Discuz! Board

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
查看: 1|回复: 0

新闻转载OPPO云密码本背后的安全技术:端云协同的安全密钥技术

[复制链接]

4万

主题

0

回帖

13万

积分

超级版主

Rank: 8Rank: 8

积分
136082
发表于 2024-10-23 09:41:00 | 显示全部楼层 |阅读模式

11月29日,OPPO技术开放日第六期在成都1906创意工厂-A11举行。本期活动以"应用与数据安全防护"为主题,聚焦密钥、恶意行为检测等移动应用背后的安全技术,分享OPPO在安全领域的比较新技术成果与行业解决方案,推动安全生态的建设。quickq的具体问题可以到我们网站了解一下,也有业内领域专业的客服为您解答问题,为成功合作打下一个良好的开端!https://www-quickq.com/



OPPO云密码本背后的安全技术:端云协同的安全密钥技术


前不久的2022 OPPO开发者大会,OPPO正式发布COS 11。全新的COS 11系统搭载OPPO端云协同的安全密钥技术。OPPO基于端云协同安全密钥技术为支撑,现了用户密码的安全托管和安全同步。


OPPO端云协同的安全密钥技术以安全的跨平台自动同步、应用间互相隔离的单独密钥体系、OPPO法解密和攻击者法窥探为目标,构建安全的密钥管理方案,进而现保护用户数据的目的。


我们来看看密钥的攻击入口有哪些。从密钥的生成、分发、使用、撤销、销毁、归档、备份、更新、存储的完整生命周期中可能遇到的攻击分析入手,比较可能遭受攻击的是生成、传输、使用、存储阶段。OPPO端云协同的安全密钥技术,在设计上重点考虑在以上敏感阶段如何缓解可能遇到本地暴力破解、云端暴力破解、侧信道分析和中间人攻击、端侧渗透攻击、云端渗透攻击等常见类型攻击。





在端云协同的安全密钥技术使用的安全工具方面,主要通过硬件安全环境(SE、TEE、HSM集群)保障密钥的生成、使用安全,同时使用HTTPS、SRP、 E2E安全信道保障传输交互的安全性,并使用账号密码、安全密码、短信安全码、可信设备证书等诸多因子保证身份认证的安全性。


OPPO端云协同的安全密钥技术具备非常广泛的应用场景,例如对地图收藏、历史轨迹、个人浏览记录、浏览标签同步、屏幕使用时间等行为特征类数据的保护,以及对W-F密钥、蓝牙密钥、T设备配对密钥等密钥类数据的保护。未来,OPPO端云协同的安全密钥技术会应用到更多的场景,为用户数据隐私保驾护航。


OPPO通过AES密钥白盒解决密钥安全问题


现如今,数据及信息安全已逐渐演变为密钥安全。如果密钥不安全,加密便形同虚设。目前,业内密钥安全需求主要包括核心技术保护、终端数据安全、防止密钥窃取和数据传输安全四个层面,AES密钥白盒的出现在一定程度上解决了密钥的安全问题。


白盒将密钥扩展并融入到了加密运算中,使得密钥在整个加密过程中不再明文出现,从而达到隐藏和保护的目的。白盒的现方式主要有种,分别是查找表技术、插入扰乱项和多变量密码。即使有了白盒的保护,密钥也并不绝对安全,白盒也面临着多种多样的攻击。


AES密钥白盒受到的攻击方式主要包括两种,一种是BGE攻击,另外一种就是DFA攻击。OPPO安全针对以上攻击方式,提供了扩展T-B、随机置换、迭代混淆等多种防护方案,在性能保证的基础上更进一步保障密钥的安全。


除了AES算法之外,OPPO安全还深度研究了国密SM4、ECC、RSA等算法,在更多的安全技术探索和算法研究的基础上,为开发者和应用平台提供更质的解决方案,携手保护用户隐私。


