基本信息
- 原书名：Hacking Exposed: Mobile Security Secrets & Solutions
- 原出版社： McGraw-Hill Osborne Media
- 作者： (美)Neil Bergman Mike Stanfield Jason Rouse Joel Scambray
- 译者： 张普含 董国伟 王欣 邵帅
- 丛书名： 信息安全技术丛书
- 出版社：机械工业出版社
- ISBN：9787111482659
- 上架时间：2014-11-20
- 出版日期：2014 年11月
- 开本：16开
- 页码：211
- 版次：1-1
- 所属分类：计算机 > 安全 > 网络安全/防火墙/黑客
编辑推荐
全球顶级移动安全顾问团队亲力打造，融合作者30余年Web安全从业经验，全面解读移动应用面临的各种安全问题，并提供有效解决方案。
详细讲解移动网络、IOS和Android平台的细节，深入剖析威胁建模、安全编码和针对移动应用的特定软件维护实践方法，为移动应用开发者提供系统而实用的安全发开指南。
内容简介
书籍
计算机书籍
在移动应用和网络技术飞速发展的今天，移动平台、设备与应用的安全面临着前所未有的挑战。本书凝聚了作者30余年的Web安全从业经验，详细介绍如何识别与避免移动安全领域中的关键威胁，涵盖移动领域普遍关心的安全话题，包括攻击者如何攻击网络和设备、服务与应用，防御者应如何加密移动数据、加固移动平台、根绝蠕虫等，为进行安全移动开发提供翔实指导。
全书共分为9章：第1章介绍移动领域的恶意软件，从移动系统的利益相关者、资产、风险和趋势等方面揭示移动安全领域的风险；第2章介绍移动网络中的安全环节：第3章从不同的角度探讨苹果系统的安全；第4章详细介绍Android系统中的安全问题；第5章介绍各种移动终端恶意软件所用的工具和技术，以及防御策略；第6章提供通用WebB匠务安全指南，并且深入分析基于XML~Web服务攻击；第7章详细讨论MDM解决方案，并通过实例讲解MDM框架的具体配置过程；第8章详细介绍各种移动应用威胁模型，为应用开发者提供设计和实施指导；第9章探讨移动支付技术的发展现状及未来趋势，并深入剖析这些移动支付解决方案的安全性问题。最后的附录补充介绍移动终端用户(消费者)的安全检查表，以及移动应用渗透测试工具包等。
计算机书籍
在移动应用和网络技术飞速发展的今天，移动平台、设备与应用的安全面临着前所未有的挑战。本书凝聚了作者30余年的Web安全从业经验，详细介绍如何识别与避免移动安全领域中的关键威胁，涵盖移动领域普遍关心的安全话题，包括攻击者如何攻击网络和设备、服务与应用，防御者应如何加密移动数据、加固移动平台、根绝蠕虫等，为进行安全移动开发提供翔实指导。
全书共分为9章：第1章介绍移动领域的恶意软件，从移动系统的利益相关者、资产、风险和趋势等方面揭示移动安全领域的风险；第2章介绍移动网络中的安全环节：第3章从不同的角度探讨苹果系统的安全；第4章详细介绍Android系统中的安全问题；第5章介绍各种移动终端恶意软件所用的工具和技术，以及防御策略；第6章提供通用WebB匠务安全指南，并且深入分析基于XML~Web服务攻击；第7章详细讨论MDM解决方案，并通过实例讲解MDM框架的具体配置过程；第8章详细介绍各种移动应用威胁模型，为应用开发者提供设计和实施指导；第9章探讨移动支付技术的发展现状及未来趋势，并深入剖析这些移动支付解决方案的安全性问题。最后的附录补充介绍移动终端用户(消费者)的安全检查表，以及移动应用渗透测试工具包等。
作译者
Neil Bergman
