2017 软件与移动智能系统安全暑期学校详细课程介绍

2017 软件与移动智能系统安全暑期学校详细课程介绍

由上海交通大学密码学与计算机安全实验室（LoCCS）主办的2017年软件与移动智能系统安全暑期学校将于7月10日至14日在上海交通大学徐汇校区浩然高科技楼102馆举行同大学，位于上海市中心。 抓住。 我们从2015年开始举办软件与移动智能系统安全暑期学校，今年是第三次。 今年我们的讲师阵容比过去两年更加强大。 他们来自国内外五所知名大学，都是目前活跃的安全研究人员。 本课程所有讲师近年来均在国内外知名安全学术会议（CCS、NDSS、SP等）或安全论坛（中国互联网安全大会、五云安全峰会等）上做过相关报告。 暑期学校课程紧扣当前研究热点，内容实用。 为安全学术界和工业界的研究人员提供了充足的学习内容。 是从事计算机安全、热爱安全研究的人必看的一本书。 水平训练。 本次暑期学校报名截止日期为2017年7月9日，请有兴趣参加的同学关注我们的报名页面并提供相关报名信息。 可以在2017年7月9日之前通过汇款方式支付，也可以在暑期学校现场支付。 通过信用卡、现金或支付宝/微信转账完成。

以下是本次暑期课程的精彩摘要：

7月10日

上午：操作系统安全风险与安全设计：以为例

本课程将以操作系统为例介绍操作系统的安全风险和安全设计。 自2008年发布以来，该操作系统经历了多个版本迭代。 在此期间发现的系统安全问题以及相应的安全设计（修复）是安全研究领域不可多得的值得参考的样本和案例。 因此，本课程将主要关注系统安全分析。 课程将首先回顾系统安全模型的基本原理，然后深入介绍系统中可能存在的安全风险，并用实际例子来说明这些安全风险。 最后，我们将给出如何提高系统安全性的建议。

主讲人：周亚锦，博士来自美国北卡罗来纳州立大学。 长期活跃于软件安全领域，尤其是移动智能终端安全研究领域。 研究成果发表在NDSS、CCS等国际知名安全会议上，并连续两次获得ACM最佳奖。 征文奖。 他于2012年发表的关于移动终端恶意软件研究的论文：被引用次数超过1200次，是该领域的顶尖研究成果。 该论文也成为安全研究人员最有价值的参考项目之一。 周博士也是2017年会议论文《On-Non- for ART》的作者之一。

下午：密码学误用分析与安全开发指南

尽管密码学理论在过去几十年里取得了长足的进步，但在实际应用中，密码学算法和协议仍然被开发人员错误地部署在生产系统中，导致严重的安全问题，例如由索尼 PS3 引起的 ECDSA 签名方案随机化问题导致游戏机被破解以及导致荷兰NXP公司开发的RFID产品智能卡被破解的-1私有加密算法问题。 在分析软件中的密码问题时，一个误解是假设分析人员具有很强的密码理论专业知识，这让安全研究人员望而却步。 在本课程中，我们将从三个方面介绍密码学误用分析和安全开发。 通过本次课程培训，我们希望学员能够掌握：

软件中密码算法的位置识别和密钥提取技术；

常用密码算法库的正确选择和使用；

熟悉典型的密码学误用，并在现实开发中避免此类问题；

能够审核实际系统中的一些基本密码学滥用情况。

演讲嘉宾：李娟如，上海交通大学密码动物学与计算机安全实验室软件安全组组长。 长期从事软件安全分析和密码学实际应用安全分析工作。 在2014中国互联网安全大会上发表主旨演讲。 是多项国家重点科技研发项目的核心技术负责人。 他不仅关注计算机安全研究，还关心相关教育工作。 在2015年启动软件安全暑期学校之前，他联合组织了上海交通大学公益项目“一路贵州”团队赴黔东南贵州省，并作为负责人连续7次开展暑期教学活动年。

7月11日

上午：平台第三方支付应用安全分析

本课程重点介绍平台第三方支付服务的安全分析技术。 目前，应用内第三方支付服务广泛使用，第三方支付功能的开发和部署门槛较低，容易产生安全风险。 本课程将介绍第三方支付安全的现状，以市场上热门应用的支付实现为例，讲解支付安全漏洞的检测和分析方法，深入分析造成这些问题的原因。并提出相应的修复方案和最新解决方案。 最佳实践。

演讲嘉宾：杨文波，上海交通大学软件安全组（密码学与计算机安全实验室）成员，长期从事安全研究。 首届阿里巴巴移动安全挑战赛获胜者。 在2015年黑云白帽会议上发表主题演讲，并在NDSS、RAID等学术会议上发表论文。

下午：如何通过硬件增强功能创建安全系统

本课程重点讨论硬件虚拟化安全主题。 目前硬件厂商在其设备中引入更多的安全功能以提高系统安全性是当前的趋势，例如Intel的SGX、AMD的SEV和ARM的SEV。 这些安全功能的工作方式更像是软件而不是传统硬件，它们可以减少软件的可信计算基础或提高整个系统的效率。 同时，一些并非为安全而设计的硬件功能也可以用于攻击或防御。 在本课程中，夏博士将向您介绍最新的硬件特性及其在提高系统安全性方面的应用。

