由中国通信学会主办的“2011中国手机产业发展大会（MICC）”于12月8-9日 在北京国宾酒店隆重召开，大会得到了工业和信息化部、三大运营商、手机厂商 、手机产业链上下游企业、行业专家以及咨询机构的大力支持。本次大会以“网 聚产业力量、携手再创辉煌”为主题，采用主题演讲、高端对话等形式，深入探 讨移动互联网、3G、智能手机、云计算发展浪潮下手机产业的发展趋势，为中国 手机产业可持续发展提供切实的建议和前瞻性思想。

　　下图为泰尔实验室主任何桂立发言。

    何桂立：各位领导、各位专家大家中午好。我跟大家谈一下有关智能终端信息安全方面的问题。首先我们看信息安全目前一些形势，我们说通信网，它最开始是一个封闭的网络，它的设备和系统还有网络都是受到严格的监管。开展的业务像电话、电报、传真，别人改不了，只有把控在我们的运营商手里，他是很好管的。他的信息安全问题可以说是很艰苦的。

　　现在的情况发生了一个非常大的变化，我们有单一的通信网像通信网、互联网和广电网三网融合，融合过程中我们发现网络开放，系统开放，终端开放，业务应用开放，这种开放是超国界的。所以就形成了一个云端、管道和终端的结构，在这上面运行的应用和业务也发生了非常大的改变。这里边包括像电话、短信、QQ、MSN、数据、视频、新闻、广播、社交、电子政务、电子商务、信息咨询等等我们社会上很多行为都可以在网络里边进行，这是跟传统通信网很大的变化。

　　对于信息安全的控制来讲，刚才我也谈到了对于封闭的系统的信息安全控制，设备、网络它的安全是依赖于出厂的时候和运营过程当中的监管，是易控的。对象简单、问题简单，控制也比较容易。现在开放之后，我们整个网络是一个开放的系统，终端也是一个开放终端，所以他是保障设备、保障安全可靠，信息载体的安全，还有信息内容的安全，所以他对象复杂，也不容易控制。如何应对？我们首先来认识一下信息和安全，我们讲到信息和安全的时候，我们在底下讨论的时候经常被从大的信息安全跳到小的信息安全，从小的信息安全跳到大的信息安全。我们希望能够把我们的概念先整合一下，信息是以适当适合于通信、存储和处理形式表彰的智能和知识，实际上它的内涵是和我们的智力和感觉联系在一起。信息域还有信息的安全，信息载体的安全和信息智的安全我们希望能够通过层次把他能够区分开。大家看一下就行了，不一一讲了。我们重点要看信息载体安全和信息内容也就是信息智的安全是不一样的。

　　看这个图，如果我们把这个圆圈比作信息域的话，在这个信息域这个大圈里边有一部分不传输在网络里，比如说书籍、光盘也是信息。在网络域存在才我们要涉及到的网络和信息安全的问题。在这一块我们看到这一部分他是未进入网络环境的信息，像文化信息，人所从事的信息智是融入社会和人的意识和行为之后发生作用。这总归来讲，他是文化和意识形态所管理的一个范畴。所以有的时候我们监管到底说我们管什么？什么东西我们管不了，经常是有一些混淆，但是我们要理清楚到底是什么。

　　在我们传输过程中，信息载体我是用个图表示信息的载体，它的内涵在这个里面。信息载体里边有什么呢？传输过程中信息智，也就是信息内容，这些内容如果说比如说一个计算机或者是一个手机病毒他是怎么发生的？就是他先载过来，然后执行过程中变成融入设备当中的信息智，他使用了设备的一些资源，产生了网络和设备行为。这些行为我们有些行为是非常有害的。还有一些信息智我们说是通过我们的承载系统把信息内容和我们的人的意识和行为是联系起来。也就是通过终端，我们看到了涉黄的东西，违法东西，反动宣传。它跟我们意识形态联系起来，所以在这是信息载体里边的内容是不一样的。

　　我们现在可以说是保障使用者信息安全，主要是保障信息载体的这种安全，网络和设备的安全依赖于对融入网络和设备中的信息智的监控。我们讲应该是网络和设备这种监管主要还是监管在信息体本身的安全以及对这块的监控。

　　我们再看一下智能终端和应用商店信息安全发生的路由和过程是怎样的。互联网，移动互联网分境外网和境内网，中间有关口局来连接的。智能终端和应用商店，通过应用商店，商店后面还有连着第三方应用的服务器，这里边有大量的第三方应用程序的开发者