Neil Bergman是Cigital公司的资深安全顾问。他已经领导和组织了针对业界顶尖财经和软件公司内关键应用的渗透测试、代码审查和架构风险分析。他不仅组织了针对Web服务、Web应用、活跃客户端的大量评估，也主导了许多移动平台安全评估，例如Android、iOS和RIM。他的主要研究领域包括移动和Web应用的漏洞发现与挖掘。他毕业于James Madison大学并获得计算机科学硕士学位，于North Carolina State大学获得计算机科学学士学位。
Mike Stanfield
Mike Stanfield是一名安全顾问，于2012年加入Cigital公司，该公司是企业软件安全咨询公司。作为Cigital移动安全实践的一部分，Mike专门从事针对iOS、Android和Blackberry平台的应用安全评估和渗透测试，并且参与Cigital移动软件安全培训课程的开发和传授。他在移动支付平台，包括GlobalPlatform/Java Card applet的安全和开发等方面，都有相关的工作经验。在加入Cigital之前，他是Indiana大学学生事务部门的信息技术主管。同时，他也作为Indiana大学科研管理办公室的授权分析家，参与了开源项目Kuali Coeus的开发。Mike现在居住在Manhattan，在Indiana大学学习安全信息学，并且获得Indiana State大学的人类学学士学位。
Jason Rouse
Jason Rouse在安全方面拥有数十年的亲身经验，这些经验都是从他为全球诸多顶尖公司服务的实践中得来的。现在，他是负责Bloomberg LP产品和服务安全团队的成员之一，同时还在探索如何能够重新开发可信计算和怎样将可信计算应用于普遍存在的生物测量学中。Jason对于安全领域充满激情，他参与了提高Bloomberg安全效能和全球极其重要的安全项目上。基于他专业的贡献，他还担任面向移动安全的金融服务技术组织委员会的主席，该委员会致力于提高移动安全性。在加入Bloomberg之前，Jason是Cigital公司的首席顾问。他在Cigital参与了很多项目，包括创建移动和无线安全实践,实施架构评估，并且是全球一些超大型开发机构的可信顾问。在加入Cigital之前，Jason与Carnegie Mellon的CyLab 安全研究室合作创建了下一代移动验证和授权平台并扩展了计算机安全行业的状态。Jason现在居住在Manhattan，获得了加拿大Dalhousie大学计算机科学学士和硕士学位。
Joel Scambray
Joel Scambrary是Cigital公司的主管经理。在过去的15年里，他帮助大量公司（从新近崛起的初创公司到财富500强企业）解决所遇到的信息安全问题，帮助公司抓住难得的机遇。Joel的身份包括主管、技术顾问和企业家。他联合他人创建了信息安全咨询公司Consciere，并在2011年6月Cigital收购Consciere之前，一直担任Consciere领导。他还是微软公司的高级主管，一直领导着微软在线服务和Windows部门安全方面的工作。他还联合创建了安全软件和服务新兴公司Foundsone，该公司于2004年被McAfee收购。在此之前，他担任Ernst & Young的经理、微软TechNet的安全专栏作家、InfoMord杂志的编辑，以及某主营商业实体房产公司的信息技术部门主管。
Joel是信息安全方面一位广为人知的作家和演讲家。他参与完成了十几本信息技术和软件安全方面的著作，很多都是全球畅销书。他在很多大会和组织中进行过演讲，包括Black Hat等会议，IANS、CERT、CSI、ISSA、ISACA、SANS等组织，私有公司，FBI和RCMP之类的政府机构等。
他拥有加利福尼亚大学Davis分校的理学学士学位、UCLA的文科硕士学位，以及信息系统安全专业认证（CISSP）。
