常玲，赵蓓，薛姗，马力鹏

（中国移动通信集团设计院有限公司，北京 100080）

移动应用安全防护技术研究

常玲，赵蓓，薛姗，马力鹏

（中国移动通信集团设计院有限公司，北京 100080）

本文首先分析了移动应用的安全现状，提出了移动应用安全评估方法，包括客户端安全评估、服务器安全评估和业务流程安全评估，最后给出了移动应用典型安全漏洞及其检查方法与加固建议，包括敏感数据暴露、鉴权机制缺陷、代码保护不足、公共组件漏洞和应用配置错误。

移动应用；安全评估；鉴权机制；代码保护

1 引言

近年来我国移动互联网产业发展迅速，移动互联网用户规模不断扩大。相应的，移动互联网应用软件产业也在飞速发展。在Google Android开放平台的强力冲击和苹果公司的稳步发展下，国内外官方和第三方的应用商店不断涌现，每时每刻都有数款新的移动应用发布、下载、更新。

2 移动应用安全现状

来自比达咨询发布的报告显示，中国智能手机操作系统中，Android占74%，iOS占24.4%，Windows Phone占1%。智能手机操作系统市场形成了Android和iOS的两霸格局。在移动平台应用程序中，Android和iOS系统占据了明显的优势。

移动应用商店作为在移动端获取和更新应用程序的主要渠道，在目前移动互联网产业链中位于相当核心的位置。苹果公司首创移动应用商店APP Store模式获得了巨大的成功，谷歌和微软也相继推出Google Play与Windows Phone Store，移动互联网中的应用程序基本上是通过应用商店下载的。在我国，由于iOS、Android系统的官方市场，尤其是Google Play在国内下载不便等原因，国内同时出现了很多非官方商店（即第三方商店）。……