隨著遠端工作的普及，攜帶自有設備（Bring Your Own Device, BYOD) 已成為許多企業的營運模式。然而，當員工使用個人裝置存取企業內部系統、郵件與客戶資料時，企業的資料安全會變得更加難以控管。

今天我們將探討行動裝置的資安風險：BYOD設備權限與資料未隔離，以及應用程式的逆向工程與篡改的風險。

BYOD 設備未隔離

在 BYOD 環境中，最大的安全問題在於：企業資料與個人資料混雜在一起。如果不把裝置做有效的區隔，個人與企業的資料安全將會互相影響。

常見BYOD工作所遇到的攻擊與資料外洩情形 :

剪貼簿與檔案共用洩漏：

員工在企業App複製敏感客戶資料後，貼至個人的通訊軟體（例如LINE）中；或是自動同步備份企業文件到個人雲端硬碟。

越獄與Root權限破壞：

若員工將手機越獄或Root，系統原有的沙盒防護機制將完全失效。攻擊者或惡意App能以最高權限存取任何App 的私有資料庫。

App惡意側錄：

Android 設備允許使用者側載未經官方審核的.apk檔。若員工安裝了含有木馬的應用程式，惡意軟體可利用Accessibility Service（輔助功能）竊聽螢幕輸入、側錄鍵盤或擷取企業App的畫面，造成風險 。

App 逆向工程與靜態/動態分析風險

靜態分析與反編譯 :

使用工具直接將編譯後的Bytecode或Binary(二進位檔)還原成可讀的原始碼。攻擊者可藉此挖掘硬編碼的 API Key、JWT Key、內部伺服器URL，或分析演算法邏輯（例如加解密流程、壓測驗證邏輯）。

動態分析與Hooking

使用動態追蹤工具，在 App 執行時注入程式碼（Hooking），動態修改記憶體內容與函數回傳值。

• Root： 強制令isRooted()函數回傳 false。

• SSL失效： 攔截並停用 TLS 證書驗證，以便監聽與抓包加密流量。

• 生物辨識失效 ： 直接修改驗證結果，不需指紋即可登入 App。

防禦策略

要對抗App逆向工程風險與 BYOD 所帶來的風險，必須採取「裝置管理（MAM）」與「App 自動化加固」雙管齊下的策略：

實施MAM與沙盒隔離

• 採用MAM (Mobile Application Management) 技術，在員工手機內建立獨立的企業加密沙盒。
• 資料防外洩（DLP）： 禁止在企業 App 與個人 App 之間進行「複製/貼上」、限制檔案分享與禁用螢幕截圖功能。

App程式碼混淆與防加固

• 程式碼混淆： 開啟 ProGuard / R8（Android）或 SwiftShield（iOS），將類別名稱、變數與方法名稱重新命名為無意義的亂碼，大幅增加逆向工程與閱讀的難度。
• 關鍵邏輯移至Native層： 將核心加解密或商業邏輯寫在 Native C/C++ (.so 檔)，提高反編譯門檻。

反逆向與環境感知

• Root / Jailbreak 雙重檢測： App 啟動時檢測系統環境，若發現已 Root、越獄或裝有 Frida/Substrate 等 Hooking 框架，直接拒絕執行或清除Session。
• 憑證綁定： 將 API 伺服器的公鑰或憑證 Hash 硬編碼於App內，發起HTTP連線時僅信任該憑證，有效阻斷中間人攻擊（MITM）。