Neil Bergman是Cigital公司的资深安全顾问。他已经领导和组织了针对业界顶尖财经和软件公司内关键应用的渗透测试、代码审查和架构风险分析。他不仅组织了针对Web服务、Web应用、活跃客户端的大量评估，也主导了许多移动平台安全评估，例如Android、iOS和RIM。他的主要研究领域包括移动和Web应用的漏洞发现与挖掘。他毕业于James Madison大学并获得计算机科学硕士学位，于North Carolina State大学获得计算机科学学士学位。
Mike Stanfield
Mike Stanfield是一名安全顾问，于2012年加入Cigital公司，该公司是企业软件安全咨询公司。作为Cigital移动安全实践的一部分，Mike专门从事针对iOS、Android和Blackberry平台的应用安全评估和渗透测试，并且参与Cigital移动软件安全培训课程的开发和传授。他在移动支付平台，包括GlobalPlatform/Java Card applet的安全和开发等方面，都有相关的工作经验。在加入Cigital之前，他是Indiana大学学生事务部门的信息技术主管。同时，他也作为Indiana大学科研管理办公室的授权分析家，参与了开源项目Kuali Coeus的开发。Mike现在居住在Manhattan，在Indiana大学学习安全信息学，并且获得Indiana State大学的人类学学士学位。
Jason Rouse
Jason Rouse在安全方面拥有数十年的亲身经验，这些经验都是从他为全球诸多顶尖公司服务的实践中得来的。现在，他是负责Bloomberg LP产品和服务安全团队的成员之一，同时还在探索如何能够重新开发可信计算和怎样将可信计算应用于普遍存在的生物测量学中。Jason对于安全领域充满激情，他参与了提高Bloomberg安全效能和全球极其重要的安全项目上。基于他专业的贡献，他还担任面向移动安全的金融服务技术组织委员会的主席，该委员会致力于提高移动安全性。在加入Bloomberg之前，Jason是Cigital公司的首席顾问。他在Cigital参与了很多项目，包括创建移动和无线安全实践,实施架构评估，并且是全球一些超大型开发机构的可信顾问。在加入Cigital之前，Jason与Carnegie Mellon的CyLab 安全研究室合作创建了下一代移动验证和授权平台并扩展了计算机安全行业的状态。Jason现在居住在Manhattan，获得了加拿大Dalhousie大学计算机科学学士和硕士学位。
Joel Scambray
Joel Scambrary是Cigital公司的主管经理。在过去的15年里，他帮助大量公司（从新近崛起的初创公司到财富500强企业）解决所遇到的信息安全问题，帮助公司抓住难得的机遇。Joel的身份包括主管、技术顾问和企业家。他联合他人创建了信息安全咨询公司Consciere，并在2011年6月Cigital收购Consciere之前，一直担任Consciere领导。他还是微软公司的高级主管，一直领导着微软在线服务和Windows部门安全方面的工作。他还联合创建了安全软件和服务新兴公司Foundsone，该公司于2004年被McAfee收购。在此之前，他担任Ernst & Young的经理、微软TechNet的安全专栏作家、InfoMord杂志的编辑，以及某主营商业实体房产公司的信息技术部门主管。
Joel是信息安全方面一位广为人知的作家和演讲家。他参与完成了十几本信息技术和软件安全方面的著作，很多都是全球畅销书。他在很多大会和组织中进行过演讲，包括Black Hat等会议，IANS、CERT、CSI、ISSA、ISACA、SANS等组织，私有公司，FBI和RCMP之类的政府机构等。
