2016年第五届全国网络与信息安全防护峰会入选信息安全优秀作品
- 1. Android智能手机深度取证与分析系统
学校：武汉大学 学生代表：黎芮彤 指导老师：陈晶
所获奖项：2016年全国大学生信息安全竞赛 一等奖作品简介：（查看作品）
近年来，随着移动通信技术的迅猛发展，手机在我们的日常生活中所扮演的角色越来越重要。手机中的各种信息，将为案件侦查和审理判决提供依据。如何提取、恢复手机数据并进行有效的分析，将是一个迫切需要解决的挑战性问题。 Android 智能手机深度取证与分析系统（简称取证精灵），针对司法部门对于犯罪嫌疑人的排查方面存在取证难、筛选繁琐等困难设计并开发了一系列的功能。取证精灵能够在获取待取证手机持有者手机的基础上，将待取证手机持有者手机上的数据库导入到本系统（取证精灵）的数据库中，并通过数据查询、数据恢复、数据分析等功能对其进行数据整理，然后通过结构化的表现形式以及轨迹图、关系图的表现形式将分析结果呈现。同时，也为司法部门提供了证据管理与报告管理的功能，方便司法工作人员管理信息，提高工作效率 。 - 2. Eye-gaze Security：视线追踪身份认证系统
学校：北京航空航天大学 学生代表：李娜 指导老师：伍前红
所获奖项：2016年全国大学生信息安全竞赛 一等奖作品简介：（查看作品）
信息时代，账户密码成为我们出入各个系统、网站的身份凭证，并且在诸多场合中都使用键盘作为口令输入的方式。但这种输入方式逐渐暴露出许多问题，例如易被监控摄像头窃取口令输入过程，或被键盘记录器记录键盘操作等。视线输入可减少输入过程留下的物理痕迹，有可能成为更加可靠的口令输入方法。Eye-gaze Security系统以视线追踪方式代替传统的键盘方式，实现用户的口令输入。由于人眼瞳孔的移动很难察觉，注视点的改变更是与摄像头和用户头部的位置有关，难以被旁观者观测，因此能够有效避免用户口令在输入过程中被监视窃取的现象。此外，考虑到不同应用场景的需要，系统可提供三种口令输入模式，即数字口令、图形口令和动态验证。对系统的测试结果表明系统精度能够实现运行要求，且系统可靠性和稳定性良好，可方便应用于各种不同的实际环境。 - 3. 基于Android平台的失窃手机隐私信息防护系统
学校：中国地质大学 学生代表：陈聪儿 指导老师：王茂才
所获奖项：2016年全国大学生信息安全竞赛 一等奖作品简介：（查看作品）
本作品依托于本团队目前正在主持的国家级大学生自主创新资助计划，并在指导老师所主持的本科教学工程“网络空间安全创新人才培养”项目的支持下，基于相关 Android 手机安全软件的分析与研究，将隐私保护、数据回传及远程控制等功能充分地结合起来，同时兼顾软件自身的安全性，设计并实现了一款对已丢失的 Android 手机进行隐私信息防护的系统。本产品针对手机失窃后隐私信息的安全防护问题，在对各种手机安全防护软件进行分析的基础上，重点研究了Android手机的远程控制、数据回传、数据销毁等技术，实现了一款集隐私防护、数据备份、远程控制、定向操作等功能于一体的失窃手机隐私信息防护系统，具有鲜明的特色。本作品提出并实现了混合式防卸载机制，双重守护，无“卸”可击，通过引入静默卸载技术，在不被察觉的情况下可一键清除敏感账户信息。 - 4. 基于多传感器数据融合的步态识别系统
学校：武汉大学 学生代表：郑思言 指导老师：邹勤
所获奖项：2016年全国大学生信息安全竞赛 一等奖作品简介：（查看作品）
步态识别作为一种新兴的生物特征识别技术，旨在通过人们走路的姿态进行身份识别。与其他的生物特征识别技术相比，步态识别的优势在于：可以进行非接触远距离的身份识别以及其特征不容易伪装。 本组开发了一个基于多传感器数据融合的步态识别系统，利用光学传感器、深度传感器、加速度计等多种传感器采集数据，其中颜色和深度信息描述步态的局部特征，加速度信息描述步态的全局特征，利用EigenGait和TrajGait算法对加速度数据和RGBD（彩色与深度）视频数据相结合的方式进行步态识别，从而扩大了步态特征覆盖的范围，降低了环境对系统的影响因素，从而使整个系统具有更高的识别准确率、可靠性和鲁棒性，拥有广泛的应用前景 。 - 5. 基于ECC的NFC和QR码安全身份验证快递系统