　　我们这个椭圆圈是表示我们的智能终端，智能终端里边有操作系统，里边还可能装防火墙和杀毒软件。这些应用东西，应用一些非法信息安全，有问题的软件可能被防火墙赌住，到这终止，有一些还会透过来。首先我们看到他还是一个我们叫信息的载体，他包在里边，包在里边的东西如果通过我们的操作系统执行的话就会发生一些问题。比如在应用软件执行过程中，就通过操作系统去调用我们的系统资源，他会产生一个我们叫形成一种错误行为，使承载信息受到威胁，整个分析起来它的过程是这样形成的。并不是说我们进来应用软件里边的一些病毒或者软件他本身就是直接侵害了我们的信息内涵，他是通过行为反映出来。

　　还有一些有毒有害的信息内涵是包在哪？是包在一个壳里边，他在应用商店里面涉黄或者是反动东西，这些内容他打包给你加固或者是加壳，穿透了我们的关口，进入智能终端，最后反映出来。这种反映实际上是对我们社会上面伦理、道德、法律、治安还有国家利益形成一种对抗，这个就是导致我们所谓的公共信息安全问题。

　　还有一些像吸费侵害个人隐私信息和数据，侵害个人利益这一块也是通过操作系统，调用系统资源而形成的对用户的信息安全。

　　智能终端的信息安全包括哪些内容？我们说他有芯片的安全，硬件和接口安全、操作系统安全还有应用软件的安全。我们把这块芯片和硬件接口以及操作系统安全我们把他看成是主动防御，像人体免疫力一样，我们免疫力好的话外来一些病毒感染我的机会就很少。还有一种防御，比如我加防火墙，我对应用软件进行检查和处理，这块我们说是防御性的检查方法。这像我们的食品检查，卫生检查一样。智能终端信息安全措施重点在于载体的安全，我们终端所要关系这些基本问题。芯片安全涉及六个方面内容，一个是芯片对操作系统信息安全的支持，有时候需要硬件做支撑，还有存储数据保护，数据输入输出控制，对基础软件保护，IC芯片远程控制的安全机制，IC对系统后门的制约。对于硬件接口包括我们蜂窝接口，WIFI接口、蓝牙接口、红外接口、USB卡接口、硬件模组、硬件安全措施这几个方面。

　　对操作系统大家都知道，操作系统是一个模块化、层次化的结构，我们讲操作系统是大管家。硬件、键盘、显示器都是硬件资源，还有成型标准化的软件包也是资源，通过我们的操作系统来调用，操作系统的免疫能力评估非常重要，我们称为OS的信息安全的漏洞扫描。OS的信息安全的检查性质刚才我也提到了，他是属于本系统的主动防御的这么一种性质，类似于人的免疫能力的检查。不同于应用软件对信息安全检查，这个检查我们可以打个比方就相当于食品的安全检查。作为OS漏洞检查可以说是一个庞大系统，包括操作系统它的可靠性、可用性，但是基于用户公共信息安全需求提出信息安全检查，是操作系统漏洞扫描的可以说一个很小的极。我们把这个级把握好、掌握好，信息安全的漏洞就会阻止。

　　应用软件安全，在商家前审查好，还有装防火墙和杀毒软件做处理，还有发现之后下架。应外软件安全本质主要是防止智能终端上运行软件出现非预期的行为，出现这种行为之后对用户信息安全造成影响。

　　关于主动防御这块，OS的信息安全漏洞的检查和扫描分成几个级，第一是对公开API进行检查和漏洞扫描，可以称为一级，但是这块不能解决百分之百的问题，但是目前像恶意吸费威胁用户信息安全的问题，我们的问题都是通过公开API来实现，对这块我们做得好可以解决80%的信息安风险。另外我们可以把未公开API和公开API加在一起做，实现更深层次更完整。即便做到这一点，还有一些应用可能会跳过API，所以我们要进行三级预防，通过芯片控制，对整个防御系统起到非常好的保护作用。

　　被动防御里边包括应用软件检查，一个是静态代码测试，他解决就是对应用软件进行用代码库进行分析。还有一个是采用是动态行为检测方法来对应用软件和信息安全进行筛查和维护。

　　总的来讲，实际上目前我们的智能终端出现的各种信息安全的问题，他跟操作系统有直接的很大的关系。由于我们原来没有制定相关标准，所以操作系统开发者对如何去把握信息安全并没有一个一致的意见和方法，所以导致目前信息安全的问题比较严重。

　　现在在CCIC和TC11开展了智能终端信息安全方面标准制定，我想在不久将来通过这些标准实施，会使我们的智能终端和应用在信息安全方面会有非常好的改善，谢谢大家。

(责任编辑：)