他拥有加利福尼亚大学Davis分校的理学学士学位、UCLA的文科硕士学位，以及信息系统安全专业认证（CISSP）。
目录
《黑客大曝光：移动应用安全揭秘及防护措施》
译者序
序言
前言
作者简介
致谢
第1章 移动风险 1
1.1 移动生态系统 1
1.1.1 规模 1
1.1.2 已知的不安全 2
1.2 移动风险模型 3
1.2.1 物理风险 7
1.2.2 服务风险 8
1.2.3 应用程序风险 9
1.3 我们的议题 14
1.4 小结 15
第2章 移动网络 17
2.1 基础移动网络功能 18
2.1.1 互操作性 18
2.1.2 语音呼叫 21
译者序
序言
前言
作者简介
致谢
第1章 移动风险 1
1.1 移动生态系统 1
1.1.1 规模 1
1.1.2 已知的不安全 2
1.2 移动风险模型 3
1.2.1 物理风险 7
1.2.2 服务风险 8
1.2.3 应用程序风险 9
1.3 我们的议题 14
1.4 小结 15
第2章 移动网络 17
2.1 基础移动网络功能 18
2.1.1 互操作性 18
2.1.2 语音呼叫 21
译者序
随着信息技术的飞速发展，互联网日益成为人们生活中不可缺少的一部分，社交网络、微博、移动互联网、云计算、物联网等各种新技术、新应用层出不穷。但不管是Facebook、Twitter等新兴互联网公司的迅速崛起，还是Android日益成为智能手机市场的主流操作系统，信息安全一直都是永恒的话题。“震网病毒”和“火焰病毒”事件凸显网络武器的实际破坏能力，关键信息基础设施保护已成为世界各国网络空间防御的新重点；“维基泄密”事件彰显网络空间攻防双方的不对称性，百密难免一疏成为保密防范永远的痛；“斯诺登”事件更是把信息安全的威胁推到了风口浪尖。究其根源，所有这些信息安全事件都存在一个共同点，那就是信息系统或软件自身存在可被利用的安全漏洞。因而，漏洞分析和风险评估日益成为信息安全领域理论研究和实践工作的焦点，越来越引起世界各国的关注与重视。
为推动我国漏洞分析和风险评估工作的发展，提高国家信息安全保障能力和防御水平，中国信息安全测评中心长期跟踪和关注相关领域的理论进展和技术进步，有针对性地精选一些优秀书籍译成中文，供国内开发人员参考借鉴。
目前，移动设备中集成了丰富的应用和信息，这使得移动设备迅速普及，应用日益广泛，但同时也使得为其开发产品并保障安全更具挑战性。本书直接阐述了这些挑战，给出了移动网络、iOS和Android平台与安全相关的细节，同时也为移动应用开发者开发安全的产品提供了详细的指导，并提出了从威胁建模逐渐深入到安全编码的软件维护实践方法。本书还覆盖了服务器端安全，以及与企业用户相关的话题。总之，本书对任何开发、管理移动应用的从业人员来说，都是一本重要参考手册。
参与本书翻译的人员有：张普含、董国伟、王欣、邵帅、王眉林、时志伟、赫永乐。
本书的翻译工作得到中国信息安全测评中心“漏洞分析与风险评估”专项工程、国家自然科学基金项目（61100047、61272493）的支持。
为推动我国漏洞分析和风险评估工作的发展，提高国家信息安全保障能力和防御水平，中国信息安全测评中心长期跟踪和关注相关领域的理论进展和技术进步，有针对性地精选一些优秀书籍译成中文，供国内开发人员参考借鉴。
目前，移动设备中集成了丰富的应用和信息，这使得移动设备迅速普及，应用日益广泛，但同时也使得为其开发产品并保障安全更具挑战性。本书直接阐述了这些挑战，给出了移动网络、iOS和Android平台与安全相关的细节，同时也为移动应用开发者开发安全的产品提供了详细的指导，并提出了从威胁建模逐渐深入到安全编码的软件维护实践方法。本书还覆盖了服务器端安全，以及与企业用户相关的话题。总之，本书对任何开发、管理移动应用的从业人员来说，都是一本重要参考手册。
