黄斐一　孙立军　孔繁盛

1 概述

近些年来，移动互联网的安全问题受到越来越多从业者的关注和研究，如何构建移动互联网安全框架的课题也变得越来越重要。如果参照传统的7层OSI网络架构的思路去构建移动互联网安全框架，类似从物理安全、主机安全、中间件安全、操作系统安全到应用层安全这样的分层分类方式则呼之欲出。遗憾的是移动互联网业务种类和场景的多样性使得这种通用型的框架在实际工作中并没有多少实用价值。不同业务特性的巨大差异使得这些业务面临的安全威胁及其安全侧重点也各不相同，为这些不同种类的业务设计一个相对统一的、有实际参考价值的安全框架正在成为一个重要的研究课题。

如果回想一下我们耳熟能详的移动互联网业务，最先浮现在我们脑海的是如微信、QQ、飞信这样的即时通讯业务，如新浪微博、百度视频这样的内容型业务，如豌豆荚、机锋市场这样的应用商城业务，如百度地图这样的基于位置的应用。用户在使用这些业务的时候可能涉及注册、登录等环节，可能会阅读他人发布的文字或多媒体内容，可能会从应用商城中购买、下载一些应用，可能会使用GPS定位功能。如果这些场景的安全漏洞被利用，用户可能会因为业务流程的漏洞在注册过程中遭受短信炸弹的攻击，可能因为下载了带有恶意代码的应用使得手机感染病毒；业务可能因为恶意用户发布、转载色情内容遭受大面积投诉和舆情主管部门的处罚，也可能因为内部管理不善造成大面积的用户信息泄露事件。……