演讲嘉宾：夏玉斌，上海交通大学软件学院副教授； 上海交通大学并行与分布式系统研究所（IPADS）安全研究专家，IEEE计算机学会会员、ACM会员、计算机学会CCF会员。 主要研究对象是操作系统、系统虚拟化和系统结构。 研究方向为移动安全和云计算安全。 研究成果近年来在ISCA、HPCA、FAST、CCS、NDSS等高水平学术会议上发表。 目前主要研究基于硬件扩展的可信执行环境（TEE：）：在移动安全方面，带领团队开发了支持的安全操作系统T6； 在x86平台上，基于Intel SGX，实现了虚拟化等方面的系统软件支持。 夏玉斌教授也是2017年会议论文vTZ: ARM的作者之一。

7月12日

上午：软件中密码系统的安全评估

本课程重点关注软件中密码系统的安全性评估。 在当今的软件系统中，密码保护技术被广泛使用。 密码系统可以部署在即时通讯、电子商务、数据存储、在线金融等场景中。 密码系统的不安全实施会给企业和用户带来严重的安全威胁。 其中，密码系统的安全评估尤为重要。 本课程将介绍密码系统的评估标准和标准化流程，并以密码系统中的身份认证、访问控制等评估指标为例，讲解安全评估中的重要评估项目和测试方法。 同时，我们将在本课程中介绍密码系统中常见密码协议的安全测试方法和工具以及这些密码协议实现的最佳实践。

主讲人：刘辉 博士来自上海交通大学软件安全组（密码学与计算机安全实验室）。 她的研究方向是密码协议的安全分析。 她在2016年乌云安全大会上发表讲话。

下午：物联网安全威胁分析：智能插座和监控摄像头案例

本课程重点介绍物联网设备的安全分析技术。 随着物联网的“爆发”，各类智能设备互联，实现远程监控目的。 智能插座和摄像头作为家庭中常用的物联网设备被广泛部署。 然而，此类设备的安全问题会带来严重的安全隐患。 本课程将介绍当前物联网设备的安全分析技术，以及针对物联网设备的三种有效攻击，可以获取物联网设备的认证信息并完全控制这些设备。

主讲人：凌震，研究兴趣包括网络安全、匿名通信网络、隐私保护、网络取证和智能终端安全。 2008年8月至2009年11月在香港城市大学计算机科学系担任副研究员，参与网络安全相关研究。 2011年8月至2013年8月以访问博士生身份加入加拿大维多利亚大学计算机科学系从事相关研究。 研究工作。 承担和参与多项国家、部、省级科研项目，在学术会议和期刊上发表论文40余篇，其中包括国际重要期刊IEEE/ACM on（ToN）、IEEE on and（TDSC）、IEEE和（TIFS）、IEEE 和（TPDS）、IEEE 和（TC）以及学术会议 ACM CCS 和 IEEE。 研究成果两次在国际著名黑客大会Black Hat和2014年中国互联网安全大会（ISC）上发表，并制作成教育推广节目。 凌震博士荣获2014年ACM中国优秀博士论文奖（全国共2名）、2015年CCF优秀博士论文奖（全国共10名）等奖项。 IEEE、ACM、CCF会员，担任ICCCN、HPCC、ICCC、CCNC、WISA等多个会议程序委员会委员，并担任IEEE等国际知名期刊审稿人TDSC、IEEE TIFS、IEEE TPDS、IEEE TC、IEEE TMC、IEEE TWC、ACM 等

7月13日

全天：二进制软件安全分析

作为软件的最终交付形式，可执行文件（或二进制代码）无处不在。 它们包含在系统上运行的最终代码并真正代表程序行为。 在许多情况下，例如在分析 COTS 程序、恶意软件或遗留代码时，我们只能分析可执行文件，因为源代码和调试符号丢失。 然而，分析可执行文件具有挑战性，因为许多程序信息在编译过程中丢失。 幸运的是，仍然有可用于分析二进制代码的技术和工具。 在这个为期一天的课程中，著名软件安全分析专家林志强教授将讨论二进制代码分析中广泛使用的技术和工具，并分享他对各种程序的二进制代码分析的经验。

主讲人：林志强，德克萨斯大学达拉斯分校教授，从事安全研究和教学。 现任德克萨斯大学达拉斯分校网络空间安全研究与教育学院系统与软件安全实验室（S3实验室）主任。 负责人是17、ACM CCS 14-16、NDSS 15、ACSAC 14、16等多个重要国际学术会议的程序委员会委员。林教授目前的研究兴趣包括软件安全（代码及其to、code、、和代码）、移动智能终端安全（和应用程序）、系统安全（操作系统和数据，如Intel SGX）、虚拟化（云VM）和数字取证（和磁盘使用和）

7月14日

上午：虚拟世界之影-平台MMO游戏攻防

本课程重点介绍平台MMO（大型多人在线）游戏的安全分析和防御技术。 手游是目前平台上最赚钱的软件类型之一，也是最容易受到黑客攻击的软件类型之一。 其中，MMO游戏因其运行环境多样、网络通信频繁、代码结构复杂、攻击渠道众多，成为最难分析、最需要防护的游戏。 本课程将以当前主流MMO游戏为例，介绍常见的平台游戏安全分析技术（游戏引擎逆向工程、逻辑脚本提取分析及网络流量分析等）、平台游戏外挂原理分析（内存修改、代码Hook、代码重打包等）、平台游戏保护技术（资源加密、代码加固、运行环境监控、防内存修改、完整性验证、网络通信加固、服务器二次验证等）。

演讲嘉宾：舒俊良，上海交通大学神秘动物学与计算机安全实验室（LoCCS）软件安全组博士生，上海交通大学CTF团队0ops成员。 舒俊良博士在安全领域积累了6年以上的研究经验。 作为国内知名安全研究员，多次发表相关领域研究论文（包括CCS、RAID等国际顶级学术会议）。 在2015中国互联网安全大会上发表主旨演讲。