“2013智慧城市论坛”分论坛“移动互联网业务创新与信息安全分论坛”5月24日在北京举办。飞象网作为直播媒体将对会议做全程报道。直播内容：
中国联通研究院张尼
各位领导，各位同行，大家下午好！我叫张尼，是来得中国联通研究院，我今天想跟大家一起分享的题目是“移动智能终端生态系统安全的思考”，今天的内容有四个部分，首先是终端发展的需求，接下来是整个产业现状我们做了一个分析梳理，下面就是终端安全的思考，最后是发展建议。
首先，什么是智能终端生态系统，就是由移动智能终端硬件、操作系统及其向外延伸的网络，应用与服务等产业链环节构成的综合系统。它是一个整体的生态系统，它有什么特点呢？这个系统，我们运营商的角度来看，和我们以前所看的不太一样，它是移动互联的，以硬件为载体，以操作系统为核心，通过附加应用，以及我们提供的宽带网络，包括我们的服务，实际上可以给用户提供一种整体的解决方案，可以增加这个产业链中各个成员的价值，也就是大家组合在一块儿，整体的价值，整体的服务都会有提升。在移动方面大家知道有三个系统，第一个是封闭的生态系统，包括黑霉。开放的生态系统包括苹果，半开放的生态系统有Windows Phone，这种生态系统已经取代了我们传统的用手机运营的模式，这种生态系统可以使附加的整体都有更大的价值空间。实际上生态系统已经取得了成功，现在我们用户已经有10亿，我们智能手机用户接近3亿，在应用市场和操作系统都呈现一个蓬勃发展的趋势。右下角现在是Android的操作系统已经占据了主流的位置。
我们知道现在Android取代了塞班，是开放的系统取代了不开放的系统，是不安全的系统取代了安全的系统，有不安全的更开放的系统长期占据了这个市场的主流，也就是说明未来移动互联网，移动终端生态系统的安全问题会长期存在。我们看一下移动智能终端生态系安全的现状，移动恶意软件、网络攻击，资源滥用等技术研发能力和实施环境均已具备，用一个简单的工具，可以开发一个愤怒的小鸟没有任何问题，就是简单的复制拷贝就可以了，现在门槛非常低，助长了黑客的攻击。还有以前产业链各环节的安全都是彼此分离的，现在产业链是紧密结合在一起的整体的生态系统，一个环节受到威胁，会影响系统中的其他成员。比如我们说Android，Android发展的很快，开发应用赚钱，很多人说不劳而获的去复制，去拷贝，它那么做以后，可以使很多有创意的人都失去信心了，转而投到别的地方去了。应用少了，整个生态系统就受到影响，这就是我们所说的一个环节受到威胁，会影响整个生态链。还有一点安全威胁可能出现在生态系统的各个环节，但是最终的攻击目标都是集中于终端、其目的是通过侵入终端，控制移动用户，从而获得经济利益。现在生态系统的安全更难做，而且我们如果不对它进行一个整体的控制，可能会导致整个生态链受到影响，影响这个生态系的发展。
刚才根据我们的这些分析，我们从我们的纬度看一下这些威胁怎么分类，如果你列出几百个威胁没有什么意义，不如分类来看。分类的角度有很多，从我们的纬度，比如攻击者侵入终端的接触点来看。下面我们讨论一个问题，生态系统安全问题很严重，这跟运营商有没有关系，因为传统运营商注重网络运营系统，以前我们就做两件事，第一合规，第二保护我们的系统不受威胁。以前的做法叫做被动模式，这种被动模式下，中毒了以后，你得自己杀毒，但是用户中毒以后往往意味着话费大量的损失。运营商解释不清楚为什么扣用户的话费，解释不清楚就得赔。后来三大运营商可能都有察觉，告诉你了，今天你什么时候，你到某个网站下载了什么，用户可能还不干，估计出来，觉得这个网址可能有问题了，我中毒了，我不是有意的，你还扣我费。那么，运营商在这种情况下推出了定期流量提醒，但是有一些病毒还会拦截，10086会屏蔽起来，永远是道高一尺，魔高一丈，就是解决不了十几问题，它给用户的一种感觉是你保护不了用户，同时影响品牌形象。
