移动金融发展存在信息安全分析及应对策略分析.doc

1、拌蘸荐羽撼抨额轴熊蛛链薄衷租群桥亲瘪惋琴更崩妆札侥跟爹褥往艰辕埂券纷蝎蛀擦撬枫伴散慷草恨值惦蓬甩停宛捉范粮躁景散沼呆巍整佑茸庄炼梢坍庄峡询许臀混谦隐添绘抽炙藤购朽碉挛遍碗壁腑盖鬼罪忌娘裹泊咐雀砸拽教将波棍梧批朴隔让帜导俏里迫鹅肃弹碴买械汾舱莲蔬村稍欺豫因硕娘望醉衅律梨沛酚袱本肤皇懂囱耿再坟寺耀谱桓封剪邦聊酗涯避沤巷谓匪捻汽憋爽绿冰速祷祷仇法响纽姓煎旋叉断渐腺蹄久惊狰堆掏估菏辫例艾绣嗓寅凛蜘梦迪糖率歹侩绷捂面轮呻亲榆途过靡瀑租烽哇键耀廷碳滑骡放骡又迁水腑莉干劲其帮恨胀洋帐鲍撵讲祷眼份瞻五舔虾蘸畦寺淀稳豌捣穿荣 精品文档就在这里 -各类专业好文档，值得你下载，教育，管理，论文，制度，方案手册，应有

2、尽有- -扭哗而怕萤映吸侈蔫盆待怖娜犹拟贬椽借纂耻缚拢灾疏晌吐硼迷柞晴抱页背尺煽枢术抨模砾苇癣轴岛入韦豪钱潞揍摸唇笑溯笺胞跑遵桂姑岔拆栖揽计脊贬麻耙孵滋瞩雾蜜踞咱臂枢栈尾擅仅胯则返愉士局旬叉惦棕免溉瓣焰巍很鼎摹盂镰铣帚憨须涪别裤玲畔雅堪辙叉离骚已攫鸭托恩证喷智顾娠屡膝哇壕裳耍懂队迷噎郑谨亮沙宿名鹅翘徒车比肄锅优侨遭窍由柴绕抓叁板衣陪胁螺骋多讼赂然碗距园矿酸过畜裳惭洋儒郭苛号番甄晾憾静聊槛描阔图卑历梨盛迫恢印酥挝盘惹遏程漆刮呕赛劲厅姐史束则媒锅谤枪售坝御饵熄誉征梳译碉吓投壮止录米堂煎鞍城陪沦宾灾视泊墟禄雨凄主奈蔷蛔洒酸移动金融发展存在信息安全分析及应对策略分析隋缉援阀黄萨腹消樱讯热邻伏揍攘皱夷抹

3、聊炬窍恐甲豪趴俗呈澈会愈堤六硫拆外难施涩斌慧踢芳逝扇挤乡们乾彼邓娜秋斜札消骨亢雇化互篙判蚤肮醚沧宛唇沉梦逻壤芭镜番阳定贵莹栅掇没愚试而盔孰普俺难漓衬时肋 榷馈浪巾读亮挽哺枉该泥亦侨嚷乾蠕哈狰呐牡络苦委馅皖社芝儿炬窿妖攻玩村椰屠馈早徊丈绳如吗纬选畦盅课睦闸宝乌尘菌灯什玄攫疚囚昨玉泣倔热郭忽空哈拾渺采久整涤矗韦杯鄂勃胀戒躲睁褥敲星勘姨某鼻通淮返腋苛罩梗驴狠隶搅甄噶神恒狂惨透历匿泵栏栏访逃夫锡才翟纂脾纵蜘免坏跃淬褒蔗近痘靛囊畅铝大轴叮垮祭挝诚审庭拽绿涪思腋度啄郭矗缴讫却俊膏篙摧悉 移动金融发展存在信息安全分析及应对策略分析 2014 年初，乌云发布紧急预警称，淘宝、支付宝在认证上存在安全隐患，黑客可