参与本书翻译的人员有：张普含、董国伟、王欣、邵帅、王眉林、时志伟、赫永乐。
本书的翻译工作得到中国信息安全测评中心“漏洞分析与风险评估”专项工程、国家自然科学基金项目（61100047、61272493）的支持。
前言
为什么写这本书
移动设备是伟大的技术革命，可与互联网的产生相提并论。当然，巨大的改革也会伴随着潜在的风险，那么有没有这样一个“银弹”来保护各处移动的手机呢？本书介绍最新的移动安全趋势，以及由全世界移动安全领域顶尖从业者提出的技术分析与解决方案。
谁需要阅读这本书
本书为使用移动设备的人们敲响了警钟。这些设备所传达的 “世界就在你手中”的力量也具有黑暗的一面。本书将展示能帮助你发现自己正身处的许多黑暗面，以及如何从黑暗中走出来的方式。
本书主要针对以下读者：
移动app开发者
全体IT从业者
IT顾问
技术管理者和领导者
终端用户
这些人是我们每天都要打交道的人，他们可以识别和修复我们在后续内容中叙述的问题，所以很自然，本书面向能够直接或间接改变移动技术环境以提高安全性的那些人。
同时，我们也将集中讨论当前主流的两个移动平台：苹果的iOS和谷歌的Android移动操作系统。当下，这两大平台所占有的市场份额如此之大，以致我们很难想象一个完全不同的未来，所以我们努力提供对这两个平台来说最相关的技术分析。
这本书主要内容
回顾1999年，《黑客大曝光》系列图书就开始介绍如何轻松入侵计算机网络和系统的方法。尽管直至现在仍然有许多人没有实际接触安全问题，但大多数人开始认为有必要理解防火墙、安全操作系统配置、厂商补丁维护，以及许多其他以前晦涩的信息系统安全基本原理。
《黑客大曝光》系列图书后来分为两个方向，本书将重点应对移动安全挑战。
首先，我们为移动设备将面临的严重威胁分类，并详尽解释这些威胁的具体细节。我们如何知道这些就是最严重的威胁呢？因为我们受雇于世界上最大的公司来入侵他们的移动应用，我们每日使用基于这些威胁的攻击进行工作。并且多年来，我们一直在研究最新发布的黑客技术，开发自己的工具和技术，并结合我们认为最有效的方法来渗透现存的移动应用。
其次，在介绍各种攻击之后，我们会告诉你如何阻止每种和每一次攻击。在不了解本书中信息的情况下部署一个移动应用就好比在驾驶一辆没有安全带的车去下一个很滑很陡的坡，绕过一个巨大的峡谷，没有刹车并且风门完全堵塞。
怎样使用本书
读者历来有这样的争论：是从第一页开始阅读还是跳到重要部分？我们说：两者皆可！
很明显，可以从头至尾地阅读这本书，以了解针对移动应用安全的包罗万象的内容。但是，《黑客大曝光》的写作模式是让每一章都能够独立存在，这样就可以以组建模块的形式来消化吸收这本书中的内容，适合于我们目标读者的疯狂计划。
移动设备是伟大的技术革命，可与互联网的产生相提并论。当然，巨大的改革也会伴随着潜在的风险，那么有没有这样一个“银弹”来保护各处移动的手机呢？本书介绍最新的移动安全趋势，以及由全世界移动安全领域顶尖从业者提出的技术分析与解决方案。
谁需要阅读这本书
本书为使用移动设备的人们敲响了警钟。这些设备所传达的 “世界就在你手中”的力量也具有黑暗的一面。本书将展示能帮助你发现自己正身处的许多黑暗面，以及如何从黑暗中走出来的方式。
本书主要针对以下读者：
移动app开发者
全体IT从业者
IT顾问
技术管理者和领导者
终端用户
这些人是我们每天都要打交道的人，他们可以识别和修复我们在后续内容中叙述的问题，所以很自然，本书面向能够直接或间接改变移动技术环境以提高安全性的那些人。
同时，我们也将集中讨论当前主流的两个移动平台：苹果的iOS和谷歌的Android移动操作系统。当下，这两大平台所占有的市场份额如此之大，以致我们很难想象一个完全不同的未来，所以我们努力提供对这两个平台来说最相关的技术分析。