检测移动恶意应用与提升恶意行为检测能力


随着移动恶意应用的恶意行为和攻击方式愈加复杂,加固保护愈来愈多样化。当前,恶意行为的静态代码分析面临着程序化难度大、人力投入大、成本变高等难点,OPPO为应对以上难点并弥补静态检测的缺点,引入了动态检测的方法,从而更精准高效地检测出存在恶意行为的应用。


动态分析检测方法是对应用行为进行判断和检测。基于恶意行为的动态分析检测方法,应用很多时候都需要调用系统的API来执行各种功能。动态分析检测可以通过审查应用对系统API的调用序列和各API的调用参数以及API调用的背景环境,用明确的逻辑判断该应用是否有执行恶意行为。这样能够帮助开发者和应用平台对恶意扣费、恶意传播、资费消耗、间谍监控、隐私窃取等行为进行有效的检测,将恶意行为暴露,保护用户的隐私安全和财产安全。


在新型恶意攻击方式不断涌现、恶意软件自身行为持续演化、恶意软件对抗行为日益普遍的背景下,自然语言处理、深度学习等智能化方法与程序分析技术不断发展并融合,激发出了多种基于智能化技术的恶意行为检测新思路。这些新技术的应用显著提升了恶意行为的检测能力,为移动生态的安全带来了更多的保障。


例如,面对新型攻击不断涌现,WV新型恶意行为检测技术能够对A--W攻击进行建模,并通过自动化检测工具发现多款新型恶意软件;面对恶意软件不断演化,通过对API语义的构建和利用,可以增强现有检测模型的可持续检测能力;面对对抗行为不断加剧,通过对轻量级敏感行为进行监控,可以对恶意行为进行高效检测。


OPPO在SDK安全质量保障方面的践方案和移动应用安全践


随着移动互联的高速发展,移动应用中引入第方SDK的数量剧增,而方SDK往往会成为移动应用整体的安全短板。OPPO基于方SDK安全检测的工作践结合SDL施的经验总结,落地了一套移动方SDK安全质量保障践方案。


针对方SDK主要包括隐私合规检测、漏洞检测和恶意行为检测个重点检测内容,OPPO采用静态污点分析技术, 将敏感数据标记为污点(S点),然后通过跟踪和污点数据相关的信息的流向, 检测在关键的程序点(S点)是否会影响某些关键的程序操作,从而识别程序是否存在安全风险。


在技术维度,OPPO制定了"安全检测项-反调用检测-黑单库-安全检测报告"的方SDK检测流程。


在安全流程的维度,OPPO基于方SDK安全检测的工作践结合SDL施的经验总结,制定了"安全评审-黑单匹配-安全扫描-人工审计"的方SDK安全质量保障流程,保障OPPO终端安全应用的安全。


而面向移动应用安全,OPPO与参会的安全从业者交流了A平台上的应用安全问题、安全技术发展以及OPPO在移动应用安全领域的行动和积累。


OPPO规划了层次的移动应用安全平台整体架构。首层是终端安全能力,包括安全加固和安全SDK;第二层是云端安全测评,包括文件扫描、广告检测、仿冒检测、漏洞扫描等等;第层是行业安全解决方案,比如广告反作弊、广告反切量等等。


剖析安全风险、聚焦业务场景,OPPO为开发者和用户提供便捷、稳定、有效、全面的业务安全防护与用户隐私保护能力,并为此制定了清晰的规划:基础安全能力建设、用户隐私保护落地、移动端风控基础能力补齐、行业安全解决方案。


通过本期OPPO技术开放日,OPPO安全团队为到场的安全领域从业者和高校学生,详细解读了应用与数据安全防护,以及OPPO安全技术建设和相关成果。OPPO安全热切期待更多安全专家能够加入,一同为保护用户数据安全而努力,推动安全生态的建设。
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|手机版|小黑屋|首页-和茂光颜料有限公司

GMT+8, 2024-10-31 15:16 , Processed in 0.271530 second(s), 18 queries .

Powered by Discuz! X3.4

© 2001-2023 Discuz! Team.

快速回复 返回顶部 返回列表