Gartner警告：越狱设备可能给企业带来安全风险

　　两位Gartner公司分析师本周对企业安全管理人员发出警告：在他们不知情的情况下，智能手机用户可能已经变成危险的黑客，让企业安全受到威胁。

　　在本周举行的Gartner 2012安全与风险管理峰会上，分析师John Girard和Lawrence Pingree在移动设备安全的演讲中说：“如果用一句话来形容目前的企业BYOD安全政策状态的话，那应该是：越狱设备对企业安全构成重大威胁，应该禁止在企业网络中使用越狱设备。”

　　“越狱”一词是指用户绕过移动设备制造商和运营商在iOS和Android智能手机以及平板电脑中建立的软件限制。通过越狱或者生根，用户可以获取管理员级别的权限，并使用越狱后的设备来运行未经授权的应用程序，以及执行不被认可的功能，例如Wi-Fi路由。

　　这两名分析师表示，虽然只有一小部分移动设备用户对其设备进行了越狱，但这些用户通常都会将他们的越狱设备带到企业环境。攻击者可以通过流氓移动应用程序，利用这些移动设备作为支点来绕过防火墙和其他防御措施，最终进入企业网络。

　　这两名分析师着重强调iOS和Android平台，是因为这两个平台非常普及，它们是最常越狱的平台，黑莓公司的平台基本上不可能越狱，而Windows Mobile设备只占一小部分市场份额。

　　Girard表示，就整体而言，从企业的角度来看，苹果公司的平台非常好，因为它只提供一个单一的操作系统，只能通过一个来源下载应用程序，并可以抵御可预见的漏洞。

　　Girard表示，“企业知道有越狱设备，企业应该围绕这些设备建立服务台流程和政策。”苹果移动设备的用户一般不太想越狱，因为他们希望能够升级到最新授权OS版本，以使用新功能。

　　然而，Android则是另一回事了。因为Android本质上是一个开源操作系统，任何厂商都可以利用其基本代码，根据自己的需要进行修改。“谷歌的操作系统并不要求设备上具有加密或者综合管理功能，这无疑是一个问题，”Girard表示，“当涉及设备安全时，异构性能够加强安全性，但问题是Android的大多数漏洞利用都是向前和向后兼容所有版本的。”

　　Pingree表示，对于越狱，或者更确切的说---生根，Android操作系统严重危及平台安全。事实上，攻击者只要在设备上运行root就已经能够访问设备上的所有信息了。“如果我们想要确保安全性，我们必须不惜一切代价来阻止越狱设备。”

　　这两名分析师强烈主张将“禁止越狱或者生根”的规定纳入企业的BYOD政策中。他们还建议采用更广泛的技术防御，例如使用受公司管理的移动设备管理(MDM)产品，以及如果在移动设备访问企业资源，在任何情况下它们都必须使用证书。同时，他们表示，还有一些简单而有效的方法，例如授权设备访问密码。

　　“任何有特权升级的设备都是攻击者的信息聚宝盆，”Girard表示，但对于受密码保护的越狱设备，攻击者将需要先破解密码然后获取证书才能得到有价值的数据。所以一个基本密码已经足以让攻击者打消念头。”