導(dǎo)讀：三星KNOX平臺(tái)已通過(guò)NSA批準(zhǔn)用于保護(hù)機(jī)密數(shù)據(jù)，但該平臺(tái)并非完全沒(méi)有風(fēng)險(xiǎn)。本文中，專(zhuān)家Michael Cobb介紹了其中的風(fēng)險(xiǎn)。

Michael Cobb是認(rèn)證信息系統(tǒng)安全架構(gòu)專(zhuān)家(CISSP-ISSAP)，知名的安全作家，具有十多年豐富的IT行業(yè)經(jīng)驗(yàn)，并且還從事過(guò)十六年的金融行業(yè)。他是Cobweb Applications公司的創(chuàng)始人兼常務(wù)董事，該公司主要提供IT培訓(xùn)，以及數(shù)據(jù)安全和分析的支持。Michael還合著過(guò)IIS Security一書(shū)，并為領(lǐng)先的IT出版物撰寫(xiě)過(guò)無(wú)數(shù)科技文章。此外，Michael還是微軟認(rèn)證數(shù)據(jù)庫(kù)系統(tǒng)管理員和微軟認(rèn)證專(zhuān)家。

NSA最近批準(zhǔn)KNOX平臺(tái)可用于保護(hù)基于Android的三星設(shè)備中的機(jī)密數(shù)據(jù)，但我聽(tīng)說(shuō)，該平臺(tái)并沒(méi)有想象中那么安全。三星KNOX有哪些安全問(wèn)題?企業(yè)應(yīng)該怎樣做來(lái)緩解其帶來(lái)的風(fēng)險(xiǎn)?

Michael Cobb：三星KNOX被設(shè)計(jì)用于解決開(kāi)源Android平臺(tái)中的安全缺陷，它提供獨(dú)立的分區(qū)或容器，以隔離個(gè)人數(shù)據(jù)和業(yè)務(wù)數(shù)據(jù)。其中容器有其自己的加密文件系統(tǒng)，讓受保護(hù)的應(yīng)用與容器外的應(yīng)用隔開(kāi)。

KNOX軟件被安裝在各種三星Android Galaxy設(shè)備中。三星Galaxy4、5和Galaxy Note3以及Note10.1 2014版最近都經(jīng)過(guò)NSA審核，被列入保密項(xiàng)目商業(yè)解決方案組件清單(CSfC)中，在結(jié)合KNOX管理套件使用時(shí)，這些設(shè)備可用于機(jī)密政府網(wǎng)絡(luò)和數(shù)據(jù)。這對(duì)三星的SAFE(Samsung For Enterprise)起著重要的推動(dòng)作用，可幫助推廣其設(shè)備到企業(yè)和政府客戶(hù)。

KNOX應(yīng)用需要用戶(hù)使用密碼和PIN登錄，但一名安全研究人員最近發(fā)現(xiàn)，PIN以純文本格式存儲(chǔ)在名為pin.xml的文件中。任何可訪(fǎng)問(wèn)該手機(jī)的人都可以讀取純文本PIN，并用它來(lái)找回忘記密碼提示，而這剛好是該密碼的長(zhǎng)度，其中第一個(gè)和最后一個(gè)字符可見(jiàn)。另外，所使用的加密密鑰就是該設(shè)備的Android ID和硬編碼字符串。

這看起來(lái)似乎像是三星KNOX的重大安全問(wèn)題，但正如我以前所說(shuō)，我們應(yīng)該查看頭條新聞背后的原創(chuàng)性研究，看看真正的問(wèn)題是什么，以及它是否真正會(huì)危及數(shù)據(jù)和網(wǎng)絡(luò)安全。這可以避免企業(yè)將資金和人力浪費(fèi)在與其IT環(huán)境不相關(guān)的威脅中。

這位研究人員的說(shuō)法是對(duì)的，并且很多人都在傳播這種說(shuō)法，但這其實(shí)只是針對(duì)預(yù)裝KNOX Personal應(yīng)用。KNOX EMM是用于管理用戶(hù)、應(yīng)用和跨平臺(tái)設(shè)備的云計(jì)算管理產(chǎn)品，它并不是該研究人員分析的一部分。顯然，以純文本保存用戶(hù)的PIN以向用戶(hù)提供密碼提示的做法僅限于KNOX 1.0的Personal容器，該容器旨在讓消費(fèi)者體驗(yàn)KNOX容器。也許事實(shí)是這樣，但以純文本形式存儲(chǔ)任何登錄憑證都很難讓人接受，更讓人難以接受的是，在三星網(wǎng)站并沒(méi)有指出個(gè)人容器的安全性要弱于企業(yè)容器。三星只是聲稱(chēng)：“KNOX企業(yè)容器不會(huì)存儲(chǔ)任何可替換PIN用于密碼恢復(fù)目的”以及“三星KNOX設(shè)備已通過(guò)多項(xiàng)安全認(rèn)證，包括FIPS 140-2和MDFPP(移動(dòng)設(shè)備基礎(chǔ)保護(hù)框架)等”。

雖然安全認(rèn)證提供了一定的保障，但很多認(rèn)證(例如FIPS 140-2)產(chǎn)品被發(fā)現(xiàn)有嚴(yán)重的缺陷，包括蘋(píng)果的GotoFail SSL漏洞和Blackberry OS 10漏洞—與Flash和Heartbleed相關(guān)。KNOX并不是開(kāi)源產(chǎn)品，因此我們不可能對(duì)它如何部署安全性進(jìn)行全面分析，并且，我們不清楚CSfC項(xiàng)目評(píng)估的是哪個(gè)版本的KNOX。對(duì)于有較高安全要求的企業(yè)，一定要確保用戶(hù)不要使用Personal版本的KNOX，以保護(hù)敏感數(shù)據(jù)的安全，并應(yīng)對(duì)保持或處理敏感數(shù)據(jù)的產(chǎn)品執(zhí)行自己的風(fēng)險(xiǎn)分析，畢竟安全認(rèn)證不能百分百保證安全性。

另外，管理員需要了解其用戶(hù)使用的三星設(shè)備版本，以及每個(gè)版本實(shí)際支持的安全功能。安全團(tuán)隊(duì)?wèi)?yīng)關(guān)注三星和谷歌的警報(bào)信息，以保持了解最新情況，特別是因?yàn)锳ndroid 5.0 Lollipop開(kāi)始利用KNOX容器技術(shù)。同時(shí)，最好使用內(nèi)置Android加密來(lái)加密個(gè)人數(shù)據(jù)，因?yàn)檫@會(huì)使用基于密碼的密鑰導(dǎo)出函數(shù)((PBKDF2)，它不會(huì)保留在設(shè)備中。