中国安全手机市场分析报告.docx

1、中国安全手机市场分析报告安全手机市场研究分析报告2016年10月第一章 全球安全手机行业发展分析第一节 全球安全手机市场发展前景分析国际电信联盟（以下简称“ITU”）发布的2014年信息与通信技术报告称，到2014年底，全球互联网用户数量将达到约30亿，占全球人口总数的约40%，移动宽带普及率将达到32%，全球手机用户数量将达到约70亿，普及率为96%。 ITU预计2016年，全球互联网用户数量将达到32亿，全球手机用户量将首次超过全球人口总数。 全球人口总数预计将超过74亿。 图表1全球互联网用户数量和手机用户数量增长根据eMarketer的最新数据，2016年全球智能手机用户比例首次超过全

2、球人口的十分之一，2016年全球智能手机用户将达到19. 1亿。 2016年该指数将增长12. 6%达到21. 6亿，到2018年，全球三分之一的消费者将是智能手机用户，总数超过25. 6亿人，2018年智能手机用户指数代表了全球移动手机用户的一半。 图表2全球智能手机用户数量增长预测根据Gartner的报告显示，2016年全球智能设备出货量破25亿，个人电脑、平板电脑及超极本在2016年的市场规模将继续萎缩，在智能手机部分上，出货量将会有所提升，预计达到20亿左右。 图表3全球智能设备出货量预测DIGITIMES Research表示，2016年全球智能手机出货前十大排名依序为三星（Sams

3、ung Electronics）、苹果（Apple）、联想（Lenovo）、乐金（LG Electronics）、华为（Huawei）、小米（Xiaomi）、微软（Microsoft）、TCL、酷派（Coolpad）及欧珀（Oppo），中国大陆地区厂商占6席。 相对于PC，用户使用手机上网、下载应用软件、电子支付比使用PC更频繁，随之而来的自然是日益凸现的安全威胁。 目前，智能手机的信息安全越来越受到用户和业界的广泛关注。 智能手机后台自动收集、回传用户个人信息，以及沸沸扬扬的斯诺登事件、icloud泄密好莱坞影星艳照事件、苹果iOS“后门”事件，让各国手机用户越来越重视手机安全。 欧盟网络与

4、信息安全署（ENISA）报告指出，资费、隐私和数据安全，是当前智能手机用户的关注重点。 安全研究显示，全球手机用户中90%都面临密码被盗、数据被窃的风险，在某些情况下甚至会导致手机被黑客完全控制。 这些威胁来自智能手机存在越来越多的安全漏洞，其中包括苹果、谷歌和黑莓等企业采用了存有瑕疵的行业标准，智能手机四分之三采用旧版Android系统的设备，全球八分之一的SIM卡存在安全漏洞等等。 由于智能手机具有独立的操作系统，像个人电脑一样支持用户自行安装软件、游戏等第三方服务商提供的程序，并具备上网功能，其极易被病毒制作者利用，传播手机病毒等安全威胁。 随着2016年智能手机竞争越来越激烈，更多的厂

5、商打出“安全牌”，尤其是在手机的其他功能相差不大的情况下，安全手机倍受关注，网络安全正改变着世界的经济。 第二节 全球安全手机技术发展趋势分析现在是移动的、社交的和云的世界，系统经常运行在未知的人编写的计算机程序中，人们可能没有意识到，所有这些外部程序都可能是恶意的，随时能使系统陷入危险。 然而，终端节点是防御系统中最薄弱的一个环节，一旦某个终端节点被攻破，攻击者就可以远程控制受感染的计算机，并在你的网络上使用相同的授权作为你的合法用户之一。 移动智能终端的安全隐患及安全控制目标主要在以下几个方面： 外围接口安全：外围接口包括无线外围接口、有线外围接口。 用户数据/信令通过无线信号在空间传播并

