OPPO安全：全心分享，满腔情怀

撰稿 | 狗哥

编辑 | 图图

街头算命，大概许多人不会陌生。实际上，他们大多通过一些小伎俩，在不知不觉中获知了你的一些基本信息，所以许多方面让你觉得很准。

但在不远的未来，某些“算命大师”完全可以在人群中看了你一眼，就能对你知根知底。这并非是科幻想象，而是已经存在、并极有可能继续深入研发的黑产技术。

隐私泄露+大数据+人脸识别+智能眼镜+高速网络……只需要充分将这些技术整合起来，“算命大师”戴上智能人脸识别眼镜，通过实时同步的黑产大数据，即可在人群中识别出你的面部信息，继而你的姓名、身份证号、手机号码、家庭住址、工作信息、社交关系……都将一一显示在镜片之上。

早在2012年上映的电影《碟中谍4》中，就已经向我们演示过这个场景。

《碟中谍4》电影截图

细思极恐是不是？确实，在大数据时代，在人手都有一部手机的时代，每一个人的隐私信息，都能成为被黑灰产挖掘出金矿的数据。

眼下隐私泄露问题已然泛滥成灾，骚扰电话、垃圾短信无处不在。没人能够预料到未来隐私泄露会演变到何等恶劣的地步，故而保护隐私成为国家、社会、互联网势在必行之事，更是成为安全行业大有可为之事。

如今，国家已然出台针对网络安全与个人信息保护的相关法律法规，互联网包括安全行业也在积极响应国家安全建设大业。其中，OPPO安全即是其中典范之一。

11月29日，OPPO技术开放日第六期活动在成都1906创意工厂拉开序幕。OPPO技术开放日是OPPO开放平台打造的技术类品牌活动，旨在为广大开发者提供一个专业分享和开放交流的空间。

OPPO技术开放日活动已经进行到了第六期，本期以“应用与数据安全防护”为主题，围绕云密码本、密钥白盒、恶意行为检测能力、动态检测方法、SDK安全检测、应用安全等OPPO安全的多项前沿技术能力、安全防护经验进行分享，增加OPPO与安全从业者、高校圈的互动交流，共同打造OPPO安全生态体系，并致力于提升整个行业的安全水位。

由此可见，OPPO安全能力相当深厚，自无法一一详细介绍。故我们择取OPPO安全新技术“云密码本”以及应用安全极为重要的技术“SDK安全检测”进行深入浅出的解读。

多重安全验证技术护持云密码本

密码无处不在，万物互联的时代，谁手头没有十个八个密码？但是，我们放在电脑上、手机端的密码真的安全吗？

你想象一下，你在设备上输入密码登录帐号的时候，手机有没有木马记录你的密码，数据传输过程中有没有被黑客拦截数据进而解密，你的密码和数据在服务端会不会被恶意攻击者渗透攻击、数据提取，甚至业务托管方有没有内鬼窃取解密你的帐号密码和数据？

当然，随着技术的提升，通过通信信道、服务器端窃取解密数据，已经变得比较困难。但安全纬度往往是多方面的，如果能在用户端也构建一套有效的安全围栏，会不会让安全水位更上一层呢？OPPO安全团队认真思考过这个问题，并且也付出了行之有效的努力，研发出了“云密码本”技术和产品。

OPPO云密码本有什么用呢？从安全角度来看，每一个APP代表不同的业务，每个业务有不同的安全属性，我们对不同安全应用的APP通常会设置不同的密码。因此，密码会越来越多，时间久了非常容易遗忘，所以OPPO云密码本技术就是专门解决用户密码维护的难题。

密码可以说是用户的核心数据资产，安全自然要摆在第一位，那么OPPO云密码本如何保障用户密码安全呢？

整体而言，OPPO云密码本使用了端云协同安全密钥技术实现安全能力，实现了托管方也无法解密隐私安全数据，让用户隐私真正属于用户自己。

据了解，端云协同安全密钥是专门解决用户数据上云，用户数据跨平台同步安全保护而产生、研发的。基本思路是通过安全的密钥管理体系，进而实现保护用户数据的目的。

OPPO在设计上重点考虑了四个方面：

一、能够安全地跨平台同步，支持跨平台、多设备、自动地进行密钥同步；

二、每一个应用具备完全相互隔离且独立的密钥体系，它可以根据应用的分组，开发者的分组，开发者的组织机构来使用这个密钥；

三、一定要实现OPPO无法解密，即除了用户自己以外的任何人，都没有办法解密用户的数据；

四、实现攻击者无法窥探，即采用基于硬件安全芯片或硬件加密机的安全技术，极大提升攻击成本，直至放弃攻击。

其中，整个密钥管理体系在端侧和云侧可能面临的攻击形态主要有以下四种：即移动端端侧暴力破解、云侧暴力破解、侧信道分析、渗透攻击等。

一、移动端端侧暴力破解。攻击者可能在移动端利用恶意软件进行渗透攻击，甚至暴力尝试破解用户安全密码。但移动端本地没有密文数据，用户数据从服务端加密机集群拉取到本地的TEE环境中处理，得到TEE环境的保护。所以本地渗透攻击转而需要尝试渗透TEE环境，而TEE环境是足够安全的，难以攻击。

