在移動(dòng)互聯(lián)時(shí)代，BYOD所帶來的風(fēng)險(xiǎn)主要是針對(duì)具備計(jì)算功能以及短訊和語音功能的移動(dòng)平臺(tái)如智能手機(jī)和平板電腦設(shè)備。典型的情況是這些移動(dòng)設(shè)備通常也具有大量的存儲(chǔ)容量,這些設(shè)備通過數(shù)據(jù)泄漏、惡意軟件、未經(jīng)授權(quán)的應(yīng)用程序和不恰當(dāng)?shù)脑L問，對(duì)于企業(yè)來說代表著一個(gè)混合型的威脅。許多移動(dòng)設(shè)備如智能手機(jī)和平板電腦通常是從用戶的角度來設(shè)計(jì)的。他們是用戶友好的，他們通常有一個(gè)內(nèi)置的安全模型作為操作系統(tǒng)的一部分來防止用戶受到各種各樣的威脅。他們首先考慮到的是生產(chǎn)力的集中，安全性能只是其次要的考慮因素。但他們確實(shí)是具備一些內(nèi)置的安全功能的。

然而，這些風(fēng)險(xiǎn)對(duì)于企業(yè)來說是不可回避的，高層管理者們需要保持足夠的警惕和重視。在本文中我們將著眼于與企業(yè)移動(dòng)設(shè)備相關(guān)的主要風(fēng)險(xiǎn)，包括對(duì)于設(shè)備本身以及這些設(shè)備中運(yùn)行的應(yīng)用程序存在的風(fēng)險(xiǎn)，企業(yè)在確定適當(dāng)?shù)膶?duì)策之前對(duì)風(fēng)險(xiǎn)有一個(gè)清楚的了解是必要的。

BYOD風(fēng)險(xiǎn)的分類

影響移動(dòng)設(shè)備的安全風(fēng)險(xiǎn)分為兩類：

設(shè)備風(fēng)險(xiǎn)：這是建立在今天的智能手機(jī)和平板電腦其實(shí)是一種新型的擁有本地和云端存儲(chǔ)功能的高效能計(jì)算機(jī)這一事實(shí)基礎(chǔ)上的，而且比起較為傳統(tǒng)的、容易理解的臺(tái)式電腦和筆記本電腦，當(dāng)今的企業(yè)組織較少能夠控制這些移動(dòng)設(shè)備。

應(yīng)用程序風(fēng)險(xiǎn)：這種風(fēng)險(xiǎn)源于最終用戶安裝的第三方應(yīng)用程序，這些應(yīng)用程序通常可以訪問到公司的數(shù)據(jù),將數(shù)據(jù)存儲(chǔ)到設(shè)備上,并上傳到公司周邊之外的地方。

設(shè)備風(fēng)險(xiǎn)

由于智能手機(jī)和平板電腦在本質(zhì)上基本可以算作計(jì)算機(jī)，它們很容易受到跟電腦同樣的威脅。這些威脅可以利用底層操作系統(tǒng)的漏洞導(dǎo)致數(shù)據(jù)丟失和被盜，對(duì)設(shè)置進(jìn)行更改，阻斷服務(wù)，入侵受保護(hù)的內(nèi)部網(wǎng)絡(luò)，諸如此類。

就像感染電腦一樣，惡意軟件同樣可以感染智能手機(jī)和平板電腦。惡意軟件可以形成一個(gè)平臺(tái)，在這個(gè)平臺(tái)上攻擊者可以實(shí)施網(wǎng)絡(luò)入侵和數(shù)據(jù)盜竊。一臺(tái)受損的移動(dòng)設(shè)備可以作為進(jìn)入網(wǎng)絡(luò)并竊取數(shù)據(jù)的一個(gè)很好的工具，特別是如果在一個(gè)組織內(nèi)沒有把它視為一種重大威脅的話，那么因此，它就不會(huì)像計(jì)算機(jī)工作站一樣受到很好的保護(hù)。

以下部分討論了對(duì)設(shè)備來說存在的其他威脅。

數(shù)據(jù)存儲(chǔ)風(fēng)險(xiǎn)