6、于基站进行通信，用户数据在空中有被截获的风险，用户的通话、短信等个人私密内容均有被攻击者在空中接口进行窃听的风险。 外围接口被非法连接进行非法数据访问和传送。 外围接口的安全目标，是确保用户对外围接口的连接和数据传输可知、可控。 应用安全：应用中含有大量恶意代码和木马病毒，以及对应用商店的攻击和恶意应用商店的存在，对终端生态系统造成吸费、窃取隐私的巨大损失。 另外，Web2. 0和HTML5的发展使得对基于Web环境的业务和应用的攻击成为终端生态系统安全威胁的入口，对终端生态系统造成各种严重危害。 应用安全的控制目标，是要保证智能终端对要安装在其上的应用软件进行来源识别，对已经安装在其上的应用

7、软件进行敏感行为的控制，还要确保预置在智能终端中的应用软件无恶意吸费行为，无XX的修改、删除、窃取用户数据的行为。 操作系统安全：操作系统存在的漏洞和后门使得终端操作系统很容易遭受攻击，达到控制系统和破坏系统的目的，对终端生态系统造成巨大影响。 操作系统安全目标，是实现操作系统对系统资源调用的监控、保护、提醒，确保涉及安全的系统行为总是在受控的状态下，不会出现用户在不知情情况下某种行为的执行，或者用户不可控的行为的执行。 另外操作系统还要保证自身的升级是受控的。 硬件安全：终端的丢失或者故障造成隐私数据的泄露或者遗失，恶意软件对硬件的破坏，对终端生态系统造成严重损失。 智能终端硬件安全目标，是

8、在芯片级保证移动通信终端内部Flash和基带的安全，确保芯片内系统程序、终端参数、安全数据和用户数据不被篡改或非法获取。 用户数据保护安全：其目标是要保证用户数据的安全存储，确保用户数据不被非法访问、不被非法获取、不被非法篡改，同时能够通过备份保证用户数据的可靠恢复。 当前国际化标准化组织正在推动移动终端安全标准，其中全球平台组织（GlobalPlatform）一直致力于制定、开发和发布安全芯片的技术标准，以促进多应用产业环境的管理及其安全、可互操作的业务部署。 全球平台组织（GlobalPlatform）的工作重心主要集中在可信执行环境（TEE）、安全单元（SE）、系统信息等领域的升级、优化

9、、标准化，其成熟的技术规范被奉为业内标准。 可信执行环境（TEE）是一个驻留在所连接设备的主处理器上的安全区域，以确保在可信执行环境中的敏感数据的存储、处理和保护。 可信执行环境（TEE）为可联网设备提供了安全性和功能性保障，同时为授权安全软件（也称为可信应用）提供了安全执行环境，通过保护可信应用数据和资源的保密性、完整性和数据访问权限，确保端对端的安全。 安全单元（SE）主要由软件和防篡改硬件组成，可提供高级别的安全保障，能与可信执行环境（TEE）一起运行。 对于需要最高安全级别的近距离支付相关应用或官方电子签名、身份验证、个人身份识别号码（PIN）管理和识别等，安全单元（SE）是移动终端设

10、备不可或缺的组成部分。 为了给整个行业建立一个全面的基准，给价值链上下的合作各方提供一个通用框架，降低诸如应用程序开发商、硬件生产商、软件开发商等业内企业的运营成本，全球平台组织（GlobalPlatform）在其官网（www. GlobalPlatform. org）上提供了大量在线信息，帮助整个行业了解可信执行环境（TEE）、安全单元（SE）的价值。 智能终端安全防护技术可以分为被动防护和主动防护。 被动防护主要是对应用进行特征码扫描，并限制应用对智能终端资源的访问，存在的问题是病毒的发现永远滞后于病毒的查杀，而且智能终端的安全防护能力依赖于安全防护软件厂商的特征库更新，基于特征码扫描查杀

11、的方式不能起到实时防护作用。 被动式的防护可能造成没有能力保障用户安全，如：手机病毒的大规模爆发。 此外，网络承载大量恶意、有害的流量，没有能力保障网络自身安全，影响网络的效率，对用户终端造成巨大的冲击和威胁。 而且，也没有能力保障自有业务安全，自身业务系统被黑客轻松闯入，仿冒运营商欺骗用户，导致用户对终端进行错误操作，给用户终端造成巨大威胁。 智能终端是一个资源受限的计算系统，同时又是敏感信息集合的个人终端，在处理能力和信息保护需求上完全处于“不对称”状态，需要主动防护。 1、操作系统加固：对智能终端操作系统采取有效的解决方案进行加固，能更好的保护用户的资费安全和隐私安全等基础性安全，而高等

