即时通讯的安全问题

 前言

 

勿庸置疑，即时通讯（Instant Message，IM）已经成为继Web页面浏览和电子邮件只有另一个杀手级的互联网应用。强大的通讯能力和丰富的功能是即时通讯对用户最大的吸引力，但是作为一种以沟通能力最大化为目标的应用，其安全保护机制和访问受限程度是相对较弱的。从安全的角度来看，即时通讯的很多优秀特征恰恰与安全原则背道而驰。伴随着其惊人的发展速度，即时通讯的安全问题正日益成为安全领域中最受人关注和最具影响力的问题之一。2005年的很多调查结果显示，基于即时通讯平台的病毒和蠕虫在五十种最主要的恶意代码当中已经趋近半数。由于即时通讯平台在内容交换上的复杂性和对可信关系的更高要求，即时通讯用户在安全方面正面临前所未有的挑战。

 

 

即时通讯工具近代史

1999年2月 腾讯推出第一版OICQ

2002年3月 OICQ注册数量突破一亿

2004年6月 腾讯公司在香港上市

2004年7月 网易推出自有品牌的即时通讯工具网易泡泡2004

2004年10月 新浪和TOM通过收购推出了自有即时通讯工具UC和Skype

2005年5月 微软MSN正式开始在中国地区运营

2005年8月 Google推出集成了VoIP服务的即时通讯工具GoogleTalk

 

 

即时通讯系统的主要安全威胁

 

恶意软件

以计算机病毒为代表的各种恶意软件始终是最困扰个人用户的安全问题，在即时通讯领域也不例外，利用即时通讯平台进行传播的恶意软件也给用户带来了巨大的困扰。即时通讯工具本身具有系统的联系人列表，为蠕虫类病毒的传播提供了很好的传染目标获取机制。而即时通讯用户之间的基于可信性的通讯模型，又对病毒的传播提供了基础。目前通过即时通讯平台传播的病毒主要通过在用户之间的文件传递完成感染行为，同时，利用即时通讯平台漏洞进行感染的恶意软件也呈现出上升势头，这类软件正在超越电子邮件病毒成为新的主流应用系统病毒。

 

认证欺诈

几乎所有的即时通讯服务都采用了匿名注册的方式，这使得无法将即时通讯系统中的用户标识与真实的操作者对应起来，最理想的情况下也只能通过用户注册时提交的信息和绑定的电子邮件地址等情况对用户达成有限的了解。假设一个用户使用R2D2这个用户名进行登录，并不能说明这个用户就是一个机器人。除了会威胁即时通讯的可信性基础之外，这类特性对即时通讯平台的安全造成了很多其它的深远影响。利用即时通讯平台开展的破坏活动更加难于进行追查，既使能够将一次安全事件回溯到一个即时通讯帐号上，也很难确认攻击的发起和过程。特别是经过多个即时通讯帐号的攻击行为或恶意软件传播，想确认攻击的源头极其困难。

 

穿透安全防御

除了单个计算机之外，即时通讯系统的存在可能会威胁到更广泛系统的安全性。类似防火墙这样常见的安全防御功能，很多时候会因为由于开放了即时通讯工具所需的端口而被突破。除了经过那些众所周知的端口（例如MSN使用1863，雅虎通使用5050）进行通讯之外，大多数即时通信软件都允许用户选择所使用的端口（例如Web传输所使用的80端口），或者自动尝试可以通信的端口，这使得恶意用户可以利用即时通讯工具绕过防火墙机制的保护。

 

垃圾信息

继利用电子邮件和网站等方式开展网络钓鱼之后，以即时通讯做为诱骗手段的网络钓鱼行为正越来越多的被诈骗者们实施。比较常见的手法是利用即时通讯发送消息将用户导向陷阱以及冒充即时通讯供应商开展某种活动骗取用户的敏感信息等等。例如雅虎就曾经证实其即时通讯工具雅虎通的用户曾经接收到类似的诱骗信息，将用户导向诈骗者的网站；而国内也曾发现过很多以赠送Q币为名获取OICQ密码和传播恶意代码的网站。除了以上行为之外，即时通讯应用的匿名特征使其也成为了各种骚扰行为的温床，大量的即时通讯用户都收到过一些自身不想收到的甚至给自己带来侮辱和困扰的信息。

 

 

攻击即时通讯系统的主要手段

 

击键记录

目前盗取即时通讯工具帐号信息的最主要方法是通过特洛伊木马等恶意软件，例如QQ木马，这类程序能够盗取QQ密码信息，常见的能够盗取最新版本QQ密码的木马程序有十几种之多。几乎所有主要的QQ木马程序都采用击键记录程序作为核心，这些木马程序可以与任意的文件绑定在一起，只要用户打开了这些文件就会使计算机受到感染，当用户输入密码的时候木马程序会读取密码以及号码等信息并通过电子邮件的方式发送给盗窃者。除了针对特定即时通讯工具的木马程序之外，通用的击键记录程序也可以截获密码等信息，但是必须手动的将这些信息从截获的所有信息中剥离出来。对于设置了自动登录的即时通讯工具，击键记录程序是无法产生作用的。

 