第二、没有能力保证自身网络安全，网络承载大量恶意、有害的流量，影响网络的效率，对用户终端造成巨大的冲击和威胁。这样的话，如果你什么都不做，就保证不了用户的安全，同时网络承载了物理流量。
第三个是一个真是案例，去年我们运营商的客服系统，以运营商的名义发短信，后来被黑客入侵了，这是业务系统的一个漏洞，但是可以对你的用户进行攻击。比如发欠费，或者什么信息，让用户预定，比如我给你免费业务，免费定，定了以后就要收费了，会对用户造成很大的论是，实际上从业务系统，已经对终端提出了挑战。
举三个例子，说明面对这种新的形势，传统的做法已经不可取了，应该有主动式的做法。不仅仅要有合规性，包括网络系统安全，同时还要有积极主动的态度去保护用户的安全，其中最终实际上也是在提升我们自己的形象和实力。前面说的这些背景，需求，很多问题可能都清楚了，为什么要做，怎么做，怎么做还没说，下面看一下这个产业链是什么样的。
目前的终端产业链，实际上有很多的成本。实际上国家对终端安全也是比较重视，甚至提升到了法律法规这种程度，近些年出台了一系列的办法，终端管理，移动恶意软件，通信网络，垃圾短信，IT系统，包括隐私保护等等。这说明什么？说明终端安全不仅是一个市场问题，社会问题，而且也关系到我们国家的问题，所以说，这是需要重视的。标准化领域，比如终端安全是标准化提出的一个热门话题，现在围绕终端安全这样的议题非常多。再看市场环境，我们说现在形成了黑白对抗的形式，以前我们说攻击网络的这些人往往都是零散的黑客，现在组成了一个团体，有雇佣者，有渠道商，有黑客，黑客出技术，出各种软件，谁要方法，找渠道，雇佣者是消息的发布者。接下来看一下国外运营商的相关工作，AT&T提供个性化的整体解决方案，通过扩展的安全服务，获得增值收益。沃达丰西班牙，他们是在移动网络GPS附近为用户做流量的过滤，包括做Web合作，做手持设备，能够安全的接入云端。
下面说一下联通的整个情况，联通推出了自主知识产权的智能终端操作系统以及沃Phone终端。在网络方面，具备初步网络流量监控和分析的基础，包括开展分组域信令监测工作。在业务方面，开展业务安全研究工作，包括开展新型垃圾短信识别工作，开展移动互联网云环境下的安全研究与防护工作。
下面就是一些思考，我们前面说了，移动运营商在做一些终端安全的工作，到底我们有没有独立的做事，我们想做，我们能不能做这事。实际上这就是产业的功能，运营商和这个厂商相比，我们具有用户数，包括网络的安全。我们可以通过和产业链的户部，可以发挥我们的优势，来实现我们的想法和需求。我们认为我们发展的目标，起码在移动终端是以用户为根本，发现并满足用户的安全需求。我们做安全的一个最大的困惑就是安全不赚钱，所以，我们是以用户为根本，发现并满足用户的安全需求。第二、打造终端生态系统安全基础设施，基础设施是对内保障、对外服务的支撑平台，是发展，推进安全工作的基础，基础设施是合作的关键。第三、生态系统产业合作，深度挖掘产业链各角色与运营商合作的可能性。
内涵就是你做终端，终端实际上是一个入口。网络实际上是我们最大的一个优势，业务是非常重要的一个条件，不考虑业务不行，现在用户对业务的依赖甚至超过对运营商的依赖，你提供的业务，第三方的业务，有任何问题，都会对用户造成影响。所以，对于业务，无论是直接面向用户的业务，还是后台的业务，我们都是要保护它的安全。这是技术体系，时间关系不多说了。
最后，提供一些建议跟大家分享，加快移动智能终端生态系统安全标准的制定，然后是建设安全基础设施，然后是依托安全基础设施提供安全服务。谢谢各位！