这本书主要内容
回顾1999年，《黑客大曝光》系列图书就开始介绍如何轻松入侵计算机网络和系统的方法。尽管直至现在仍然有许多人没有实际接触安全问题，但大多数人开始认为有必要理解防火墙、安全操作系统配置、厂商补丁维护，以及许多其他以前晦涩的信息系统安全基本原理。
《黑客大曝光》系列图书后来分为两个方向，本书将重点应对移动安全挑战。
首先，我们为移动设备将面临的严重威胁分类，并详尽解释这些威胁的具体细节。我们如何知道这些就是最严重的威胁呢？因为我们受雇于世界上最大的公司来入侵他们的移动应用，我们每日使用基于这些威胁的攻击进行工作。并且多年来，我们一直在研究最新发布的黑客技术，开发自己的工具和技术，并结合我们认为最有效的方法来渗透现存的移动应用。
其次，在介绍各种攻击之后，我们会告诉你如何阻止每种和每一次攻击。在不了解本书中信息的情况下部署一个移动应用就好比在驾驶一辆没有安全带的车去下一个很滑很陡的坡，绕过一个巨大的峡谷，没有刹车并且风门完全堵塞。
怎样使用本书
读者历来有这样的争论：是从第一页开始阅读还是跳到重要部分？我们说：两者皆可！
很明显，可以从头至尾地阅读这本书，以了解针对移动应用安全的包罗万象的内容。但是，《黑客大曝光》的写作模式是让每一章都能够独立存在，这样就可以以组建模块的形式来消化吸收这本书中的内容，适合于我们目标读者的疯狂计划。
序言
从20世纪90年代中期开始，移动设备经历了戏剧性的变化，从庞大、单用途计算环境转变为通用计算环境。第一代数字移动电话是嵌入式系统，仅将极小的空间分配给第三方软件（third-party software）。随着1991年J2ME和2001年BREW的出现，移动电话的基带处理器开始将第三方软件应用处理作为自己的第二功能，消费者第一次可以选择在自己的手机上运行的应用软件。
移动设备从嵌入式系统到现代计算平台的演进经历了一个众所周知的过程，如同Daniel P. Siewiorek、C. Gordon Bell和Allen Newell在《Computer Structure: Principles and Examples》中描述的那样：从大型计算机到小型计算机再到台式计算机逐步演进。移动设备从单功能固件演化到可安装软件和鲁棒应用的环境，从只有低速处理器、受限内存和受限操作系统能力的单进程系统演化到拥有高速处理器、可扩展内存、专用协处理器和可同台式计算机相媲美的操作系统能力的多任务系统。现在的移动设备拥有和台式计算机相同规模的计算能力和网络吞吐率，以及匹配的音频和视频能力。可以证明的是，无处不在的3G和4G移动网络给移动电话提供了比台式计算机更加普遍的网络资源访问量。然而，移动设备拥有的一些能力和限制有其特殊性。
在移动设备上的用户界面是受限的。以前输入和显示的技术不够成熟从而限制了用户接口，而现在设备的物理尺寸是最大的限制，限制移动设备可以显示的信息数量以及可以对用户输入进行的操作。便携式计算机把人类视觉能力和典型的观看距离计算在内，可以显示十倍于移动电话的信息。触摸屏增加了屏幕控制目标的尺寸以弥补指尖自然尺寸给移动设备用户可操作范围带来的局限。
移动设备由于尺寸小在便携性方面有明显的优势，使得用户在任何时间都可以携带这些设备。这种设备从空闲状态到活跃模式可迅速转换，使用户可以立即访问计算机资源，用户与移动设备交互通常只需要几秒或者几分钟。移动设备的及时性和普遍性使我们能够在非常私人的空间里使用。我们的绝大多数个人通信都依赖于移动设备，并且在其中存储绝大部分的个人信息。
移动设备拥有在其他计算机环境中不通用的一些硬件能力。触摸屏普遍存在，并且经常通过运动传感器来增强功能。无论是基于GPS还是基于网络的位置系统都由规章授权。环境传感器，例如温度、光度和距离也都是常见的。所有这些特性使得移动设备存储了可能是个人的且私有的额外数据。