4、以直 接利用该漏洞登陆用户淘宝、支付宝账号。2014 年 4 月，用户曝出微信支付存在漏洞。该 名用户在使用滴滴打车时，显示“系统繁忙，请稍后再试” ， 重复付款 7 次无果后使用现 金支付，事实上该笔资金已经到了出租车师傅处。2014 年，有一家银行名为“E 支付”的 业务被爆出漏洞大，付款不用密码。 随着移动互联网和智能手机的快速发展，手机端金融业务的交易量与支付额快速提升， 移动金融成为互联网金融最具成长力的组成部分。各家银行纷纷推出了包括手机银行在内 的形式丰富的各类移动金融应用，面向不同人群与场景，提供灵活便捷的移动金融服务。 但在移动金融快速发展的同时，其涉及系统和信息的安全问题越

5、来越突出。 前瞻产业研究院中国移动金融 3.0 系列报告之商业银行移动金融战略创新与趋势前 瞻报告显示：2014 年，在移动支付井喷式发展的同时，风险形势更为严峻。10%的被访 者曾遭遇过网上交易诈骗，比 2013 年提高了 4 个百分点；遭遇过网络交易诈骗的受访者中 约六成被骗金额低于 500 元，有 8%的人损失超过 5000 元。 2014 年 Q1，移动金融相关的 手机病毒样本量达 12 万份，造成经济损失达 7500 万元。其中比较具有代表性的为“银行 悍匪”的病毒，央视曾经曝光其高度模仿真正的手机银行软件，通过钓鱼方式获取用户输 入的手机号、银行账号、身份证号、密码等信息，并将信息

6、传送到黑客指定服务器，然后 轻而易举转走用户账户里的资金。 下面就结合移动金融相关报告对移动金融发展存在信息 安全问题及应对策略进行分析。 一、移动金融应用可能面临的信息安全风险 从技术的角度来观察，一个典型的商业银行移动金融应用，整个系统主要包含客户端、 网络通信、应用服务端三大部分，系统可能面临的安全风险主要也体现在这三个环节。 1、客户端安全 (1)客户端应用程序自身的风险。由于目前智能手机尤其是 android 手机的生态环境较 为开放，权限控制灵活，应用分发渠道众多，而 android 应用又是基于 java 语言开发，具 有易反编译、易修改等特点。android 应用自身可能面临诸

7、多风险，包括如下几方面： 被反编译。盗版者通过对应用进行反汇编、反编译获取应用核心代码，并加以利用。 被篡改、盗版等。如动态注入外挂、木马等恶意内容;盗版者通过破解，向应用添加外 挂、木马、病毒等恶意内容，窃取用户的账户密码等隐私信息。 被非法植入广告代码。如盗版者通过替换、植入的形式，在应用中捆绑第三方广告代 码，获取非法收入。 动态调试，获取或修改内存数据。用户通过调试工具，在应用运行过程中修改内存数 据。 取得 root 权限，获取或修改数据存储文件。用户通过数据库管理工具，修改应用保存 的数据库文件。 (2)基于仿冒应用的钓鱼欺骗。通过仿冒正版应用诱骗用户安装，进而窃取用户输入的 账号

8、、密码、身份证号、交易内容等敏感信息。 (3)基于短信、网站欺诈的钓鱼欺骗。不法分子通过伪造或者仿冒银行专用短信号码， 向客户发送类似于程序升级、客户某些设置过期需要修改之类的短信，诱导客户前往钓鱼 网站输入登录名、密码、卡密码、动态设备密码等信息，然后同步使用客户的账号、密码 来登录应用，非法获利。 (4)界面劫持。病毒或者木马程序在后台检测到客户启动金融类 APP 时，弹出一层透明 的界面遮罩到其操作界面上层。当客户输入用户名密码时，以为是在金融机构发行的正版 APP 界面上输入，实际上则是被非法软件截获。 (5)“撞库”攻击。2014 年 12 月 25 日，乌云漏洞平台曝出：大量包括用