二、云侧暴力破解。OPPO安全硬件加密机集群，对用户的错误次数进行检测，超过限制次数以后，尝试的密码还是出错，密钥会被立刻删除，用户只能重置账户。这种机制虽然严苛，但这是从用户数据安全角度上防止暴力破解。

三、中间人攻击或者侧信道分析。OPPO安全采用了具备完全前向安全性的双层加密通信信道，建立移动端TEE和加密机集群的E2E安全信道，数据传输得到足够的安全防护。

四、渗透攻击。OPPO安全综合采用了TEE、加密机集群等防护技术，硬件安全芯片或硬件加密机的安全技术的加入，极大的提升攻击成本。

知攻而后知防。密钥全生命周期安全，不同的教科书有不同的定义，但是基本是类似生成、分发、使用、撤消、归档、备份、更新、存储等。

OPPO安全为了达成全生命周期的安全，使用了诸多安全工具，如计算层面端侧使用TEE；云端使用硬件加密机机群；认证方面使用了很多因子保护，包括帐号密码、安全密码、短信安全码、可信设备等。

如何验证可信设备呢？则是通过业界标准的PKI/x509数字证书机制，构建了一整套信任体系。

密钥体系最基础的就是用户所掌控的因子，比如安全码、安全手机、安全密码，其他任何人都不知道。由用户侧掌控的这些因子派生出主密钥（MK），MK临时使用，需要进行身份验证，验证之后MK就会被销毁掉，MK来保护CMK，CMK保护WK，这些密钥构建了符合密码安全业界标准化的多层密钥体系。

安全密钥通过设备信任链来管理所有参与设备。只有加入到设备信任链里的设备，才能够参与到密钥管理协议里来。根据规则，要求在Normal World中，由用户输入帐号密码、云服务安全密码、安全手机短信验证码等因子，在Secure World中，通过安全认证协议综合以上因子，再额外增加设备认证因子，通过双层加密信道与云端硬件加密机集群进行认证。

如果有人请求加入设备信任链，设备信任链如何校验这个人的身份呢？OPPO安全后台有一堆加密机机群，通过加密机机群来校验收到请求因子的正确性，并且这个因子不会发送到后台，而是要通过SRP协议认证，保证用户密码的安全性。并且校验次数也会被统计，如果试错过高，则会限制登录，甚至销毁既有密钥。

由此可见，OPPO安全采用了多重嵌套式的技术，环环相扣，层层把关，让用户能够放心安心地使用云密码本产品。

端云协同的安全密钥技术应用场景相当丰富，比如帐号密码，医疗类、健康类数据，密钥类数据，密钥类数据扩展起来就是蓝牙、WiFi设备配对，甚至是文件加密、全盘加密等等；再就是家庭设备数据，帐号设备数据，这也是很敏感的信息；还有行为特征类数据，以及财务、购物、交易数据，这些自始至终都是非常敏感的。

另外，该技术可以实现真正端到端的安全通信，这种通信可以基于文本的消息，也可以基于视频语音通话，甚至可以是基于端到端的敏感会议、远程协助。

SDK安全检测理念与经验

众所周知，软件开发工具包（Software Development Kit）简称SDK, 集成在APP中为用户提供了丰富的功能，因为使用量大，所以SDK的安全问题往往影响更为广泛和深远。

SDK多以JAR, AAR或者so的形式存在，可以共享APP申请的权限; 开发者对于SDK的内部实现，如用户隐私信息的采集、对外通信等，属于黑盒，集成SDK后的APP被引入更多攻击面，而且三方SDK往往成为整个APP中的安全短板；某些SDK的装机量数以亿计，那么其中的安全问题可能会影响数亿的终端设备和用户。

OPPO安全在实际测试过程中，发现三方SDK共有八大常见的安全威胁：

第一、私钥或对称密钥硬编码；

第二、违规采集用户的个人隐私信息；

第三、敏感数据明文传输没有做保护；

第四、不安全的证书校验；

第五、WebView不规范使用；

第六、绕过沙盒限制，访问应用私有组件；第七、下载并安装恶意使用；

第八、权限滥用。

那么，OPPO安全对于三方SDK安全检测采取什么办法呢？据悉，OPPO安全检测内容主要分三个方面：隐私合规检测、漏洞检测、恶意行为检测。

OPPO安全采用静态污点分析的方法进行安全扫描。污点分析分三个阶段：第一是标记source点，source点就是敏感数据；第二是跟踪，采用特定的安全规则跟踪污点信息在程序中的传播过程；第三在关键的程序点（Sink点）检测关键的操作是否会受到污点信息的影响，最后记录数据传输路径，从而识别程序是否存在安全风险。