在台式计算环境里，终端用户（或者是他们的IT部门）通常对计算操作系统的工作具有洞察力甚至对其负有责任。在台式计算机上，用户可以阅读日志文件，并且更改软件配置。移动环境通常对普通用户隐藏操作系统，这样用户通常不能监控它的行为。移动设备中的第三方软件通常在一个沙箱（sandbox）环境里运行，对操作系统功能的访问受到控制，并且与其他应用软件的通信也受到限制。与台式计算环境不同，中心应用分配器通常管理控制移动设备中第三方软件所占的盘区。
移动应用开发者面临的挑战是提供好的移动体验，同时保护好丰富的个人信息。由于用户越来越期待实时响应和从网络服务处获得不间断的信息流，因而移动应用需要充分利用移动平台具有的计算能力和便捷性。同时，应用开发者需要通过简化配置和默认处理错误条件的方式来对用户隐藏应用的复杂性。移动设备一般是面向消费者的平台，这使得企业开发者很难交付既满足企业需求又符合企业规则的应用。开发者最终对交付用户可信的服务和品牌负有责任。
所有这些事情都给移动环境中的安全性提出了新的挑战，并且较其他计算环境而言在熟悉程度方面的挑战更大。移动应用依赖于客户端和服务器之间的频繁通信，并且极大地依赖于服务器存储和数据处理，这也就意味着个人信息会出现在移动设备和云中。移动设备硬件提供了个人的敏感信息，例如用户位置，而这些信息是需要适当保护的。由于操作系统一般是受保护且不可扩展的，并且故障修复周期更长，因此降低安全缺陷的机会是有限的。
移动设备的界面限制使得设计复杂安全的交互变得不切实际。如果发生错误，会使用有限的信息提示用户，而且对于用户来说很难发现问题或解决自身问题。在移动设备上，即使是常用的交互形式，如使用用户名和密码登录，都是冗余的。因为用户可能没有配置移动应用的能力。移动应用开发者必须代表用户做出安全决定，同时提高可用性。在受限环境下，用户必须信任应用开发者，破坏这种信任就会极大地破坏开发者的品牌。
移动设备具有丰富应用的平台和单机应用，这个新的计算环境已经在计算领域确立了相应的地位，极大地扩展由桌面和云提供的计算资源。这些特质使得移动设备有趣且易于使用，同样也使得为其开发产品和保障其安全更具有挑战性。本书直接阐述了这些挑战，同时包括针对移动应用开发者的详细指导，还包括从威胁建模开始直至深入安全编码，以及针对移动应用的软件维护方法。本书提供移动网络、iOS和Android平台的大量细节信息，来帮助开发者保障他们应用的安全性。本书也覆盖了服务器端安全和企业用户相关的主题。对任何开发、发布、管理或使用移动应用的人们来说，本书都是非常有用的资源，同时也是对于行业观察者的一个深度指导。
—Kai Johnson
Isis Mobile Commerce首席架构师
移动设备从嵌入式系统到现代计算平台的演进经历了一个众所周知的过程，如同Daniel P. Siewiorek、C. Gordon Bell和Allen Newell在《Computer Structure: Principles and Examples》中描述的那样：从大型计算机到小型计算机再到台式计算机逐步演进。移动设备从单功能固件演化到可安装软件和鲁棒应用的环境，从只有低速处理器、受限内存和受限操作系统能力的单进程系统演化到拥有高速处理器、可扩展内存、专用协处理器和可同台式计算机相媲美的操作系统能力的多任务系统。现在的移动设备拥有和台式计算机相同规模的计算能力和网络吞吐率，以及匹配的音频和视频能力。可以证明的是，无处不在的3G和4G移动网络给移动电话提供了比台式计算机更加普遍的网络资源访问量。然而，移动设备拥有的一些能力和限制有其特殊性。
