2017年（nián）勒索病毒的餘威還未完全散盡，2018年伊始，就（jiù）又（yòu）爆發（fā）了多起網絡安全（quán）事件，繼（jì）曝（pù）出CPU芯片級漏（lòu）洞事件之後不久（jiǔ），騰訊安全玄武實驗室首次發現“應用克（kè）隆”攻擊模型，隻需用戶點擊一個鏈接，攻擊者便可輕鬆克隆用戶的（de）賬戶權限，盜取用（yòng）戶賬號及資金等。支付寶、攜程等國內主流APP均在受影響之列，波及幾乎全部的安卓手機用戶。
值得關注的是，本次“應（yīng）用克（kè）隆”攻擊模型的搭建並非基於某一個單（dān）獨的漏洞造成的安（ān）全隱患，而是由一係（xì）列（liè）此前已公開卻被大家普遍不重（chóng）視的漏洞，耦合在（zài）一起產（chǎn）生的風險。這背後不僅反映出在經過十多年漏洞攻防之後，大家（jiā）放鬆了對漏洞的警惕（tì）；更折射出當下（xià）的移動（dòng）安全防護工作亟需建（jiàn）立新思（sī）維來應對。
十餘年網絡攻防（fáng）陷入“舒適區”漏洞威脅逐漸被低估
1月9日，“應用克（kè）隆”攻（gōng）擊模型，在騰（téng）訊安全玄武實驗室與知道創宇聯合召開的技術研究成果發布會上，以一個三（sān）分鍾的（de）演示視頻正式對外披露。全新的攻擊思路和意想不到的攻擊效果迅速吸引了在場行業專家（jiā）及媒體（tǐ）人士的關注，CNCERT（國（guó）家互聯網應急中心）也在當晚21點左右正式發布安全（quán）公告，將其中涉及的（de）漏洞分配編號，並評級為“高危”。
與其他攻擊模型不同的是，“應用克隆”攻（gōng）擊模型中利用的所有（yǒu）安全風險點（diǎn），都是幾年前就公（gōng）開的。利用手機瀏覽器訪問本地（dì）文件的風險，2009年之前業界就有共識；應用內嵌瀏覽器設置不當的風險，2012年7月就有相關漏洞被披露；克隆攻（gōng）擊的風險，知道創宇首席安全官周景平在2013年就公開發表過研究，並提交穀歌，但是“一直沒得到回應”。
在於暘（yáng）看來，這背後隱藏的其實是網絡安全（quán）在攻防十餘（yú）年之後的趨勢。他在發布會現場指出（chū），最近十幾年來，操作係統的安全性不斷的提（tí）高（gāo），可能有一些人會產生一種錯覺，覺得漏洞的危險沒（méi）有（yǒu）那麽大（dà），可能（néng）十年前的人會對漏洞更加敏感（gǎn）一些。
（於暘在發布會現場介紹移動安全趨勢）
一方麵是，安全工作者和攻擊者，在不斷地攻防交鋒中，雙方各自（zì）發展出了很多的技術。操作係統（tǒng）當中已經增加了大量的安全防禦功能，傳統的各種漏洞攻擊思路，其實在操（cāo）作係統（tǒng）裏麵也有相應的對抗模式；另一方麵是，攻擊者利用漏（lòu）洞發起網絡攻擊的成本變高，“你家裏的電腦或者手機，可能就是幾千塊錢。能夠實現克隆目的的漏洞，可能這一個（gè）漏洞在黑市上要幾十萬美元甚至是上百萬美元。”
“一切都在變化，隻有變化本身是不變”，於暘進一步指出，過（guò）去（qù）十幾年，網絡攻擊大致經曆了三個階段，不法黑客初（chū）期利用用戶薄弱的安全意識進行欺詐的“誘導執行”，到（dào）中期（qī）利用大量軟件漏洞傳播惡意代碼，現在又再次回歸到偽裝欺騙的“誘導執行”。
這在2017年爆發的多起勒索病（bìng）毒事件上也（yě）得到了類似（sì）印證，起初爆發的WannaCry僅僅是利用漏洞，但是最近在東歐爆發的Bad Rabbit上，不法黑客就（jiù）加入了水坑攻擊等欺騙性手段。