現(xiàn)代智能手機(jī)、相機(jī)和平板電腦含有大量的閃存并且可以通過USB接口使用，這就允許了數(shù)據(jù)小偷可以悄悄地復(fù)制文件。移動(dòng)設(shè)備有如此多的存儲(chǔ)容量，以至于他們可以被用于竊取許多組織中的所有數(shù)據(jù)。在移動(dòng)設(shè)備上的數(shù)據(jù)存儲(chǔ)可以輕松地批量下載大量數(shù)據(jù)——就像用一個(gè)巨大的網(wǎng)來釣魚一樣——數(shù)據(jù)竊賊肯定會(huì)在他們收集的文件中找到寶貴的知識(shí)。這些設(shè)備會(huì)對(duì)組織的數(shù)據(jù)構(gòu)成嚴(yán)重威脅，因?yàn)橄啾绕鹩脖P或記憶棒他們不太"明顯"，導(dǎo)致很難檢測(cè)到任何隱藏在他們里面的被盜數(shù)據(jù)。移動(dòng)設(shè)備上的板載內(nèi)存存儲(chǔ)通常允許他們作為存儲(chǔ)設(shè)備安裝在任何計(jì)算機(jī)上。這意味著它們可以用來復(fù)制數(shù)據(jù)，于是導(dǎo)致數(shù)據(jù)被盜或被濫用。一旦移動(dòng)設(shè)備獲取了數(shù)據(jù)，對(duì)于組織來說則更加難以控制。數(shù)據(jù)也可以通過電子郵件附件和其他應(yīng)用程序的方式被盜或者被濫用。

弱密碼風(fēng)險(xiǎn)

考慮到計(jì)算平臺(tái)基本都對(duì)外提供數(shù)據(jù)與資源服務(wù)，假如平臺(tái)支持終端用戶使用密碼進(jìn)行驗(yàn)證連接，那么攻擊者通過猜測(cè)或者截取可以獲得用戶密碼，這種情況下，移動(dòng)設(shè)備成為攻擊計(jì)算平臺(tái)上用戶數(shù)據(jù)和資源的入口。這對(duì)于電子郵件來說是特別重要的，因?yàn)槿绻阌忻艽a(或者PIN)，進(jìn)入一個(gè)智能手機(jī)或平板電腦閱讀電子郵件是比較容易的。

WI-FI劫持風(fēng)險(xiǎn)

類似于中間人攻擊(Man-in-the-Middle)， WI-FI劫持是惡意攻擊者通過使用在公共場(chǎng)所設(shè)立的免費(fèi)WI-FI熱點(diǎn)而實(shí)施的，而用戶一般希望在這些地方能找到免費(fèi)的無線——機(jī)場(chǎng)、咖啡廳、公園以及市中心地區(qū)。然而這些熱點(diǎn)，經(jīng)常受到期待收獲個(gè)人信息、財(cái)務(wù)數(shù)據(jù)和密碼的攻擊者的監(jiān)控。

熱點(diǎn)風(fēng)險(xiǎn)

移動(dòng)設(shè)備可以用來束縛計(jì)算機(jī)或者以其他方式作為一個(gè)無線網(wǎng)絡(luò)，使它們周圍的計(jì)算機(jī)可以使用該無線網(wǎng)接入到互聯(lián)網(wǎng)，就像一個(gè)普通的WI-FI或者藍(lán)牙接入點(diǎn)。附近攻擊者還可以連接到這些移動(dòng)設(shè)備為終端用戶的個(gè)人使用所創(chuàng)建的熱點(diǎn)，在用戶不知情的情況下，他們可以對(duì)本地網(wǎng)絡(luò)及其設(shè)備發(fā)動(dòng)攻擊。

基帶竊聽風(fēng)險(xiǎn)

由于智能手機(jī)包含網(wǎng)絡(luò)和語音功能，網(wǎng)絡(luò)可以用于危害語音功能。行動(dòng)電話可以被那些危害智能手機(jī)的網(wǎng)絡(luò)攻擊者攔截。這些攻擊可能利用智能手機(jī)底層硬件里的漏洞，如iPhone和Android設(shè)備所使用的硬件和固件。 諸如這些之類的攻擊利用智能手機(jī)的基帶處理器，顛覆它使之變成竊聽器，允許入侵者通過使用內(nèi)置的麥克風(fēng)竊聽談話，甚至在沒通話的時(shí)候。