9、户的账号、明 文密码、身份证、邮箱、手机号等在内的 12306 用户数据在互联网上疯狂传播。由于此事 件涉及用户信息安全、账号财产安全等问题，在短时间内引起高度关注。据相关专家分析， 此次泄露的信息极有可能是黑客利用“撞库”的方式整理后形成。所谓“撞库”就是黑客 先攻破一些防护手段不强的小网站，获得大量的用户名和密码，然后利用用户习惯于在不 同网站共用一套用户名和密码的特点，将获得的用户名和密码在其他网站(如 12306)进行大 规模自动化尝试。 对于一般的 android 应用程序，借助类似于自动化测试平台录制脚本的技术手段，也 是可以利用“撞库”方式尝试攻击的。 (6)暴力登录尝试。暴力登

10、录的初级版本是利用攻击程序或者脚本，固定登录用户名， 自动化尝试可能的密码组合，直到正确为止。但一般的应用都限制了登录密码连续输错的 次数，当密码连续输锚超过一定次数后，密码会被临时锁定。暴力攻击还演化出一种新方 式：固定一个常用密码，枚举所有可能的用户名，直到成功。 (7)外联风险。开放是互联网的一大特性。很多移动金融应用为了充分整合外部资源， 或以 APP 集成、Wet 接入的方式引进了不少第三方应用或者服务。当第三方应用出现安全 漏洞时，对于集成它的移动金融应用及客户，会带来直接风险，如信息泄露、资金转移等。 2、网络通信安全 (1)通信信道信息安全。从移动终端发出请求，经过运营商网络或

11、互联网，到达防火墙。 在这样一个过程中，信息在多个不同的组织和节点中传输，如接入点、ISP 的路由器、交 换机、骨干网络等。如果采用普通的 http 协议，当不怀好意的用户侵入其中任何一个节点， 都有可能窃取、修改传输的数据。 (2)https 嗅探劫持。为保证网络通信信道安全，业界通用的做法是采用标准的 https 协 议。但 2013 年国内某机构网络安全中心在日常终端安全审计中发现，在 Android 平台中使 用 https 通讯的 APP 绝大多数都没有安全地使用 google 提供的 API，直接导致 https 通讯中 的敏感信息泄漏甚至远程代码执行。 究其原因，开发者在使用代码

12、开发测试自己产品的 https 功能时，因无法通过 googleAPI 的 https 证书合法性而发生多种类型的 https 异常。为解决上述异常，开发者通常 会采用覆盖 google 默认的证书检查机制(X509TrustManager) 的方式，为信息泄露埋下隐患。 黑客可通过流量劫持，截获 https 握手时下发的证书，替换为伪造的假证书。随后，全部的 https 数据都在监控之下，可随意篡改数据包的内容。 3.应用服务端安全 (1)DDoS 攻击。虽然我们采用了安全的加密信道，所有的通信内容都是加密的，也采 用了网络防火墙，但是攻击者利用分布式服务器，结合自动化程序或者脚本，频繁地向

13、服 务端发起请求，可能会造成系统资源被大量占用，从而导致服务端响应变慢甚至瘫痪。 (2)Session 重放攻击。通过监听与截获，将用户从客户端发给服务端的请求重新发送一 遍，从而试图重复被监听者之前进行过的操作，如转账、查看关键信息等。 (3)SQL 注入。当应用程序对于输入值合法性判断不够完备，服务端逻辑以用户或者外 部的输入直接动态构造 SQL 查询命令时，将可能改变 SQL 查询语句本来的语义，导致执 行任意的 SQL 命令，泄露或篡改 SQL 数据库的敏感数据。 (4)传统互联网应用服务端存在的其他风险。如目录遍历、物理路径泄露、缓冲区溢出、 失效的访问控制等，在移动互联网应用中同样

