和大多數(shù)操作系統(tǒng)一樣，人們以前在提到iOS的時(shí)候幾乎不會(huì)第一時(shí)間把它與安全設(shè)計(jì)聯(lián)系在一起。然而，安全問(wèn)題在現(xiàn)實(shí)生活中其實(shí)已經(jīng)變得越發(fā)重要，特別是針對(duì)企業(yè)應(yīng)用。對(duì)于蘋(píng)果之前在安全問(wèn)題上的“無(wú)動(dòng)于衷”，人們大都選擇了視而不見(jiàn)，這主要是因?yàn)榇罅康牡谌桨踩珡S(chǎng)商填補(bǔ)了這個(gè)大坑。
此前，蘋(píng)果在安全管理的缺陷是由移動(dòng)設(shè)備管理(MDM)和移動(dòng)應(yīng)用管理(MAM)彌補(bǔ)的，現(xiàn)在蘋(píng)果通過(guò)對(duì)iOS 7的改善來(lái)主動(dòng)解決了這個(gè)問(wèn)題。其中最吸引眼球的就是Touch ID，第一次在手機(jī)上使用生物識(shí)別技術(shù)。第二個(gè)突破就是遠(yuǎn)程鎖定(Remote Lock)，防止手機(jī)丟失或被盜。除了這兩個(gè)廣為人知的突破，接下來(lái)向大家介紹一下iOS 7在企業(yè)安全上的設(shè)計(jì)是如何發(fā)生一個(gè)質(zhì)的飛躍。
Find My iPhone和遠(yuǎn)程鎖
如果手機(jī)被偷或者被盜，可以通過(guò)Find My iPhone將手機(jī)定位。在iOS 7的iPhone上，用戶(hù)只需要通過(guò)Find My iPhone就可以阻止其他人使用。不管用何種形式將手機(jī)進(jìn)行wipe，只要iCloud的用戶(hù)不是最開(kāi)始設(shè)定的用戶(hù)，手機(jī)就一直無(wú)法使用。
這項(xiàng)新技術(shù)不管是對(duì)商務(wù)人士還是普通消費(fèi)者都會(huì)有巨大的幫助。現(xiàn)在用戶(hù)要是丟失了手機(jī)，他們就可以有更大的幾率失而復(fù)得。如果手機(jī)被偷，首先，丟失的數(shù)據(jù)是絕對(duì)安全的。其次，小偷望著這堆廢銅爛鐵也是無(wú)可奈何。
如果想要使用Find My iPhone的激活鎖，用戶(hù)需要先進(jìn)行關(guān)閉設(shè)備上的Find My iPhone、抹掉(wipe)設(shè)備、重新激活設(shè)備并進(jìn)行使用的順序進(jìn)行使用。
MDM、MAM、EMM，蘋(píng)果在“三”管齊下
MDM最開(kāi)始是由黑莓發(fā)明的，但是MDM業(yè)務(wù)是蘋(píng)果“拿”走了黑莓的API之后公開(kāi)化的?，F(xiàn)在提供MDM服務(wù)的公司，例如MobileIron、AirWatch和Good Technology規(guī)模都很大。
雖然蘋(píng)果的MDM API直到現(xiàn)在都是受限制的，這些第三方的MDM服務(wù)商設(shè)計(jì)出了新的技術(shù)來(lái)更好的管理設(shè)備，提供更精準(zhǔn)的MDM服務(wù)。MDM也正在不斷向MAM(Mobile Application Management)和MCM(Mobile Content Management )方向拓展。
現(xiàn)在通過(guò)MDM API，IT管理員可以將應(yīng)用發(fā)送到設(shè)備上，并且在系統(tǒng)后臺(tái)默默地安裝。員工無(wú)需花費(fèi)時(shí)間認(rèn)證，應(yīng)用會(huì)自動(dòng)地出現(xiàn)在你的設(shè)備中。這一功能既適用于iTunes的所有應(yīng)用，也適用于專(zhuān)門(mén)為公司打造的應(yīng)用。
