2、移动应用安全与创业经历分享

移动应用安全与创业经历分享

1. 移动应用安全隐患

在 2016 年 11 月，大约有 100 万部安卓手机从谷歌应用商店下载可能无用的应用程序，安装后还留下了好评。很可能存在类似 Gooligan 这样的情况，应用开发者可以付费获得五星评价，就像能找到保证增加 Twitter 或 Facebook 粉丝数量的服务一样。

1.1 手机攻击情况

直接攻击手机往往费力不讨好，单枪匹马的黑客很难做到，像 Gooligan 这样有组织的恶意软件攻击通常是大型有组织团体所为。很多数据泄露的细节仍被隐藏，我认为大量数据记录被盗的原因是黑客从半受信任的来源发起攻击。

1.2 应用开发的安全误区

开发者在构建应用时，通常会构建或集成带有 API 层的后端，再开发与之通信的移动应用。由于后端和移动应用由同一团队开发，后端开发者可能会有以下想法：
- 我的 API URL 是未公开的，别人不知道。
- 我的 API 只能被我们内部开发的移动应用访问。

这些假设在不考虑产品整体安全时很常见，但却是错误的。它们会导致安全措施松懈，比如在手机和服务器之间传输过多数据、依赖手机进行身份验证、将部分处理工作卸载到手机上或在手机上存储敏感数据。实际上，应用和后端之间传输的数据并非安全无虞。

1.3 黑客攻击示例

以一个真实故事为例，当一款应用受到用户、投资者和媒体关注时，也会吸引黑客的注意。一个无聊但有技术的黑客会下载应用到已 root 的安卓手机上，连接到笔记本电脑，使用工具查看应用和后端之间的通信流量。他可能会发现应用在只需要发送姓名的请求中发送了手机号码和信用卡号等敏感信息，