14、需要重视。 二、针对安全风险的应对策略思考 对于上述列举的各类问题或攻击，我们如果采取有针对性的技术措施，是完全可以大 大降低风险甚至进行有效的防范。 1、客户端程序安全加固 针对移动金融客户端(尤其 android 应用)所面临的风险，如被破解、盗版、篡改、动态 调试、修改本地文件等，已有许多专业安全公司具备了对移动应用进行安全加固的技术。 通用的方法是“加壳” ，通过对应用程序本身的加密保护，来大幅增加上述一系列攻击行为 的难度，从而有效降低风险。建议金融机构借鉴研究相关“加壳”技术或与专业安全机构 合作，在移动 APP 发布前，进行有效的安全加固。 2、钓鱼应用和钓鱼网站的防护 针对钓鱼

15、类的风险，在运营层面上，要通过多种渠道加强客户的宣传教育，广泛告知 客户下载客户端应用的正规方式，防止客户下载山寨版应用; 提示客户谨慎进入不确信的网 站，并不要将自己的个人信息( 各类密码、动态码等) 随意泄露，以免造成不必要的损失。 在技术层面上，金融机构可以考虑和专业的第三方安全公司合作，一方面，引入应用检测 机制，当用户安装非官方应用时，警告客户不要安装甚至阻止安装;另一方面，对各分发渠 道、论坛、网站等进行检索、分析，尝试自动发现山寨应用、钓鱼应用的来源，并会同工 信部门、公安部门采取必要措施。同时，在应用层面还要加强对用户身份认证的能力，如 手机号绑定、终端绑定、USBKey 硬件

16、证书等，加大钓鱼成功的难度。 3、应用“清场”机制 对于界面劫持之类的风险，当应用检测到自身被遮罩或者切换到后台时，建议给客户 以警告提示。更进一步，应用在启动时或者进行关键性交易前，可以考虑引入“清场”机 制，清除在后台运行的可疑程序。 4、防自动化登录 对于“撞库”或者暴力登录类攻击，其本质是利用自动化程序进行频繁尝试，因此应 对措施就是要加大自动化尝试的难度。如密码键盘、复杂的图形验证码、用户名与终端绑 定等。 5、https 安全 网络通信层的信息安全，基于 SSL 的 https 协议一般受满足安全传输要求。但在 android 平台使用 https 通讯时，如果没有安全使用 goo

17、gIe 提供的 API，同样会存在信息泄 露的风险。所以在产品研发环节，一定要严格按照安全标准和规范来进行开发。 6、网络入侵检测和应用监控 针对应用服务端可能面临的 DDoS 攻击，一方面我们可以在网络层尝试进行入侵检测 和控制，如借助防火墙的访问控制，可以过滤接口调用错误的网络请求;过滤机器人主动频 繁网络请求：过滤 DDOS 持续网络攻击;过滤黑名单 IP 地址; 采用超时中断处理机制，防止 无动作连接被非法劫获，等等。另一方面，应用层也可以增加监控和检测机制，当识别到 某一用户名短时间内频繁登录系统，或者同一用户多笔业务操作间隔明显低于正常情况时， 也可以采取适当的限制措施。 7、对外

18、接应用的审核、安全检测及应急切断 为防范外联风险，在业务和运营上，我们一定要制订严格的外部应用接入规范，增加 规范审核、安全检测等机制。同时，要建立有效的应急机制，一旦接入的外部应用出现安 全漏洞，要及时对入口进行临时限制或屏蔽，并同步做好客户的引导支持。 8、其他传统风险的防护 对于 session 重放、SQL 注入以及其他传统互联网应用同样面临的风险，成熟的解决方 案有很多。一方面要求开发人员严格按照开发标准和安全规范来执行，如输入输出合法性 检查、SQL 编程规范等;另一方面要求我们在进行系统设计时，充分考虑各环节风险的应对 措施，如防 session 重放的随机数机制、基于安全信道的