在iOS 7中，蘋(píng)果大幅度地提高了iOS的設(shè)備管理能力。舉例來(lái)說(shuō)，企業(yè)IT用戶(hù)可以改變或者移除設(shè)備上的賬號(hào)、控制iOS 7設(shè)備想要通過(guò)藍(lán)牙接入的設(shè)備、控制用戶(hù)對(duì)手機(jī)的基本設(shè)置、強(qiáng)行禁用個(gè)人熱點(diǎn)、查看設(shè)備設(shè)置更改情況和限制廣告追蹤等等。企業(yè)還可以在購(gòu)買(mǎi)設(shè)備的時(shí)候直接進(jìn)行MDM的登記。
蘋(píng)果將以上這些功能捆綁出售，這是否給使用MDM的公司一種“強(qiáng)買(mǎi)強(qiáng)賣(mài)”的感覺(jué)呢?目前還不得而知?？梢灾獣缘氖?，大公司中正式授權(quán)成為蘋(píng)果客戶(hù)的占極少數(shù)。小公司也在與Android和Windows Phone有合作的意向，這是因?yàn)榇蠖鄶?shù)可以得到更好的服務(wù)。但是強(qiáng)大的基線(xiàn)安全(Baseline Security)對(duì)于安裝基數(shù)的整體安全性總是一件好事。
多終端連接
多終端鏈接是iOS 7中的新功能，帶有iOS 7及以上的設(shè)備之間可以通過(guò)藍(lán)牙、基礎(chǔ)Wi-Fi和點(diǎn)對(duì)點(diǎn)Wi-Fi進(jìn)行交流。一旦連接上，設(shè)備之間可以相互發(fā)送信息類(lèi)數(shù)據(jù)和流數(shù)據(jù)。必須要強(qiáng)調(diào)的是，這種多終端連接是支持安全驗(yàn)證和數(shù)據(jù)加密的。企業(yè)用戶(hù)可以充分利用這一點(diǎn)。
修復(fù)了80個(gè)漏洞!之前到底錯(cuò)過(guò)了多少?
每一次新版本的iOS都會(huì)修復(fù)舊版本中的安全問(wèn)題，但是iOS 7在安全問(wèn)題上的改善遠(yuǎn)遠(yuǎn)要比歷次多。之前有傳出蘋(píng)果的iOS 7修補(bǔ)了iOS 6的80多個(gè)漏洞，僅就這一點(diǎn)，用戶(hù)的壓力變得很大，因?yàn)樘O(píng)果沒(méi)有再去為iOS 6打補(bǔ)丁了。
每一款蘋(píng)果設(shè)備的更新通常會(huì)把老設(shè)備列入“不支持”的名單中，3GS和第一代iPad就不支持iOS 7，這也就意味著這兩款設(shè)備在安全性上存在風(fēng)險(xiǎn)。
80個(gè)漏洞中的兩個(gè)最重要的漏洞彰顯了事態(tài)的嚴(yán)重性，CVE-2013-1025是一個(gè)潛伏在iOS繪圖系統(tǒng)CoreGraphics的緩沖區(qū)溢出。通過(guò)一個(gè)惡意的PDF文件就可以控制進(jìn)程，好在只能發(fā)生在沙箱瀏覽器的環(huán)境中。CVE-2013-3953是一個(gè)特權(quán)擴(kuò)大的漏洞(privilege escalation vulnerability)，惡意程序可以借此破壞整個(gè)沙箱。如果VE-2013-1025和CVE-2013-3953共同得到合理地利用，特權(quán)擴(kuò)大的問(wèn)題將會(huì)使緩沖區(qū)溢出的攻擊發(fā)揮到極致。這恰恰就是著名的越獄軟件JailbreakMe正在做的事情：將代碼執(zhí)行和特權(quán)擴(kuò)大的漏洞結(jié)合在一起，通過(guò)一個(gè)簡(jiǎn)單的瀏覽器完成越獄。
打開(kāi)方式控制
當(dāng)用戶(hù)點(diǎn)擊分享去指定一個(gè)應(yīng)用文件打開(kāi)方式的時(shí)候，會(huì)產(chǎn)生許多潛在的軟件問(wèn)題，因?yàn)橐恍?yīng)用可能存在安全隱患。
iOS 7中的MDM帶有可被管理的打開(kāi)方式，IT人員能在共享面板中配置可用的app列表。這可確保工作文檔始終以企業(yè)app運(yùn)行，還可防止個(gè)人文檔在被管理的app里打開(kāi)。
默認(rèn)加密類(lèi)
在所有的iOS系統(tǒng)中，包括iOS 7，開(kāi)發(fā)者可以把應(yīng)用生成的相關(guān)文件用以下三種默認(rèn)加密類(lèi)完成加密：
無(wú)：文件無(wú)需加密
