技术文章

我们对苹果和谷歌有一定程度的信任。

每当用户从这些商店之一下载应用程序时，都会期望有一定的质量水平，以确保恶意或编写不当的软件不会出现在我们的移动设备上。

但是可以绕过 Google Play 商店。三星、亚马逊、华为和其他公司通过自己的渠道分发软件。Apple 拥有适当的系统，允许开发人员分发应用程序的 beta 版本，而无需来自其 App Store 的全面保护。

尽管 Apple 和 Google 采取了保护措施来保护其客户，但恶意软件仍有可能侵入用户。来自 IOActive 的最新数据发现，90% 的移动应用程序存在安全漏洞，90% 的 Android 和 60% 的 iOS 设备正在运行过时的操作系统。当您考虑到全球一半以上的互联网流量来自这些设备时，这是一个主要的风险点。

苹果和谷歌都容易受到供应链攻击。2015 年，Xcode（用于创建 iOS 应用程序的工具）的受污染版本通过第三方分发。它被一些非常流行的应用程序的开发人员用来创建新的应用程序。这导致恶意负载被嵌入到受信任的应用程序中，而开发人员甚至都没有意识到。

虽然该问题已解决，但无法确定是否会发生另一次攻击。下一个攻击者可能会更聪明，更有效地隐藏他们的踪迹。

尽管此类攻击很少见，但仍有可能发生。尽管 Apple 和 Google 意识到此类攻击可能会发生，并已采取缓解措施以防止此类攻击再次发生，但威胁行为者仍在不断寻找新的漏洞进行利用。因此，这些应用程序分发点将不可避免地再次成为攻击目标。

苹果面临的另一个挑战是，它对其紧密垂直整合平台的强大控制可能会受到监管机构的威胁。如果监管机构得逞，iOS 可能会向第三方应用商店开放。如果发生这种情况，恶意或易受攻击的应用程序进入市场的机会就会增加。

随着应用程序商店从每一个售出的应用程序中抽取高达 30% 的佣金，这个市场的颠覆时机已经成熟。亚马逊的杰夫贝佐斯经常说，他的竞争对手的利润就是他的机会。这 30% 看起来机会很多。

一些应用程序现在绕过应用程序商店以避免这些佣金并将节省的费用转嫁给客户或自己赚取利润。

尽管谷歌和苹果以及所有其他可能进入这个市场的公司的初衷是好的，但它又回到了古老的俄罗斯格言；信任但要验证。

您需要确保您的应用程序未被篡改和削弱。而且您需要能够远程管理已部署给客户的应用程序，并了解您的应用程序的行为是否已被第三方更改。

简而言之——您需要扫描您的应用程序，保护它们免受攻击并监督您的移动环境。

扫描应用程序时，您不只是想知道是否存在问题。您还需要一些关于如何将风险降至最低的建议。

许多专家（包括 Gartner）都认为应用程序屏蔽是一种重要而有效的防御措施，即对应用程序的源代码进行混淆处理，使黑客无法轻易理解和修改它。

一旦应用程序投入使用，您需要能够禁用它并收集情报，以便在出现问题时了解应用程序的使用情况。