藍(lán)牙竊聽和模糊測(cè)試

大多數(shù)最終用戶把他們的藍(lán)牙設(shè)備的PIN密碼設(shè)置為默認(rèn)的PIN密碼(他們幾乎總是設(shè)置為0000或1234)。即使先進(jìn)的技術(shù)專家對(duì)于這一塊都沒有太多研究，他們可能都不知道如何更改這些代碼。因此，攻擊者可以輕松匹配手機(jī)或設(shè)備并使用該連接來偷竊或截取數(shù)據(jù)(或竊聽電話)。此外，一種稱為"模糊測(cè)試"的攻擊可以通過藍(lán)牙配對(duì)執(zhí)行。模糊測(cè)試攻擊利用藍(lán)牙設(shè)備固有的軟件漏洞發(fā)送無效數(shù)據(jù)從而引發(fā)異常行為，如崩潰、特權(quán)擴(kuò)大和可以植入惡意軟件的入侵行為。

應(yīng)用風(fēng)險(xiǎn)

移動(dòng)設(shè)備的第三方應(yīng)用程序是由你不認(rèn)識(shí)的人在你無法控制到的環(huán)境寫的，并且你看不到他們寫的過程，開發(fā)生命周期，或者對(duì)于質(zhì)量的控制。幾乎任何人都可以上傳應(yīng)用程序到應(yīng)用商店。這些應(yīng)用程序可能是惡意的，也可以有意或無意地"繞開"在您的組織內(nèi)建立的安全策略和安全標(biāo)準(zhǔn)。

以下分別討論與這些應(yīng)用程序相關(guān)的風(fēng)險(xiǎn)。

木馬程序

與個(gè)人計(jì)算機(jī)一樣，看似有用的應(yīng)用程序可以被惡意軟件感染到。他們可以是逼真的應(yīng)用程序，可以直接危及到移動(dòng)設(shè)備，或是包含隱藏代碼的實(shí)際應(yīng)用程序，可能在稍后的時(shí)間感染到電話機(jī)。早在2011年3月，一個(gè)涉及到“Droid Dream”木馬的惡意軟件爆發(fā)，由于該木馬隱藏在很多應(yīng)用程序中，其中一些應(yīng)用程序是合法的、富有成效的和在授權(quán)的Android市場(chǎng)里可用的(現(xiàn)在稱為谷歌應(yīng)用市場(chǎng))。

隱藏惡意鏈接

縮短鏈接或重定向鏈接是一種針對(duì)包括郵件鏈接或網(wǎng)頁鏈接常用的方法，這種方法取代了用復(fù)雜的位置信息來填充屏幕的方法。這使得用戶看不到最終位置，直到用戶單擊該鏈接來找到它。此外，在屏幕上顯示的鏈接文本可能不同于嵌入到網(wǎng)頁代碼的實(shí)際鏈接，尤其是對(duì)電子郵件來說。 攻擊者可以使用此項(xiàng)技術(shù)把用戶引入到惡意網(wǎng)站。在移動(dòng)設(shè)備上，在訪問這些惡意網(wǎng)站之前去驗(yàn)證鏈接對(duì)于用戶來說是非常困難的，不同于計(jì)算機(jī)上鼠標(biāo)指針懸停在鏈接文本處就可以顯示出實(shí)際的鏈接位置。

網(wǎng)絡(luò)釣魚

網(wǎng)絡(luò)釣魚在移動(dòng)設(shè)備與計(jì)算機(jī)上表現(xiàn)出完全相同的風(fēng)險(xiǎn)。網(wǎng)絡(luò)釣魚使用一貫技術(shù)，發(fā)送包含惡意附件的電子郵件或網(wǎng)絡(luò)鏈接，用一些假的，但是看起來逼真的信息來欺騙終端用戶打開這些附件或鏈接。 此項(xiàng)技術(shù)用于竊取個(gè)人信息，如銀行帳號(hào)、信用卡號(hào)碼或用戶名和密碼。

短信詐騙

類似于網(wǎng)絡(luò)釣魚，短信詐騙使用短信引誘毫無戒備的最終用戶撥打一個(gè)聲音電話從而套出個(gè)人信息。這些短信包含了一個(gè)看起來真實(shí)(而且緊急)的要求，可以是因安全原因需要來要求確認(rèn)詳細(xì)信息或是要求確認(rèn)購買、退款，或付款。

遠(yuǎn)程設(shè)備操控

現(xiàn)代汽車已經(jīng)變得計(jì)算機(jī)化、網(wǎng)絡(luò)化、相互關(guān)聯(lián)的以及和智能手機(jī)可互操作的。因此，攻擊智能手機(jī)使得攻擊者能夠遠(yuǎn)程啟動(dòng)、開鎖、追蹤或操作和受控制的智能手機(jī)連接的車輛。