12、级安全则由第三方安全防护软件解决。 采用比较可行的加固技术，使操作系统对所有应用建立访问控制列表，对于被调用的敏感API进行实时监控，依据访问控制列表限制应用行为。 其优点是可以提高智能终端自身的安全能力，主动防护绝大多数恶意应用，有效提高智能终端的基础性安全，解决移动互联网接入节点的基础性安全问题。 2、采用硬件防护技术：在某些应用场景，如移动支付、移动商务、数字版权等，对智能终端有着较高的安全性要求，基础性安全防护的能力已经难于满足应用的安全性要求。 基于硬件构建的智能终端安全防护系统，能进一步增强智能终端的安全性。 相关技术包括：采用基于硬件的安全启动（Secure Boot）功能，可以

13、保护智能终端软件系统的完整性，即在智能终端系统启动过程中，如发现系统镜像被修改，那么就终止启动。 建立可信执行环境体系，通过在智能终端系统中集成专用硬件模块（TPM/TCM）建立信任源点，利用密码机制建立信任链，构建可信赖的计算环境，从而为从根本上解决计算安全问题成为可能。 采用可信区域技术，将ARM处理器进行扩展，增加相应的安全指令、安全配置逻辑，设立有别于核心态和用户态的安全态，智能终端系统软件可以利用这一扩展提供安全支持。 手机终端安全最关键的仍然是基于硬件安全措施的防护技术，这是一个全球都在攻克的技术难关。 3、建立智能终端芯片级安全防护体系：当前ARM TrustZone技术是保证手

14、机安全的基础，支持SIM锁、DRM和支付服务，ARM TrustZone的硬件架构是整个系统设计过程中的安全体系的扩展。 未来，移动应用会涉及工业和国防等安全性更高的领域，研究芯片级安全防护体系是今后智能终端安全防护技术发展的方向。 4、健全SIM卡的安全机制：SIM卡是终端用户身份认证、入网鉴权等重要数据的载体，是保证用户通信安全的重要部分。 用户的签约数据、网络参数、鉴权算法以及鉴权过程中使用的密钥都保存在SIM卡中，其安全功能涉及鉴权和密钥生成、数据加密和文件访问控制等。 但由于SIM卡功能有限，无法满足多样化应用的安全需求，目前多采用基于SIM的安全芯片TPM（Trusted Plat

15、form Module，可信任平台模块）来保护用户隐私和数据安全；通过提供可信计算技术（Trusted Computing Technology）来提升芯片的安全特性；通过SIM卡安全芯片操作系统（COS）为安全服务提供安全策略，包括身份认证、安全报文传输、用户鉴别、数据存取条件机制与多应用管理、密钥管理等。 通过USIM在网络鉴权算法、文件系统、指令集等安全性方面的升级，增加卡对网络的认证过程，即用户和网络的双向认证和密钥协商，以有效防止黑客对卡片的攻击。 5、智能终端与管理平台结合：通过搭建一个终端安全的统一管理平台，给终端按需、适度配置各类安全措施，提供统一的安全策略，最大程度确保企业和

16、个人用户终端的安全。 第二章 中国安全手机行业分析第一节 中国安全手机行业发展概况中国是全球最大的智能手机市场，2014年中国智能手机用户首次超过5亿人，成为智能手机用户最多的国家。 在智能手机时代，手机的安全问题也逐渐凸显，恶意代码泛滥、用户隐私窃取、不良内容传播、位置信息泄露等安全事件时有发生。 面对众多用户对手机安全的担忧，国产手机厂商纷纷发布安全手机策略，转向安全加密市场，专注于提高移动应用安全性，重视智能安全手机的推出。 随着4G时代的到来，中国手机市场的品牌格局变化将进一步加剧，从品牌格局来看，三星和苹果两大洋巨头很可能因信息安全问题在国内遭遇前所未有的安全挑战和市场份额下挫的局面

