移动应用安全：常见威胁与防护方法

什么是移动应用安全？

移动应用安全（移动应用程序安全）是保护移动应用、其处理的数据以及其连接的服务免遭未经授权访问、滥用和网络攻击的实践。

这一防护很重要，因为移动应用常被用于银行、购物、消息、访问企业系统等敏感活动。应用中的安全弱点可能会暴露个人信息、登录凭据、支付数据或企业记录。

移动应用安全不同于侧重保护手机或平板本身的移动端设备安全（device security），也不同于关注个人信息收集与共享的应用隐私问题。

责任也是共同分担的：开发者需要在构建与测试时保证应用安全，组织需要管理访问并保护后端系统，用户则需及时更新应用并保护其账户与数据。

移动应用安全最常见的威胁与漏洞有哪些？

漏洞是应用或其支撑系统中的弱点。攻击手法是利用这些弱点的方式。后果可能从数据丢失到几乎立即发生的财务损失不等。

常见风险同时影响 Android 与 iOS 应用，并与 OWASP Mobile Top 10 中列举的问题重合，包括不安全的数据处理、薄弱认证、易受攻击的通信和不安全的软件组件。这些弱点可能影响从银行、购物应用到消息平台和企业软件的各类服务。

不安全的数据存储与通信

如果应用在设备上以不安全方式存储敏感信息、通过防护薄弱的连接传输，或依赖易受攻击的 APIs，敏感信息就可能被暴露。

这会使个人信息、登录凭据、支付详情和业务数据面临风险。一个不安全的金融应用可能泄露交易细节，或是一个存在漏洞的企业应用泄露客户记录或机密文档。

薄弱的认证与访问控制

不严密的认证、不安全的会话处理和薄弱的授权可能使攻击者访问本不应接触的账户或信息。

可能的后果包括账户接管、权限升级或访问其他用户的数据。在购物应用中，这可能导致保存的支付信息被暴露；在企业应用中，未授权用户可能查看内部记录或使用管理员功能。

恶意软件、应用篡改与逆向工程

移动威胁还包括恶意应用、间谍软件、银行木马以及伪装成正规应用的假冒版本。这类程序可能被用于窃取凭据、监控活动或劫持支付流程。

逆向工程是分析应用代码或行为以理解其工作原理。尽管逆向有助于正当的安全研究，攻击者也可能利用其发现弱点或绕过保护。应用篡改指未经授权的修改，可能改变功能、破坏安全控制或促成欺诈。合法应用也可能包含被攻击者利用的漏洞。

过时的软件与易受攻击的组件

应用通常依赖第三方 SDKs、库和其他软件组件。如果这些组件过时或不安全，即便应用自身代码设计良好，也可能引入弱点。

未打补丁的应用与不再受支持的组件尤其危险，因为已知漏洞可能继续被利用。软件供应链问题也可能在多个应用同时受到影响，尤其当它们依赖相同的易受攻击组件时。

移动应用安全检查清单应包含哪些内容？

移动应用安全检查清单应覆盖五大核心领域：架构与权限、认证与授权、数据存储与隐私、网络通信与 APIs，以及应用完整性与测试。

这些防护应贯穿于应用的开发与维护阶段。开发者与运营移动服务的组织应以 OWASP Mobile Application Security Verification Standard（MASVS）为参考，并结合 Android 与 iOS 的安全建议来实施。

安全架构与权限

应用应遵循最小权限原则。仅为用户组件和服务授予必需的访问权限。

开发者应避免硬编码密码、API 密钥和其他秘密，尽量减少敏感信息的暴露。第三方 SDKs 和依赖项应在其生命周期内持续评估漏洞，应用架构应限制单个组件被攻破时的影响范围。

认证与授权

认证应安全地验证用户身份，授权应控制每个用户可访问的内容。重要的访问决策应在服务器端强制执行，而不是仅依赖移动端应用。

应用应支持适当的 MFA 和安全的账户恢复机制。认证令牌应通过安全存储与谨慎的会话管理来保护，防止用户访问超出其权限的信息或功能。

安全的数据存储与隐私

移动应用的加密有助于保护存储在设备与后端系统中的敏感信息。结合适当的访问控制与安全的密钥管理，加密 可降低未经授权的数据暴露风险。

Android Keystore 可在 Android 设备上安全存储加密密钥。iOS Keychain 为凭据和其他小型敏感数据提供受保护存储。这些机制不应成为存储不必要信息的借口。

应用还应尽量减少不必要的数据收集与保留，并防止敏感数据出现在日志、备份、通知或暴露的接口中。

安全的网络通信与 APIs

应用与其服务器之间的通信应使用 HTTPS 并配置适当的 TLS。

APIs 应要求安全的认证与授权，并在服务器端验证请求。对于高风险应用，可能需要额外防护以防拦截或篡改，但敏感数据绝不应通过不安全通道传输。

应用完整性与安全测试

应用完整性控制有助于检测或阻止未经授权的修改，而移动应用安全测试可识别攻击者利用之前的漏洞。两者结合可帮助开发者在应用生命周期内降低安全风险。

代码混淆、完整性校验与运行时防护能使逆向工程与篡改变得更困难。然而，这些措施不能保证应用完全免疫攻击。

安全测试应内建于开发流程，而非留到发布后再做。测试可以包括：

• SAST: 检查源代码或二进制以发现安全弱点。
• DAST: 测试运行中的应用以查找可利用的行为。
• 漏洞评估：识别并优先处理已知弱点。
• 渗透测试：模拟真实攻击，检验漏洞是否能被实际利用。