耦（ǒu）合不當導致（zhì）重大設（shè）計漏洞移動安（ān）全需要（yào）新思維
除了（le）反映出目前行業普遍（biàn）陷入攻防“舒適區（qū）”的錯覺之外，“應用克隆”攻擊模型應用的攻擊思路更是揭示了當下（xià）移動安全遭遇的全新挑（tiāo）戰。
於暘表示，操作係統在攻防（fáng）鬥爭中所增（zēng）加的防（fáng）禦措施針對的大多是實現類（lèi）漏洞。而對設計類安全問題目前業界仍未能較好解決。“設計（jì）類安全問（wèn）題，有（yǒu）很多（duō）是多點耦合導致的，相關每一個問題可能都是（shì）已知的，但組合起來所能導致的風險則很少有人意識到”。
而在“應用克隆”攻（gōng）擊模型披露之前（qián），設（shè）計類漏洞的威脅其實已經（jīng）浮出水（shuǐ）麵。騰訊安全玄武實驗室最早在2015年就發現設計類漏洞BadBarcode，攻擊者通過掃描惡意（yì）條碼甚至發射激光，即可在連接著條碼閱讀器的電腦上執行任意操作，影響世界上過去二十年間所有條碼閱讀（dú）器廠商生產的大部分產品，該研究獲得WitAwards年度安全研究成果獎；2016年，騰訊安全玄武實驗室發現另一重（chóng）大漏洞BadTunnel，用戶打開一個惡意網址、任何一種Office文件、PDF文件，或插上一個U盤，攻擊者就可以劫持用戶的網絡（luò）竊取隱私，甚至植入木馬，該漏洞影響過去二十年（nián）間所有Windows版本（běn），從Windows 95到 Windows 10。
而就在“應（yīng）用克（kè）隆”攻擊模型正式對（duì）外披露之前，因特爾被曝存在（zài）CPU底層漏洞：“幽靈”“崩潰”，波及全球幾乎所有的手（shǒu）機、電腦、雲（yún）計算產品。騰訊安全玄（xuán）武在發布（bù）會（huì）對此也做了重點分（fèn）析，並（bìng）發布“幽靈”漏洞在線檢測工具，幫（bāng）助用戶一鍵檢測自己的設備是否容易遭受漏洞攻擊
基於此，於暘在發布會現場針對“應用克隆”背後的耦合風險首次提出安全廠商要建立“移動安全新思（sī）維”。他指出，在端雲一體的移動時代，最重要的其實是用戶賬號體係和數據的安全。而要保護好這些，光搞好係統自身安全是不夠的。這使得移動時（shí）代的安全問題更加（jiā）複雜多變，涉及的方麵也更多。需（xū）要手機（jī）廠商、應用開發商、網絡安全研究者（zhě）等多方攜手，共同重視。
值得慶幸的是，“應用克隆（lóng）”攻擊（jī）模型（xíng）的發現我們領（lǐng）先於不法黑客，占據了攻防主動，受影響的APP廠商都已完（wán）成或正在積極的修複（fù）當中，這也進一步堅定了行業內外（wài）攜手共建健（jiàn）康網絡安全環境的決心，畢（bì）竟正如TK教主所言“洪水來臨的時候沒（méi）有一滴（dī）雨滴是無辜的”。
香港（gǎng）昆侖科技有限公司主要致力於地鐵，高速公路隧道，石油化工，冶金核電，海工造船。橋（qiáo）梁礦山等行業（yè）內部應急（jí）專用通訊係統，風（fēng）景區，機場遊客求助管理係統,市政SOS，110,119報警係統。特種工業IP電（diàn）話機（jī），SOS 電話（huà）機，IP調度係統的（de）研發、生產和銷售。