学校：哈尔滨工业大学 学生代表：葛蒙蒙 指导老师：余翔湛
所获奖项：2016年全国大学生信息安全竞赛 一等奖作品简介：（查看作品）
随着电子商务的普及，带动了快递行业的飞速发展。快递给人们带来了更加方便快捷的生活，但在快递流通过程中也存在着快件冒领、个人隐私泄漏等安全问题。 本作品基于Android系统，提供身份验证、保护快递用户隐私等功能。系统采用基于ECC(椭圆曲线)的签名算法验证用户身份；基于角色的隐私保护策略，对用户的隐私数据模糊加噪和双哈希处理后存储在云端，同时采用NFC(近场无线通信技术)和QR码双通道传递用户取件令牌信息。系统具有良好的扩展性和可操作性，支持各个不同快递公司；同时提供自取、授权代取、线上随心寄、线下扫码寄等全场景服务，能有效解决传统快递身份验证效率低、用户隐私泄漏等安全问题，在现实生活中具有很强的实用性和创新性，拥有广阔的应用前景。 - 6. 基于Raspberry Pi的警用远程WiFi网络侦查取证系统
学校：山东师范大学 学生代表：刘洋 指导老师：陆佃杰
所获奖项：2016年全国大学生信息安全竞赛 一等奖作品简介：（查看作品）
在数字化信息时代，执法取证对于很多相关部门来说都是非常困难的。因为稍有不慎，会造成不可估量的人员或财产损失。 本作品提出一种基于Raspberry Pi的警用远程WiFi网络侦查取证系统的设计方案，可在300米左右远程控制，针对嫌疑人WiFi网络中的数据流量进行取证，取证内容详细全面。本系统采用Raspberry Pi微型电脑作为处理器，使用XBee模块实现远距离、低功耗地控制取证系统，使用光敏传感器感应环境信息，遭到破坏时自动抹除关键信息。 本作品已获得2项国家级大学生创新创业训练计划立项支持；申请2项发明专利；在WSCN2016国际会议发表论文一篇，该会议往年EI检索。 - 7. 基于SDN的移动目标防御系统
学校：武汉大学 学生代表：黄松逸 指导老师：王鹃
所获奖项：2016年全国大学生信息安全竞赛 一等奖作品简介：（查看作品）
移动目标防御系统通过不断变化的网络结构及通信机制使攻击者的攻击难度及代价大大提高，有效限制系统被攻击的机会。同时，由于SDN弹性和可编程性，为移动目标防御技术的研究提供的一条新的途径。基于上述原因，本作品设计和实现了一种基于软件定义网络的移动目标防御系统－CHAOS。CHAOS通过动态改变内网网络拓扑和节点属性，给渗透者呈现一个随机动态变化的“网络迷宫”，走错一步将失去进一步攻击的基础，提高渗透难度。进出内网及内网内部的流量可牵引至设备进一步分析。它可以将网络中不同级别的主机有差别的混淆。 测试结果表明，当开启防御机制时，CHAOS能够有效构造一个亦真亦假的内网环境，从而防御攻击者的信息探测、中间人劫持等一系列当下流行的入侵手段 。 - 8. 基于SGX的动态口令保护系统
学校：武汉大学 学生代表：王斐 指导老师：严飞
所获奖项：2016年全国大学生信息安全竞赛 一等奖作品简介：（查看作品）
作品利用SGX技术（Intel Software Guard Extensions）提高OTP(One-time Passward)产生与信息存储的安全性，从而简化现有OTP技术，在降低成本的同时解决终端易受攻击的不安全性问题，最终实现一个方便安全的密码管理器。其中，SGX是内置于Skylake架构的一种新安全技术,主要功能是在计算平台上提供一个可信的空间(类似“沙盒”)，保障用户关键代码和数据的机密性和完整性。 本作品提出通过实现SGX的认证和封装功能来提供安全容器对OTP的生成与数据操作进行全面保护，即使是操作系统，虚拟机监控器等特权软件也无法访问安全容器中的数据，从而防止其中敏感数据的泄露，并避免读漏洞和rootkit类攻击，实现一种创新密码管理器。同时对用户信息采取加密存储措施，解决终端存在的内存攻击问题，使客户端的敏感数据得到有效保护，改善现有管理方案的局限性 。 - 9. 基于移动终端用户行为模式的安全防护系统