在重大应用变更后以及新威胁或漏洞出现时，应重复进行测试。

如何提升移动应用安全？

移动应用安全取决于应用如何构建以及如何被使用。开发者负责安全设计、编码、测试与后端防护，个人与企业可通过更安全的应用选择、账户安全、权限管理与设备管理来降低风险。

安全软件可以为某些威胁增加一层保护，例如 恶意软件、网络钓鱼 和恶意链接检测，但它无法修复应用代码中的不安全实现或服务提供方后端系统的漏洞。

个人的移动应用安全最佳实践

• 从可信来源下载应用：优先选择信誉良好的应用商店，核对开发者，并对不熟悉的 APK 文件或安装链接保持警惕。
• 审查权限：限制对位置、联系人、相机、麦克风等敏感信息的非必要访问。
• 保持应用更新：及时安装应用与操作系统更新，移除不再使用或不受支持的应用。
• 保护账户：使用独特密码、密码管理器并在可用时启用 MFA（多因素认证）。
• 留意可疑行为：调查不熟悉的应用、意外的权限请求、异常登录提醒或未授权的账户活动。
• 使用合适的安全软件：选择信誉良好的移动防护产品，帮助检测恶意应用、网络钓鱼与不安全链接，具体功能取决于设备与支持情况。

面向小型企业的移动应用安全最佳实践

小型企业应将员工指导与对哪些移动应用可访问公司信息的控制相结合。

• 控制应用使用：定义哪些应用被批准访问业务系统与数据。
• 保护企业账户：要求适当的 MFA 并根据员工职责限制权限。
• 管理移动风险：为公司拥有与 BYOD 设备访问业务应用设定最低安全要求。
• 保护公司信息：限制对客户记录、机密文档与连接云服务的不必要访问。
• 培训员工：帮助员工识别恶意应用、欺诈安装链接与可疑登录请求。
• 使用合适的安全措施：结合 端点防护、账户安全、访问控制与员工安全意识，而非依赖单一防护。

Kaspersky Small Office Security 可通过保护支持的企业设备与账户，支持更全面的小型企业 网络安全。获奖的防护且无需 IT 团队。

如果移动应用被攻破该怎么办？

如果怀疑移动应用被攻破，请停止使用该应用、保护受影响账户，并调查是否有敏感信息被暴露。快速行动有助于限制未经授权的访问、财务损失及进一步损害。

1. 识别可疑活动： 注意不熟悉的应用、意外的权限请求、安全提醒、未授权交易或异常账户活动。
2. 遏制威胁： 停止使用受影响的应用。如怀疑存在恶意软件，在适当情况下断开设备网络连接并移除或隔离恶意应用。
3. 保护您的账户： 使用可信设备更改可能已被入侵的密码，撤销活动会话，并启用多因素认证。
4. 检查是否有信息被暴露： 确认个人信息、支付信息、登录凭据或业务记录是否可能被访问。
5. 通知相关方： 如果财务信息存在风险，请联系银行。对于企业应用，请向您的 IT 管理员或安全团队报告事件。
6. 监控后续威胁： 关注可疑登录、未授权交易及其他持续被攻破的迹象。

延伸阅读：

• 如何避免数据被盗？
• 智能手机用户的移动安全最佳提示是什么？
• 保护我的设备的必要 Android 安全提示有哪些？
• Android 与 iPhone 在移动安全上有哪些关键差异？

推荐产品：

• Kaspersky Premium
• 下载我们高级计划的免费 30 天试用
• Kaspersky Mobile Security

FAQs

如何判断移动应用是否安全？

没有单一标志能证明应用完全安全。可参考的指标包括开发者信誉、定期更新、合理的权限请求、安全的登录选项以及通过可信渠道分发。对于高风险应用，开发者还应遵循如 OWASP MASVS 等公认标准。

什么是移动应用威胁监测？

移动应用威胁监测是指观察来自应用或设备的信号，以检测篡改、无效的代码签名、异常的 API 请求、机器人活动或其他攻击迹象。它能帮助开发者了解应用发布后如何被针对。

移动应用安全测试与渗透测试有何区别？

移动应用安全测试是更广泛的过程，使用静态分析、动态测试、配置审查和依赖项检查等方法来查找漏洞。渗透测试则更侧重于模拟现实攻击，以确定已识别的弱点是否能被实际利用。

什么是移动应用认证？

移动应用认证利用平台提供的证据，帮助服务器评估应用的身份与完整性。根据具体机制，它可用于检测未经授权的修改或可疑环境，但不能保证应用或设备完全安全。