17、，华为、中兴、酷派、海信为代表的国产品牌将齐攻加密市场围剿三星、苹果等洋巨头，安全手机将成为市场新一轮竞争的主题。 具体来说主要因为：一、以安卓系统为主导的三星手机和苹果iPhone所曝露出来的信息安全问题已愈发被人们所重视，在政府力推信息安全的大背景下其前景不容乐观；二、基于国家安全及网络安全，政企客户使用信息安全装备的需求越来越强烈，这意味着未来将有更多政企单位和组织加入到安全手机用户行列，三星和苹果可能面临着用户逐渐流失的窘境；三、除了性价比优势，国产厂商在手机安全层面有着得天独厚的优势。 我国移动智能终端产业链上的各环节，包括终端及操作系统厂商、安全服务厂商、应用商店经营者、研究机构等

18、均在加快研究移动智能终端安全问题并积极研究相关技术，从技术研究、标准规范、管理制度等多方面加强对智能终端的安全保护。 由于移动智能终端的安全威胁可归结为移动智能终端（信宿）、移动应用商店（渠道）和第三方应用服务器（信源）三个方面，因此各方面都在针对移动智能终端自身安全能力、提供应用软件下载和销售的应用商店以及向应用软件提供升级和内容服务的第三方服务器等关键环节进行安全把控，提高移动智能终端安全性。 目前，中国手机市场上，用户对手机价格的关注已经呈现出明显的两端高、中间低的特征，即要么关注质量高、安全性能突出的产品，要么关注价格低、性价比高的产品。 随着中国智能手机市场销量增长率的由升转降，意味

19、着中国智能手机市场的渗透率已经达到了较高的水平，这同时也意味着新增手机用户的规模将会下降，换机将成为未来手机市场增长的动力点。 这对在中国手机市场占据六成出货量的国产手机厂商来说，需要抓住智能安全手机用户的购买心理和需求偏好，做好改革和创新准备，积极突破技术壁垒，开展技术、产品等方面的创新，以良好的用户体验，合理的价格区间来打动消费者，以具有差异化的核心竞争力在市场中保持生命力。 目前，我国市场有代表性的安全手机包括酷派铂顿、华为荣耀、中兴天机、努比亚 Z7 Max尊御等。 第二节 中国安全手机相关政策法规分析我国正在加快制定信息安全法，以有效规范信息使用和管理工作，促进我国信息安全保护水平不

20、断提升，同时，移动智能终端产业链上的各环节都已高度重视移动智能终端安全，从标准规范、管理制度等多方面加强对智能终端的安全保护。 1）法律法规我国在网络信息安全的现行法律主要为2000年全国人大常委会出台的维护互联网安全的决定及互联网信息服务管理办法，2004年全国人大常委会发布的电子签名法，2012年全国人大常委会发布的关于加强网络信息保护的决定。 现有的行政法规为1994年国务院发布的计算机信息系统安全保护条例，2000年国务院发布的中华人民共和国电信条例，2006年国务院公布的信息网络传播权保护条例。 相关的部门规章制度包括公安部1997年发布的计算机信息网络国际联网安全保护管理办法，央行

21、2010年发布的非金融机构支付服务管理办法，工信部2010年发布的通信网络安全防护管理办法、2013年发布的电信和互联网用户个人信息保护规定、2014年修订的电信设备进网管理办法，工商总局2014年发布的网络交易管理办法。 从现行法律来看，我国在信息安全方面的立法基础还很薄弱。 2）标准规范目前，已发布的移动智能终端安全相关国家标准有1项，即2013年发布的移动通信智能终端操作系统安全技术要求(EAL2级)。 中国通信标准化协会（CCSA）已发布和在研的移动智能终端安全行业标准和研究报告超过10余项，通用标准包括移动智能终端安全设计导则、应用商店信息安全设计导则等，主要关键技术标准包括2007

