应用程序商店并不一定安全

　　苹果公司率先推出了审核程序商店的概念，其他移动平台制造商都纷纷效仿。众所周知，苹果公司审查应用程序以确保程序符合苹果公司的编程和其他标准，这种审核让用户感觉到苹果公司已经过滤了恶意程序，Julian表示。

　　Julian表示，这对于任何应用程序商店(不仅仅是苹果公司)而言，都是一个非常危险的假设。安全专家逐个逐个地仔细审查所有的应用程序不可能处理每个月提交的几千个应用程序，就算是自动化代码分析工具也不可能实现。Julian表示，苹果公司、谷歌、微软、RIM和其他制造商能够筛选出明显的恶意程序，但是有些恶意程序可能能够通过审核。

　　Android用户可以通过禁用该操作系统对未签名应用程序的阻止让任何审核都失去意义，这个设置可以在操作系统的设置程序中很容易地被更改。有些用户禁用这个阻止是为了能够安装Android Market不允许的应用程序，例如没有经过运营商授权的应用程序。同样，iOS设备越狱允许未授权的应用程序通过任何苹果公司的安全审核。

　　从理论上来说，沙盒将限制移动恶意软件的危害，“大家通过沙盒来建立隔离是很不错的办法，”Julian表示，但这并不是完美的防御，“你也可能毁了沙盒的作用，”EMA的Crawford表示，例如你可以添加机制来允许应用程序互相通信或者共享数据。

　　应用程序最可能遭受这种漏洞攻击的地方在于浏览器，浏览器的插件可以为黑客增加功能和接入点，正如苹果公司在PDF越狱漏洞中所发现的一样，卡巴斯基实验室的Schouwenberg表示，“这说明了沙盒技术的漏洞。”

　　Crawford指出“这并不是浏览器本身的设计的问题，而是浏览器如何通过扩展、帮助对象和插件来进行延伸的方式，这通常会为攻击者打开大门”，他指出，用户需要使用这些扩展，而这些扩展通常都是由较小公司以及个体开发人员开发的，而他们并不十分精通应用程序安全。如果移动操作系统制造商关闭浏览器的话，他们可能会遭到用户的强烈反对。

　　并且，他表示，如果HTML5应用程序需要以来本地帮助程序的话，推动使用HTML5作为泛移动应用程序开发平台将增加浏览器作为恶意软件载体的风险。Crawford认为Web应用程序存在最大的潜在移动威胁，因为，web安全采取的行动越来越少。