学校：上海交通大学 学生代表：顾双驰 指导老师：易平
所获奖项：2016年全国大学生信息安全竞赛 一等奖作品简介：（查看作品）
通常情况下，安全防护系统通过用户输入的密钥进行合法性判定，这种判定需要用户妥善保管自己的密钥等信息。但是随着生活中的安全防护系统的增多，用户的密钥保管成为了非常大的人力开支。本作品对用户的身份合法性判别，是直接根据用户操作移动终端时候建立的行为模式进行的，不需要用户提供任何的信息。 用户行为模式，是指用户在使用系统的操作的时候，会根据自己的使用习惯、使用经验等原因，做出自己独有的行为。这种行为模式由于基本存在于潜意识中，具有独特性和不可模仿性，从而与用户本人一一对应。 本作品可以有效减少用户在安全防护上耗费的人力。用户无需记忆繁多复杂的密钥信息，仅正常使用系统即可。系统会自动记录用户的行为模式，并且在后台进行身份合法性判断。如果用户的身份合法性受到系统的质疑，系统就会自动采取相应的措施 。 - 10. 具有强安全认证和隐私保护功能的酒店管理系统
学校：海军工程大学 学生代表：顾晨阳 指导老师：胡卫
所获奖项：2016年全国大学生信息安全竞赛 一等奖作品简介：（查看作品）
随着社会和时代的发展，人们在出差与外地旅游时，不可避免的需要入住酒店。但是由于当前酒店存在一些不安全的机制和因素，导致个人的隐私信息被窃取、甚至恶意泄露。本小组针对以上的安全问题，我们结合当前流行的人脸识别技术，设计了借助智能手机产生具有强身份认证功能的动态二维码作为公民电子身份证，代替实体的二代居民身份证来实现身份的认证功能；设计了WiFi安全接入认证方案，用电子身份证中来完成接入认证，保护用户的个人信息；利用电子式的身份证设计了一种基于电子身份证的新型酒店门禁方案。经过测试与分析，所提方案能够较好地解决当前酒店管理方面的安全问题，有效保护个人的隐私信息，提高酒店的安全管理水平。同时所提方案可以推广应用到其他需要二代身份证认证的公用领域，如火车票认证，手机号办卡，移动支付银行卡认证等领域 。 - 11. 支持内外网准物理隔离的云终端办公系统
学校：电子科技大学 学生代表：黄锦鸿 指导老师：张翔
所获奖项：2016年全国大学生信息安全竞赛 一等奖作品简介：（查看作品）
随着信息化办公的发展，方便快捷的内外网办公系统迅速普及。许多政企部门基于安全的考量，会采用成熟的内外网隔离技术，如网闸。然而由于网闸成本高昂，许多中小企业仍然会考虑逻辑隔离技术。 本作品从实际应用场景与需求出发，结合云架构和虚拟化隔离，以及设备权限控制、安全认证、国密算法等技术，自主设计、实现了一个安全性与价格均优于传统逻辑隔离的云终端办公系统，可在保证安全办公的同时兼顾便捷性和可控性。安全性主要体现在：系统对内可防止内部人员通过云终端向外进行数据泄露，对外可有效阻止黑客的入侵破坏；便捷性主要体现在：简单的组合键用户即可在内外网两个办公环境进行无缝切换；可控性则主要体现在：云后台管理人员可对当前上线用户的办公行为进行实时监控，同时可设置特定工作人员在特定时间段只能运行特定软件和硬件设备。 - 12.移动WEB交互接口安全检测系统
学校：山东大学 学生代表：陈佳 指导老师：郭山清
作品简介：
现在许多公司都提供了手机客户端来方便用户使用他们提供的服务。而客户端和服务器交互需要使用网络接口。由于检查HTTP请求的来源是非常困难的，所以私有的API接口能够轻易的被他人调用而服务器无法检测其来源是否合法。这导致调用一些原本只能由服务商开发的程序内部调用的API接口变为可行。因此我们设计了这个系统，用于自动化的发现在这些安卓应用程序中私有的APIs接口。它使用静态分析技术去找到调用Web APIs接口的Activity，随后我们的系统会在修改过的安卓系统中运行这些被发现的Activities，并监控这些Activities的HTTP请求和响应信息。我们从Google Play上下载了最流行的76个应用程序作为测试集合，该系统成功的分析了其中的48个应用程序并且有超过30个应用程序我们发现了其私有的服务端的API接口，并且发现其中有9个应用程序的私有API接口存在着API滥用或者会话劫持等漏洞。