22、年发布的移动终端信息安全技术要求和移动终端信息安全测试方法、2009年发布的移动智能终端芯片安全技术要求和测试方法，2013年发布的移动智能终端安全能力技术要求和移动智能终端安全能力测试方法、手机支付 移动终端安全技术要求、2016年发布的移动终端可信环境技术要求，涵盖移动智能终端各个层面。 此外，智能终端开放平台应用程序安全技术标准、智能终端开放API接口安全技术标准、移动代码签名技术要求及测试方法、移动互联网应用商店安全防护要求和检测方法、移动互联网应用商店信息安全技术要求和管理要求等标准已经制定完成，对智能终端开放性安全、代码签名安全、统一移动应用商店的安全审核尺度大有益处。 另外，已经

23、发布的联网软件安全行为规范是第一部关于联网软件安全的行业标准，主要规定联网软件运行机制要求、联网要求、恶意行为防范、运行安全等四个方面的技术要求。 。 3）管理制度2010年，最高人民法院、最高人民检察院出台关于办理利用互联网、移动通讯终端、声讯台制作、复制、出版、贩卖、传播淫秽电子信息刑事案件具体应用法律若干问题的解释（二），为惩治利用手机制作和传播淫秽色情信息提供法律依据。 2011年，工信部、国家工商行政管理总局联合印发关于进一步整治手机“吸费”问题的通知，工信部通信保障局联合公安部、安全部、国家保密局等多个国家部门，研究如何共同加强移动智能终端安全管理。 工信部于2011年12月印发移

24、动互联网恶意程序监测与处置机制，出台对恶意程序的认定、监测及惩治等措施、指导移动通信运营企业、安全企业、科研机构等相关方合力净化网络环境，保护移动用户利益。 工信部电信管理局于2013年11月1日正式实施关于加强移动智能终端管理的通知，将对移动智能终端及预置应用软件的安全评估和备案正式纳入到终端进网管理中，对促进移动智能终端安全能力的提升起到重要作用。 第三节 中国安全手机行业技术发展状况分析一直以来中国智能手机市场主要通过第三方应用厂商推出的安全应用和智能手机厂商内置安全应用来确保手机安全。 但智能手机安全应用仅在应用层面为智能手机提供保护，因此，遇到利用系统底层漏洞与后门的木马病毒等恶意应

25、用往往就无能为力。 虽然也有很多手机厂商和第三方开发了安全软件，但它们的安全级别并不高。 面对移动智能终端的各种安全威胁，终端及操作系统厂商、安全服务厂商、应用商店经营者、研究机构等均重视移动智能终端安全问题并积极研究相关技术和解决方案。 在终端及操作系统厂商方面，各主流操作系统均已引入一系列安全策略，如表4所示。 在安全服务厂商方面，奇虎360、网秦、金山、卡巴斯基等安全公司研发针对Android、iOS等操作系统平台的安全检测和认证技术，包括静态代码扫描能力、动态运行分析能力以及代码签名认证等。 在研究与检测机构方面，工信部电信研究院等多个研究机构深入研究分析智能终端及应用软件安全问题，通

26、过实验获取操作系统厂商收集用户信息、应用软件包含恶意程序的证据，研究智能终端及应用软件的安全评估技术及测试方法、签名认证体系。 图表4操作系统的安全机制为提高移动智能终端安全，当前主要针对移动智能终端自身安全能力、提供应用软件下载和销售的应用商店以及向应用软件提供升级和内容服务的第三方服务器等关键环节进行安全把控。 在移动智能终端环节，我国将通过终端安全技术攻关、安全标准引导以及进网管理规范提升终端安全能力。 在终端安全技术攻关方面，扶持国内操作系统、芯片等核心技术的研发和产业发展，争取对移动智能终端安全管理的主动权和控制力，加大国家项目中对于移动智能终端的软硬件技术、安全技术的研发支持力度、

27、以及对于系统软件和应用软件安全漏洞后门分析及处置技术等专项研究的支持力度，扶持国内企业构建自主可控的移动智能终端安全技术能力与产品方案。 在安全标准引导方面，系统梳理并不断完善移动智能终端安全标准体系，推动相关安全标准的制定和贯彻实施，规范对移动智能终端安全能力分级要求，并通过安全能力分级要求引导移动终端厂商、手机操作系统厂商不断实现新的安全能力。 在终端进网管理环节，加强对智能终端进网安全检测内容及测试方法手段的研究，补充对硬件芯片及外围接口、用户数据保护、操作系统漏洞、操作系统API调用、预置应用等关键环节的安全保障技术和管理措施要求，同时持续跟踪新出现的移动智能终端，将新型终端及时纳入进