帶有授權(quán)的完全加密：iOS重啟后，在用戶(hù)第一次輸入驗(yàn)證密碼之前，數(shù)據(jù)是完全加密的。輸入密碼之后數(shù)據(jù)就會(huì)徹底失去加密狀態(tài)。
完全加密：簡(jiǎn)單來(lái)說(shuō)，只要設(shè)備處于上鎖狀態(tài)，數(shù)據(jù)就會(huì)自動(dòng)加密。
為每個(gè)應(yīng)用單獨(dú)設(shè)置VPN
移動(dòng)端的系統(tǒng)級(jí)別VPN通常是不受歡迎的，一部分是因?yàn)榘踩珕?wèn)題，另一部分是因?yàn)楣緵](méi)有必要通過(guò)他們的VPN幫助用戶(hù)處理與工作無(wú)關(guān)的流量。
現(xiàn)在，IT人員可將應(yīng)用設(shè)置為在啟動(dòng)時(shí)自動(dòng)連接至VPN。通過(guò)為應(yīng)用單獨(dú)設(shè)置VPN，IT人員能對(duì)企業(yè)網(wǎng)絡(luò)訪(fǎng)問(wèn)進(jìn)行精確控制。它可確保由被管理的應(yīng)用傳輸?shù)臄?shù)據(jù)總是經(jīng)過(guò)VPN，而諸如員工的個(gè)人網(wǎng)絡(luò)瀏覽活動(dòng)等其它數(shù)據(jù)，則不會(huì)經(jīng)過(guò)VPN。
簡(jiǎn)化企業(yè)登陸
沒(méi)人愿意重復(fù)輸入密碼，更別提在在一塊小屏幕上輸入了。通過(guò)企業(yè)登錄(Enterprise single sign-on)，IT人員可以允許用戶(hù)通過(guò)一系列的企業(yè)認(rèn)證就可以授權(quán)使用任意應(yīng)用。之前版本的iOS對(duì)這一行為只是用于統(tǒng)一供應(yīng)商，現(xiàn)在不管是哪個(gè)供應(yīng)商的應(yīng)用，IT管理員都可以用同一套認(rèn)證系統(tǒng)就可以幫助用戶(hù)輕松使用。
Touch ID，在爭(zhēng)議中保護(hù)用戶(hù)信息?
前幾年，移動(dòng)設(shè)備添加生物學(xué)也有過(guò)嘗試，但是當(dāng)時(shí)得出的結(jié)論是不好用、不可靠、不好賣(mài)。在那時(shí)就已經(jīng)有言論預(yù)測(cè)，蘋(píng)果會(huì)是先行者。
Touch ID是一個(gè)指紋識(shí)別器，內(nèi)嵌在了Home鍵中，目前只有在iPhone 5S上可以看到它。用戶(hù)的認(rèn)證、授權(quán)和下指令都不會(huì)離開(kāi)它。
之前一段時(shí)間確實(shí)有消息說(shuō)Touch ID的安全性不敢恭維，特別是對(duì)于企業(yè)用戶(hù)。值得強(qiáng)調(diào)的是，Touch ID不是一個(gè)雙保險(xiǎn)，與密碼鎖是不能同時(shí)共存的。從單一角度來(lái)看，先認(rèn)證指紋再輸入密碼鎖這種復(fù)雜、繁瑣的登錄方式同樣會(huì)毀掉用戶(hù)體驗(yàn)，蘋(píng)果不希望這么干。
事實(shí)上，Touch ID帶來(lái)的輔助功能也沒(méi)有想象中的那么簡(jiǎn)單。使用Touch ID的用戶(hù)需要再設(shè)置一個(gè)密碼當(dāng)做備份。當(dāng)設(shè)備重啟或者48小時(shí)之內(nèi)沒(méi)有被鎖的話(huà)，用戶(hù)就需要輸入密碼了。這種方式或許更加適合那些希望手機(jī)變得更安全的企業(yè)IT人士，在安全和繁瑣操作中尋找一個(gè)平衡點(diǎn)。
從iOS4開(kāi)始，蘋(píng)果一直在企業(yè)領(lǐng)域通過(guò)硬件文件系統(tǒng)加密和MDM為企業(yè)服務(wù)。這次的iOS 7會(huì)大大強(qiáng)化iOS在企業(yè)應(yīng)用中的功能。即使主要客戶(hù)群仍然是普通消費(fèi)者，蘋(píng)果仍然在低調(diào)地將對(duì)企業(yè)的支持變得高調(diào)。
京公網(wǎng)安備 11010502049343號(hào)