《BREW进阶与精通——3G移动增值业务的运营、定制与开发》连载之16---BREW精要之安全性-阿里云开发者社区

开发者社区> 安全> 正文

《BREW进阶与精通——3G移动增值业务的运营、定制与开发》连载之16---BREW精要之安全性

简介: 版权声明:本文为半吊子子全栈工匠(wireless_com,同公众号)原创文章,未经允许不得转载。
版权声明:本文为半吊子子全栈工匠(wireless_com,同公众号)原创文章,未经允许不得转载。 https://blog.csdn.net/wireless_com/article/details/4369929

 

移动通信网正在以IP为核心实施承载网的技术变迁,业务网将依托在以IP为技术基础的承载网之上已没有太多的悬念。然而,现有IP承载网不能保证相应的安全性和可信任性,且加密技术滥用和失控,给信息安全造成了一些威胁。作为一种移动增值业务平台,BREW所提供的安全性是独一无二的。

4.3.4.1 系统安全

由于安全性涵盖面很广,即使OSI网络分层模型也存在不同的安全层面,上层的安全只有在下层的安全得到保障后才有意义,具有一定的传递性。所以当一个应用系统宣称自己是安全的系统之前,必须在不同层都拥有足够的安全性。按粒度从粗到细的排序是:系统级安全、程序资源访问控制安全、功能性安全、数据域安全。不同系统的系统级安全关注点往往差异很大,有很大部分的业务系统甚至不涉及系统级安全问题。

            1)系统级安全:BREW的系统级安全是由所承载的无线网络决定的。以CDMA网络为例,能够实现访问IP段的限制,登录时间段的限制,连接数的限制,特定时间段内登录次数的限制等,是应用系统第一道防护大门。

2)资源访问控制安全 :在BREW的客户端上,为应用程序提供了与其权限相关的设定,仅其权限相符功能才能被执行。

3)功能性安全:功能性安全会对BREW应用流程产生影响,为了保证BREW应用的安全性,所有的BREW商业应用都是经过严格测试的,也就是说,通过第三方独立测试(TRUE BREW TEST)来保证增值业务功能的安全性。

4)数据域安全:BREW中数据域的首要控制是数字签名控制的执行,不正确登陆的程序将不可能被执行,BREW执行环境启动/强制执行所有的其它控制和防御。数字签名是安全领域的有力武器,根密钥在VeriSign vault里,VeriSign 另有附加口令探测密钥的安全机制。

除此之外,基于BREW的移动增值业务分发渠道是单向的。应用程序一旦获得商用数字签名,将永远不可被修改,应用程序始终被数码签名保护。开发商的应用程序在BDS的下载服务器里,除了OTA以及运营商授权的预安装之外,他人一般没有获得或篡改该应用程序的渠道。在手机上任何修改,即使是一个字节, 都将被探测到并禁止执行。从而,病毒没有繁殖传播的可能性。也就是说,应用程序的发布不是对等流程, 也就没有传统的高速传播路径供病毒繁殖传播。资源访问控制的安全性使得一个程序不能改变或侵蚀另外一个程序,这种几乎不传播的可能性将促使病毒爱好者几乎望洋兴叹。

4.3.4.2 终端安全

BREW中使用一种名为 AEESafeMode 的机制来防止有问题的 BREW 应用程序导致的设备崩溃。手机设备首次崩溃后,此机制将在重新启动时将设备置于监察模式并启动一个计时器。计时器的持续时间由手机厂商配置。

如果计时器超时,此机制将运行级别转回正常模式。如果设备在计时器超时前再次崩溃,设备重新启动时将再次进入安全模式并启动计时器。在设备返回正常模式前禁止所有 BREW 应用程序创建活动。通过重新调用或升级有问题的应用程序可以恢复到正常模式。以下的图表显示了正常、监察和安全模式之间的转换关系。

4-9 BREW中的AEESafeMode 机制

4.3.4.3 内容安全

对于应用内容而言,BREW提供了完备的应用认证与管理(图4-10),能够确保一个用户下载的应用程序只能为该客户所使用,从而有效地防止应用软件的非法复制与盗版现象,保证运营商和开发商以及用户的合法权益不受到侵害。

4-10 BREW应用的认证管理及数字签名

手机是一种必须重视安全性能的设备,用户在手机上使用的应用程序也必须能保证安全,能够在实现信赖性时发挥作用的是数字签名。所有应用程序如果没有开发人员或者运营商的电子签名,在BREW中将无法运行。对于那些数字签名有可能被更换的应用程序,则被判断成为有可能感染了病毒,从而在BREW环境下无法运行。 BREW要进行两次电子签名确认。第一次是在下载应用程序时,第二次是当运行下载的应用程序时还需要进行确认,这是为了避免下载后的应用程序被篡改成其他程序。

 

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:
+ 订阅

云安全开发者的大本营

其他文章