28、网检测。 在移动应用商店环节，积极推进第三方权威认证实验室建设，开展对应用软件、应用商店和第三方服务器的第三方权威安全监测和评估，督促企业落实相关安全要求。 此外还需制定针对各类应用软件的安全技术标准，加强对应用软件安全评估工具和方法的研究，保障安全评估高效客观开展。 从软件研发源头提高软件质量和安全水平，在软件研发、上线、运行的整个生命周期内实施安全措施保障。 对于缺乏应用软件检测能力的移动应用商店经营者，可以要求其委托权威的第三方终端软件测评认证机构按照相关规定代为进行应用软件的测试和认证。 在第三方应用服务器环节，依照互联网信息服务管理办法进一步加强管理。 手机安全是一个系统性的安全问题

29、。 安全解决方案需要从终端硬件、安全芯片、操作系统、到应用程序、行业软件等各个层面入手，综合考虑加以解决。 2014年以来，中国智能手机国产厂商逐步与运营商合作推出以通信安全、云安全、系统安全、数据安全、应用安全等多个维度加强智能手机安全保护的云端与终端一体化安全解决方案：1、通信安全。 做到语音保密通信、短信加密等，保护用户通信安全。 在终端设计中采用加密芯片等硬加密手段，通过与运营商合作，提供端到端全程加密，一话一密，话音在终端、空中接口和网络之间全程采用密文传送方式。 2、云安全。 通过国家级云安全等级认证，确保手机云安全服务。 通过在手机终端上的数据加密保护、云传输数据加密保护、以及云

30、端存储数据的加密保护、云端数据库的安全访问控制等防护手段，确保云服务各个环节的数据安全。 3、操作系统安全。 通过各种安全措施来加固操作系统以保障手机安全。 在Android系统底层植入获得国家安全认证的底层安全架构，以删除Android系统后门。 通过建立完整的读写机制，做到数据从属加密，实现个人隐私保护。 采用安全操作系统，内置手机安全服务，实现恶意软件防护。 采用CPS防跟踪系统防止秘密跟踪定位。 采用远程追踪技术，伪装来电技术，防盗拍摄技术等防止手机被偷盗。 实现安全系统和通用系统的双系统硬隔离，将安全系统和通用系统分别安装在两个ROM存储空间，完全独立运行，无法互相访问，保证存储数据

31、的安全性，即使手机丢失，也不用担心重要数据被暴露，从而保护用户数据安全和个人隐私。 4、数据安全。 对于重要数据来说，采用国家密码管理局认可的商用密码算法进行加密保护、以及密钥隔离保存的方式，来保障重要数据的安全。 5、应用安全。 对于个人应用和行业应用，需要在设计开发时就考虑到安全问题，包括从业务流程、数据处理、系统访问权限等多方面入手分析应用面临的安全威胁，提出针对性解决方案。 综上，基于安全硬件的保护是手机安全的基础，采用专门定制开发的硬件安全芯片，将基于密码技术开发出的定制版安全芯片加载到手机或SIM卡里，可达到银行业务要求的国际CC安全标准EAL4+认证级别。 采用完善的终端安全防护

32、体系，包括从芯片层硬件加密、操作系统访问层的安全控制（包括对底层参数、访问区域的修改），以及在应用框架层的业务数据加密保护在内的完整保护体系，是全面增强终端系统安全性的必要途径。 第四节中国安全手机用户规模分析截止2016年6月，我国移动电话用户规模近13亿，移动宽带用户占比达到52. 1%，移动电话普及率达94. 5部/百人。 3G用户加速向4G用户转换，4G用户持续爆发式增长，总数达到2. 25亿户，占移动电话用户的比重达17. 4%。 图表5 20142016年6月动宽带用户当月净增数和总数占比情况移动互联网用户总数规模达到9. 05亿户，在4G用户爆发式增长、流量资费下降带动下，使用手机上网的用户数再创新高，总数8. 6亿户，对移动电话用户的渗透率达66. 6%。 图表6