂商安装在这些受到影响的设备上，并且将数据通过到某个地方的加密连接传回Carrier IQ公司，这些都写在移动设备上已经设置好的配置文件中。无论网络连接是什么情况数据都会被收集。Carrier IQ公司指明收集的数据是与消费者无关的，但是这个情形下的消费者是移动运营商或是手机厂商，而不是最终消费者或是企业客户。所以企业会质疑他们的公司数据确切被传输到哪当然是可以理解的。
     牢记Carrier IQ软件收集的大部分信息已经被手机上自带的应用在本地记录，或者是被无线运营商收集。某些数据、例如可能记录的URL已经由于网络性能的原因被Web代理服务器收集。尽管Carrier IQ聚合所有这些数据对于隐私来说不一定有好处，更值得我们关注的是设备发送数据到外部的那些利益方。
    企业移动安全：信息安全风险
     Carrier IQ像其它移动平台应用一样给企业造成了类似的信息安全风险，但是随着该软件被广泛地部署以及收集的数据，毋庸置疑它会引发人们不断的关注。可能的风险之一是该软件自身存在可能被利用的漏洞，可能会影响到大量的设备。这种情况是合情合理的：如果该软件安装在数以百万计的设备上，攻击者们将会渴望找到软件的缺陷并开发出对应的exploit，因为他们可能立刻获得对众多设备的访问权限。理论上该漏洞可以用来窃取收集到的数据，修改配置文件来将数据发送到攻击者控制的服务器上，或是在设备上安装恶意软件。
     为了缓和人们对它关注的程度，由Carrier IQ软件收集数据的行为是侵入性的，但是不如其它设备收集数据那样具有侵入性。例如，苹果公司曾有一个追踪用户位置的数据库，在被公之于众后被关闭；或是苹果公司为了审美目的如何对你最近的行为进行截屏。知名的移动设备取证专家Jonathan Zdziarski也撰文提到在越狱的iPhone系统上禁用该功能的两个步骤。人们更为普遍地关注消费者和企业需要信任手机厂商和运营商来抵制默认情况下在移动设备上安装恶意软件。
     对已安装应用安全性和隐私性的分析
     如果企业充分地关注移动设备的安全性和隐私性问题，在短期来看从移动手机上移除Carrier IQ和类似的软件能够做的事情不多。但是有几个步骤能对移动设备上的传输数据提供额外的洞察。企业可以使用一些同类的用于取证分析的工具来分析设备，然后抓取未加密的网络流量来弄清哪些数据被传输。企业能够在设备上搜索未加密的敏感数据、或是通过在设备上仔细浏览命名古怪的文件来寻找意想不到的数据。例如企业能对设备进行快照，安装评估版的软件并且在安装之后进行快照来判断当安装之后到底发生了哪些改变。此后，可以进一步调查这些变化。除了这些标准的功能性测试以外，对新设备进行一次彻头彻尾地调查、包括分析文件系统的变化来辨识数据的收集和存储。
     类似的准备工作也可用在网络流量上来判断是否从设备上有任何未知的数据被发送出去。在设备上直接地捕获数据是不太可能的，因为这会需要对移动设备完全的访问，许多企业可能没有具有所有设备的访问权限。企业能够使用路由方法、或是借助到中间人连接的开放无线网络来捕捉未加密的数据和IP流信息。一旦企业能够监控网络连接，当手机空闲或是某个应用被使用时可以捕捉一个小时或是更多的数据。接着能分析数据来查看是否有任何未加密的数据，哪些数据被发送以及发往何处。例如，如果用户没有主动地使用设备或是应用，但是它仍在发送数据，企业应该密切地分析发送哪些数据。这些网络连接可能仅仅是检查邮箱、到Facebook、Twitter网站或是执行其它一些预料内的功能。
     从移动电子生态系统上学到的安全教训
     这会是最后一个移动软件、或是无线运营商或手机厂商采取的最后一次行动么？这些都侵犯了他们用户的隐私权或是将用户暴露给了攻击。不太可能。但愿移动电子生态系统厂商从此次Carrier IQ软件事故中吸取到一些教训，来更好地处理安全性和隐私性问题。不幸的是已经有许多同类的发现被报道，关于在移动设备和计算机上存在该软件或是其它类似的软件。一个关键的沟通本来能够预防人们对Carrier IQ软件产生喧嚣，即运营商和手机厂商对在移动设备上默认安装软件进行清楚、透明的沟通，包括收集哪些数据和如何被使用。
     增加在移动设备上默认安装的软件透明度有助于消费者理解在日常的使用中移动设备上的哪些数据被收集，以及潜在的安全风险。不断增加的透明度也有助于与消费者之间的关系，并且确保消费者能够信任他们的运营商和手机厂商。让我们盼望在未来我们能看到更多此类的情况发生。
     关于作者
     Nick Lewis，获CISSP认证，他是圣路易斯大学的一名信息安全架构师。Nick于2005年从挪威治大学获得信息保障科学硕士学位，2002年从密歇根州立大学获得通信学位。2011年加入圣路易斯大学之前Nick曾在密歇根大学工作，之前分别在波士顿儿童医院、哈佛医疗学校第一儿科教学医院，以及Internet2组织和密歇根州立大学就职。