OPPO安全在三方SDK检测流程上，总结出四个重要步骤：第一、结合攻防团队的实战经验，整理安全检测的checklist；第二、检测反射调用敏感API(如用户个人隐私信息采集)；第三、通过指纹生成及识别技术，对三方SDK代码及具体版本进行准确识别，维护SDK黑名单库；第四、安全检测报告内容尽量详尽，通常覆盖多个纬度，比如：安全风险评级、安全场景与细节描述、风险代码示例、安全缓解建议、安全事故案例和安全测试方法。

对于OPPO手机终端安全测试人员来说，SDK的检测的难度，可能重点体现在以下两个点：第一、需要检测的SDK本来就很多，再加上迭代频繁，造成工作量剧增；第二、安全人员要怎样尽量做好投入产出比的计算。

那么，有了技术维度的方法论统筹，OPPO安全的SDK安全检测如何与SDL（安全开发生命周期）融合呢？据了解，SDL一共有七个方面：安全培训、需求评估、产品设计、实施、验证、上线发布、应急响应。

如上图所示，蓝绿黄三色分别对应三大类，其中最复杂的是第二类绿色部分。OPPO安全做需求评估时，需要设定安全门栏，分析安全与隐私风险；产品设计阶段要分析攻击面，建立威胁建模，实施状态可以进行静态安全扫描，摒弃不安全的实现。验证过程对APP做动态扫描，模糊测试。上线发布阶段进行终版安全评析，发布存档，同时需要制定响应计划。

OPPO结合工作实践与SDL实施经验，从隐私合规检测、漏洞检测、恶意行为检测三个维度出发，落地了一套移动三方SDK安全质量保障方案，保障移动终端应用安全, 可以从四个方面做到闭环：

第一、安全评审。OPPO安全直接在设计或SDK引入阶段，即对SDK的安全能力做一个评估，做一个威胁建模，从最初就要去做减少安全和隐私风险的尝试；

第二、黑名单检测。使用黑名单库快速扫描SDK，如果是在黑名单以内，则流程直接打回。确保APP接入的SDK始终是最新版本，确保漏洞补丁及时打上；

第三、安全扫描。安全检测平台化和自动化，OPPO安全团队发现大部分的典型安全问题具有同质化的特点，OPPO安全使用安全扫描工具可以提前发现并通过自动的扫描报告，帮助业务方自行解决大约70%左右的典型的安全问题，避免在终版审核之前，业务方大量的修复和升级工作；同时扫描结果尽量详细，如此一来，业务方一看扫描报告就知道问题出在哪里，不需要相同的问题老是找安全部门确认，这样就可以把安全团队的人员从冗余工作当中解放出来，研究更好地技术，为用户带来更多的安全体验；

第四、人工审计。对于重要的或者首次引入的SDK，OPPO安全会安排专家专门分析， 弥补扫描工具的不足；同时开发和复用安全编码库，提高业务线典型场景的安全编码一致性和工作效率。

有人会疑问，第三方SDK本身提供的一般都属于成品，一个SDK的文件，是没有源代码的，那OPPO安全是怎么去分析它的权限、一些数据的行为？

实际上，如上问题并非无计可施。如果三方SDK是有混淆的，那OPPO安全的安全工具可以对混淆代码进行扫描，同时对于经验丰富的安全人员来说，代码混淆只是增加了一些工作量而已；如果是加固的SDK，可以先尝试脱壳再分析，在静态无法分析的情况下可以将SDK集成到APP后使用动态工具来检测，当然也可以对SDK的历史版本和当前版本做一个差分分析，看看其新增了一些什么功能。

OPPO安全的“与之为取”

一直以来，OPPO都是用最大努力创造、创新极致技术，来保障用户的隐私安全。如上所述，不过是OPPO安全大树上的一根枝桠。但OPPO安全人从不因其只是一根分支，就生轻怠之心。因为，每一个分支做到极致，都能成长为粗壮的枝干，接受到更多太阳的光辉，让整棵大树更为生机盎然。

《后汉书·桓谭传》有言：“天下皆知取之为取，而莫知与之为取。” 意为人们都只知道取得为取得，而不知道给予别人或付出代价也是取得。

OPPO安全深知“与之为取”的道理，闭门造车必将固步自封，一家繁荣不是安全行业的健康生态。所以，OPPO安全在此次的OPPO技术开放日活动上，毫不吝啬地对行业展示自家最新的安全理念与安全产品。同时，也诚邀业界数据专家、安全专家加入OPPO安全团队，一起为用户隐私安全而努力。

此外，OPPO安全虽是以技术为主，但确实是一个有担当、有情怀、有理想的安全团队，他们始终抱着开放共享的态度，加强产学联合共建，为行业培养更多优秀的网络安全人才，也为用户提供更安全的手机服务和互联网应用服务，以推动网络安全行业的健康持久发展。

OPPO安全的开放与分享理念，不但引领安全行业一部分领域快步奔跑，同时也促进自身不断攀登。

站在高处手举明灯的人，对于长夜攀行者而言就是星辰。愿OPPO安全成为安全峰顶一颗耀眼之星，同时也愿整个安全领域——星辰漫天！