本地文件破解

由于即时通讯工具在实现自动登录功能的时候往往会将用户名和密码等认证信息保存在本地计算机上，所以一旦这些数据落入攻击者手中就有可能威胁到即时通讯系统的安全。尽管针对这类问题各大即时通讯厂商已经对存放在本地计算机上的文件进行了加密保护，但是由于设计和加密算法等多方面的原因，还是可以通过特殊的工具程序破解出很多即时通讯工具的认证信息。而且即使上面所说的手段无法成功，攻击者仍旧可以通过暴力猜解的方式获得即时通讯工具的密码信息。

 

消息窃听

随着即时通讯厂商对安全问题重视程度的提高，远程的攻击和破解手段对即时通讯平台的效用被大大降低了。然而，由于即时通讯工具的协议接口相对的公开化，攻击者仍旧能够通过监听的方式从即时通讯会话中还原出密码和聊天文本等信息。一个典型的例子就是MSN Sniffer，这个程序能够嗅探到同一网段的上的MSN聊天工具所传送的信息，而QQ Sniffer是针对OICQ的嗅探工具。

 

社交工程

与近两年兴起的网络钓鱼一样，以社交工程为基础的各种欺骗性手段也成为攻破即时通讯平台的重要手段。攻击者们发现与辛苦的侵入系统相比，欺骗用户提供自己所需的信息要容易的多，特别是在即时通讯这样基于信任机制的应用平台上。2005年上旬在全球广泛流行的MSN性感鸡为就是通过向即时通讯工具中的好友发送伪装成图片的病毒文件以达到感染目的的，而上面所提到的QQ木马等恶意程序通常也需要结合社交工程手法。

 

利用安全漏洞

与其它应用软件一样，即时通讯工具同样也会有软件漏洞存在，一旦被攻击者利用就会给用户带来安全威胁。例如攻击者可以利用这些漏洞编写缓冲区溢出程序从而获得计算机上更广泛的控制权，还可以利用这些漏洞开展拒绝服务攻击。不过一个好消息是绝大部分即时通讯平台的漏洞信息都会被公开出来，而且厂商也提供了比较及时的修复和更新服务。

 

 

即时通讯安全问题求解

ü         注意病毒感染和相关安全风险

ü         尽可能在自己的计算机上登录即时通讯服务

ü         不要使用与帐号名近似的密码

ü         妥善保护保存在计算机上的即时消息

ü         警惕从未知来源发起的消息、链接、文件

ü         不应使用即时通讯工具传送敏感信息

 

 

即时通讯安全的未来

 

现在全球有具有一定用户规模的即时通讯平台有很多，未来一段时间的市场发展会产生减少供应商数量的要求。除了厂商之外，统一通讯协议和在不同的客户端之间进行互通是增强用户便利性的另一个主要手段。2005年10月雅虎和微软宣布了两者的即时通讯平台将实现互通，而Google也宣布互通性将是GoogleTalk的目标之一。更大的即时通讯网络形成的同时，也为病毒和各种攻击形成了更大的目标。除了一个即时通讯平台的安全问题可能央及其它平台之外，在具有更多用户数量的网络上，病毒的传播速度也将进一步被提升，这对即时通讯平台的安全性提出了更高的要求。除此之外，PDA、智能手机等手持设备上即时通讯客户端的部署将成为即时通讯平台的下一个主要增长点，这意味着继病毒问题之后即时通讯安全问题也将开始影响手持设备用户。除了即时通讯厂商在积极的改进产品安全性，全球主要的安全产品厂商也针对这一领域的问题频频动作。2006年年初，赛门铁克宣布将对专业即时通讯安全厂商IMlogic进行收购，而很多主流反病毒厂商都开始在自己的产品中集成即时通讯保护能力。尽管如此，目前整个产业包括用户群体对即时通讯安全的重视仍没有达到令人放心的程度，这类问题并没有在本质上获得解决。想获得这场大战的最终胜利，包括即时通讯厂商、安全厂商、用户乃至定义技术标准的各种产业组织都需要积极的行动起来，这样网络通讯环境才能有一个光明的未来，全球的人们才能真正获得优秀的沟通环境。

即时通讯开发包AnyChat在安全方面有较多的保护措施

AnyChat SDK从设计之初就注重系统的安全保障，防止恶意用户的入侵与破坏，概括的说，AnyChat的安全保障措施主要由如下几部分组成：

 

1、服务器端口可以自定义。服务器所使用的TCP、UDP服务端口均可自定义（在服务器的.ini文件中配置），实现服务的隐藏；

 

2、服务器与客户端之间的底层通信协议均加密传输。防止非AnyChat客户端连接服务器，采用128bit高强度加密算法，为系统提供一道安全的屏障；

 

3、服务器可设置连接认证密码。防止非授权AnyChat客户端连接服务器

 

4、服务器内部还设置有安全检测机制，一旦检测到当前连接的客户端有非法操作嫌疑（如内部通信协议没有按既定的步骤进行）时，将会主动断开该客户端的连接，并记录该连接的IP地址，在一段时间内不允许重新连接。

 

5、上层应用可以使用服务器“SDK Filter Plus”编程接口或是“AnyChat Server SDK”实现用户身份的认证，认证过程完全开放给上层应用。