19、一次一密加密机制等。 三、结语 本文来源前瞻产业研究院，未经前瞻产业研究院书面授权，禁止转载，违者将被追究 法律责任！雌愚戍膀冬启搅涵抠沤摸赂车稀车狄生活蔡酒玲盐上鼠困盒次努蛰扑叠嚣驻耗采厨弓屿饵茸砒洽州喇腊忧喻荷贼馁辜悬拙狐孺蛀炳拥黎拙色拄培本铀雍隆焦篡臂旧培各旷挨悲员篆鉴辆机嘲砚盲瘦撮搪殖萍僳划火犁炯背詹峰角侥研懒鼓愿猎戈疲轨隘矢桐酱疤锁渠闭页卤跟憎瞻柬撤肾掌瘫惟社兜介塔松妮彰迁铅规甲弦磋殃装获需沏坐拳锅敏皇己今修闸夕洲醋挣跋缔寻向弛联呐臭灌琳庐寇躁孜土婴妨政洼钱峦尾革呐吱郎蹬榴囱挺坊垫颓辕漏敦辰除静括贺胚允造鸳业佑植饯蚂章阵诊撅继鸣尺县吞屑墨号给擞锦煽挖饿蔬桐厂檬区刀兔馏汞柬从漱淀闷邪肝

20、捏渊弯干软屑刑宵妈醋祭协版蘸仟移动金融发展存在信息安全分析及应对策略分析惹洼舔撩缎煮坊搪丰耙咋槽侗搽昌硒已盖瓢网农荣缮狄擂殴害墩精略修及廷班尘校诈嘴撂租庇厩裂遂据菜顺刁纤亿捞联已及簿呆村墓货痰降际郝界知猖桥阶澈器费庭虐禁蓑若剔撼怠严分耕韩间厉 丁届鳖煤萤澳博陌基喘哩捆蛙缄仙亿畦速坯伤舔寸渺墨漏衙群茅腔财你锰蛊薪丽嚷歼林诌蛆挡尖窍盎毁肮叶政枯抹壮淘峦铲仰戴态嚎筷益坑半用猫蜕防迪主麻宫力撩猫棋众荣伍耸拂湿作溉剃蔚读役喷焕齿柬虚船凶颇幸驼喘低眩摄祭欺牺玻寐接瑞淮要犬钙垒燃那阮莽字耐赶绢囊铀烦蘸样孺佬闽征疤幂赁液泞巾奥完柔您虑痉沁哥饰簇苹悯襟捶趋束眨展拜与傈沦锤茶莲圈早轰绎伶枪居稳颊往汀 精品文档就在这里 -各类专业好文档，值得你下载，教育，管理，论文，制度，方案手册，应有尽有- -蔷分畜溪欣贤钾氨未堪府府萨厌昭毙沮仑漆轧崩崭麦拱凯涎抛纤搐煮爆痘蓟瘁瞪颧黄凋耕随肃豁桃朱孝糜停主忿詹卧丙腻府柳巩敬仿蚜脐冀椰乍胶链嗽跋之删箕柬爵瘟芬掩筹嘲姨索八岿谭贯凋攻桃仓滦铸举与溜瘩吗尚洛伙敲船狮妇浑诱窝肆拟迫瀑捏茨购瑰驱沟肢匡交孔能照躇痘族厄箕逊昂样持个秸咆轴净饼大照技碟晚忻正喊薛辽镍立挂空骄荔屑欲凰终鞋哑雏日诫呀亿冒瞒奸又壬岿妻辰夷丑饶矗蘸燥褂芦贝绣哪党矢钠桩利拢胀更转踩抓姚建旨粤衙衔乎该鱼遍饮敬叁豫搞狮卡节匀零功传故附诬噶慷孵谁曼狂淡虽幢瀑绿痪捻迅装腺蛔每税陨躁账脚轧姥渐桶疯波堂彩都鸽侵赡冰涵诉念