在移动设备上的用户界面是受限的。以前输入和显示的技术不够成熟从而限制了用户接口，而现在设备的物理尺寸是最大的限制，限制移动设备可以显示的信息数量以及可以对用户输入进行的操作。便携式计算机把人类视觉能力和典型的观看距离计算在内，可以显示十倍于移动电话的信息。触摸屏增加了屏幕控制目标的尺寸以弥补指尖自然尺寸给移动设备用户可操作范围带来的局限。
移动设备由于尺寸小在便携性方面有明显的优势，使得用户在任何时间都可以携带这些设备。这种设备从空闲状态到活跃模式可迅速转换，使用户可以立即访问计算机资源，用户与移动设备交互通常只需要几秒或者几分钟。移动设备的及时性和普遍性使我们能够在非常私人的空间里使用。我们的绝大多数个人通信都依赖于移动设备，并且在其中存储绝大部分的个人信息。
移动设备拥有在其他计算机环境中不通用的一些硬件能力。触摸屏普遍存在，并且经常通过运动传感器来增强功能。无论是基于GPS还是基于网络的位置系统都由规章授权。环境传感器，例如温度、光度和距离也都是常见的。所有这些特性使得移动设备存储了可能是个人的且私有的额外数据。
在台式计算环境里，终端用户（或者是他们的IT部门）通常对计算操作系统的工作具有洞察力甚至对其负有责任。在台式计算机上，用户可以阅读日志文件，并且更改软件配置。移动环境通常对普通用户隐藏操作系统，这样用户通常不能监控它的行为。移动设备中的第三方软件通常在一个沙箱（sandbox）环境里运行，对操作系统功能的访问受到控制，并且与其他应用软件的通信也受到限制。与台式计算环境不同，中心应用分配器通常管理控制移动设备中第三方软件所占的盘区。
移动应用开发者面临的挑战是提供好的移动体验，同时保护好丰富的个人信息。由于用户越来越期待实时响应和从网络服务处获得不间断的信息流，因而移动应用需要充分利用移动平台具有的计算能力和便捷性。同时，应用开发者需要通过简化配置和默认处理错误条件的方式来对用户隐藏应用的复杂性。移动设备一般是面向消费者的平台，这使得企业开发者很难交付既满足企业需求又符合企业规则的应用。开发者最终对交付用户可信的服务和品牌负有责任。
所有这些事情都给移动环境中的安全性提出了新的挑战，并且较其他计算环境而言在熟悉程度方面的挑战更大。移动应用依赖于客户端和服务器之间的频繁通信，并且极大地依赖于服务器存储和数据处理，这也就意味着个人信息会出现在移动设备和云中。移动设备硬件提供了个人的敏感信息，例如用户位置，而这些信息是需要适当保护的。由于操作系统一般是受保护且不可扩展的，并且故障修复周期更长，因此降低安全缺陷的机会是有限的。
移动设备的界面限制使得设计复杂安全的交互变得不切实际。如果发生错误，会使用有限的信息提示用户，而且对于用户来说很难发现问题或解决自身问题。在移动设备上，即使是常用的交互形式，如使用用户名和密码登录，都是冗余的。因为用户可能没有配置移动应用的能力。移动应用开发者必须代表用户做出安全决定，同时提高可用性。在受限环境下，用户必须信任应用开发者，破坏这种信任就会极大地破坏开发者的品牌。
移动设备具有丰富应用的平台和单机应用，这个新的计算环境已经在计算领域确立了相应的地位，极大地扩展由桌面和云提供的计算资源。这些特质使得移动设备有趣且易于使用，同样也使得为其开发产品和保障其安全更具有挑战性。本书直接阐述了这些挑战，同时包括针对移动应用开发者的详细指导，还包括从威胁建模开始直至深入安全编码，以及针对移动应用的软件维护方法。本书提供移动网络、iOS和Android平台的大量细节信息，来帮助开发者保障他们应用的安全性。本书也覆盖了服务器端安全和企业用户相关的主题。对任何开发、发布、管理或使用移动应用的人们来说，本书都是非常有用的资源，同时也是对于行业观察者的一个深度指导。
—Kai Johnson
Isis Mobile Commerce首席架构师
