为泛终端软件保驾护航 2019软件绿色联盟开发者大

11月19日，2019软件绿色联盟开发者大会在北京国家会议中心顺利召开。本次大会议题精彩纷呈，不仅有来自各行业的专家大咖解读当下泛终端软件发展趋势，还有来自顶级互联网公司的一线技术开发者为现场超过2000名开发者讲解前沿技术落地实践。作为软件行业发展的基础，信息安全技术是生态建设中必不可少的一环。在本次大会中，诸多专家学者共同讲述了他们在安全领域的实践经验，为参会者指点迷津。

在大会开始，软件绿色联盟理事长杨泽民便对绿盟在安全方面做出的贡献进行了梳理。作为一家开放性非盈利性组织，软件绿色联盟持续致力于为用户打造安全信赖、健康、放心的中国软件绿色生态。为持续规范应用行为，提升用户使用体验，今年联盟制订了《软件绿色联盟应用体验标准3.0》。新的标准在安全方面着墨颇多，不仅新增了隐私保护标准，还进一步完善了全线的机制。，在大会上还有诸多来自联盟成员的技术专家发表了在软件安全方面的技术观点。

　移动设备可信基(TCB)的今生与来世

在大会主论坛上，蚂蚁金服副总裁韦韬针对当下安全形势讲解了《移动设备可信基(TCB)的今生与来世》。

韦韬表示，当前互联网产业中的安全和隐私越来越重要，而其核心还是在于获得用户的信任。信任是社会中最重要的综合力量之一，它会简化人与人之间的合作关系，也让各种社会活动更高效的推进。关键技术推广时，也必须要解决信任问题。科技信任不仅仅是纯技术问题，既有理性的刚性部分也有感性的弹性空间。科技公司要知托付，对用户托付的风险充满敬畏;要守有责，要尽到自己的社会责任和业务责任;要零透支，不能让用户信任的情感弹性过载，要及时解决出现的安全和隐私问题。一旦透支用户的信任，将会对公司和行业都会造成严重的打击，修复需要漫长的时间和巨大的代价。

移动生态中，信任是整个生态的基础。在各类App越来越复杂的今天，移动生态信任的建立相当大程度上依赖于可信执行环境(Trusted Exectuion Environment, TEE)。TEE解决了设备可信标识、安全敏感功能的隔离和验证，以及对生物特征感知识别的保障等核心问题。

TEE被赋予了越来越多的职责，也面临着越来越多的挑战，也是未来整个行业需要携手共同推进解决的问题。是TEE在承载越来越复杂的可信应用的时候，要保障和验证的不只是TEE内核的安全，TEE应用的安全验证和保障也愈发重要;，TEE也是下一步解决隐私保护的重要途径，但需要业界共推标准化;，现在黑产已经在滥用移动设备上的隐私保护机制，反过来对用户的隐私、资产和权益造成严重破坏，业界也急需发展和标准化保护隐私能追踪黑产滥用的可信技术，这对于行业的健康发展也至关重要，真正形成对整个社会大众的普惠。

移动安全攻与防

大会下午还开设了 “安全、性能与体验优化”专题分论坛， 360安全技术总监曹阳分享了《移动安全攻与防》。

随着移动互联网的快速发展，破解者的攻击技术也日新月异，开发者的防御成本持续增高。在终端代码的破解、逆向等领域，攻防的焦点从整体上来讲分为3个点注入、运行和协议。注入就是黑客对进程的入侵，分为有root权限方式和无root权限方式;运行就是在进程内能做哪些操作，例如内存修改、进程调试、函数拦截、程序脱壳、代码盗用等;协议就是目标进程与第三方进行通信，其通信过程如何被拦截、篡改和伪造。

针对这些安全威胁，360团队的保护方案分4类程序加壳、协议保护、源码保护和H5保护。程序加壳解决的是注入和运行里大部分的问题，核心技术是代码虚拟化保护等;协议保护，主要针对程序加壳保护不了的通信部分。技术上基本围绕HTTPS的证书校验做防护;源码保护，是对SO保护的强度提升，把保护方案提前到开发编译的时候;核心技术是基于LLVM中间语言的虚拟化保护;H5保护，为了满足混合开发的安全需求而推出，核心技术有Webview强化、H5自释放自解密、Js虚拟化保护等方案。

软件供应链中SDK的安全隐患与监测

随后，腾讯安全高级工程师王葵也对移动应用软件供应链中第三方SDK的安全隐患与监测做出了演讲。

第三方SDK已经成为移动开发上越来越重要的一个环节，各类的APP平均会集成将近20个SDK。但第三方SDK在广泛使用的，其相关的安全问题也日益凸现。主要包括在3个方面。第一，第三方SDK的开发者在安全能力水平是参差不齐的，并且绝大部分的SDK都缺乏必要的安全审核环节，可能会引入一些安全漏洞。第二，第三方SDK私自收集用户数据;第三，一些恶意的开发者已经深入到SDK的开发环节，通过提供第三方服务的形式来吸引APP开发者来使用他们的SDK，在应用运行期间通过云端控制来下发指标的形式来做恶意的操作。

SDK监测解决方案主要包含4个部分，第一，第三方SDK的识别，主要就是要分析APP中集成了哪些第三方的SDK;第二， SDK恶意性的监测，通过APP的恶意监测比较，监测是否存在一些移动端病毒定义的相关恶意行为;第三，SDK的漏洞和隐私合规的监测，主要监测SDK之中是否存在安全漏洞和搜集使用的数据是否符合隐私规范;第四，SDK运行时的敏感行为监控，很多SDK存在着热更新的能力，需要监控它在运行期间是否有下发恶意子包的行为。

移动终端软件环境变化的安全隐患

当前的移动终端软件所面临的安全环境与传统网络环境有一定的区别，随着移动端用户的数量暴增，移动安全的重视程度也随之提升。

华为消费者BG OS产品总监黄明功在《华为终端软件分布式体验实践及能力总览》的演讲中，对当下的移动终端软件环境变化进行了详细的解读。黄明功表示，当前全球智能手机总持有量趋于稳定，但随着5G时代的到来，未来泛终端设备将会继续高速增长。与此，当前的泛终端设备是一个一个的信息的孤岛，会导致泛终端设备联网率和使用率低，消费者从购买到使用，每个操作环节都在考验用户的耐心，厂商存在巨大潜在损失。