信息安全系近期举办“大数据环境下的网络空间安全国际学术系列研讨会”，邀请国际著名青年学者来作报告并参加交流。8 月 1 日，系列研讨会第四场邀请美国印第安纳大学王晓峰教授作报告。研讨会由计算机学院副院长刘吉强主持。信息安全系部分师生参加了研讨会。王教授报告题目是“Staying Secure and Unprepared: Understanding and Mitigating the Security Risks of Apple ZeroConf”。
报告介绍了王教授团队针对苹果（iOS，Mac OS X）系统中 ZeroConf 机制的安全漏洞挖掘和分析1。王教授指出，ZeroConf 机制设计时缺乏安全方面的考量，包括核心蓝牙框架，Multipeer Connectivity 以及 Bonjour 在内多个协议缺乏有效保护；导致包括腾讯 QQ，Apple Handoff，打印机发现和 AirDrop 等应用程序或系统服务存在漏洞，可能面临中间人（MITM）攻击。恶意设备可能借此窃取用户短消息、邮件通知、待打印文件或者传输给其他设备（通过 AirDrop）的文件，产生严重后果。
王晓峰教授在作报告
王教授不仅揭露了这些安全问题，还研究了其背后原因并提出解决方案。ZeroConf 技术面临的安全挑战是：设备交互之前要完成的不单纯是设备之间的认证，而且是人与人之间的认证。 ZeroConf 依赖苹果所签发的公钥证书，但找到一个标识符将人与证书绑定是困难的。王教授分析了姓名、Apple ID、照片等标识符应用到认证时存在的问题，进一步提出了一种新的认证机制 SPYC（SPeak out Your Certificate）。SPYC 机制将证书映射到 6 个单词（稀少的或者人造的），证书持有者念出这几个单词并把音频文件发送给需要通信的人。接收到证书和音频文件的任何熟悉证书持有者声音的人都能验证此人证书。
会后，实验室部分老师与研究生与王教授一起对报告内容以及系统安全和网络安全方面的问题做了深入讨论，并就双方进一步合作做了交流。
王晓峰教授团队是系统和网络安全领域世界顶级研究团队之一。他的研究工作受到了广泛重视和各方好评，得到了 NIH，NSF，美国国土安全部、美国空军以及微软研究院等机构或公司的支持；获得了 CNN，MSNBC，Slashdot，CNet，PC World 等媒体的关注和报道。更多信息请见王老师主页。