扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条
来源:ZDNet安全频道 2014年5月8日
关键字: 第十五届中国信息安全大会 移动支付安全 通付盾
ZDNET安全频道 05月08日 综合消息: 第十五届中国信息安全论坛今日在北京召开,江苏通付盾董事长汪德嘉带来《移动支付业务风险管理研究报告》。现场文字整理如下:
首先,我想请大家看一个视频,这是我们一个发明,一个时空码的视频,一分钟。(播放视频)
我们这个时空码的技术,因为现在银行的二维码支付,二维码支付确实有很多风险。我今天讲的话题是包括二维码,静态二维码的解决方案,也会战斗一些安全问题。
今天最主要的目标是给大家汇报一下我们过去两年来,我们在移动支付上面的一些研究成果。
我今天演讲的题目是移动支付业务风险管理研究报告。
这是一个报告,这是精简版的,大概一百来页吧。我们把国内国外所有的移动支付、移动金融所有的APP,不管是硬件的方案还是软件方案,我们都花时间评测了一遍。结果,在里面有些报告,这些其实是我们当时承接的一个项目,一个项目的结果,我们有一个汇报。
假如你想要HOTCOPY(谐音),你给我这个邮件,我可以给你这个技术。这是精简版的,专业版是比较厚的,那是要收费的。
开始有些商业的东西,下面讲一下移动业务风险管理方面的一些发现吧。
先讲一下移动支付的背景,移动支付非常火爆,大家可以看到从今年年初像微信余额宝等等爆发性的增长。这些增长的事情就不讲了,讲一下我们理解的支付,它的一个轨迹。
支付从过去来看,过去实体世界是现金支付。另外,随着社会的发展,很多事情电子化了,虚拟支付了,像银行卡支付,其实在我理解就是一个虚拟支付。数字时代,金融电子化通过卡这个介质,一个实体的东西,卡是一个证件的东西,把这个卡插到ATM机去,或者信用卡刷POS机,前端是身份认证,后端是系统验证的交易,其实是虚拟的。之后是账号之,就是一个编码,二维码支付也是码支付的一种形式,不过这个码支付更靠向于虚拟支付了。
码是一个虚拟的东西,是一个电子化的东西,它在实体上面,在移动业务上的呈现。从实体世界时代,实体支付到虚拟支付,然后从虚拟支付时代到网络时代,网络时代就是第三方支付等等的出现,在我看来都是虚拟支付。现在到了移动时代。
移动支付是有根据的,像移动互联网的发展,用户的需求。因为东西带着不方便,手机总是带着的,能在手机上面做一个扩展。比如移动支付的应用场景,就与银行卡应用场景是一样的,银行卡的应用场景是金额小,笔数多,场景多,移动支付也是一样的。
移动支付,有些线上线下,我记得叫颠覆规则,它还有很多优越性,便利性,7乘24小时的服务。
这是它的一个背景,移动支付的发展非常迅速,在我看来,其实是有两块,一个是卡支付,一个是码支付,这些才是真正的支付。
卡包括银行卡,包括SIM卡,包括NIC卡,码就像二维码支付、第三方支付都是所谓的码支付。
移动支付的安全问题在哪?两块。一块,涉及到安全与效益的平衡,要做到安全,把自己关起来,那才安全,完全封闭,但是效率很差,你可能带一串钥匙,这就比较麻烦了。第二个,要很有效率,比如现在的快钱支付,快钱支付很快,但是像钱包内的产品里面,像余额宝大家看到收益,就把钱放进去了,不光是几万块钱,可能十万,几十万。另外就是快捷,像手机钱包里面,钱包里面装了几百万,相当于现金。特别是知道你手上有钱,肯定想办法把钱偷走,所以风险非常大,所以风险可控非常重要。
另外一个主要问题,安全管理问题,像今天很多厂商提到的设备管理,怎么管理。移动时代不像过去时代,一个端网,你必须在很多地方开WIFI。支付的载体也不一样了,从过去的封闭环境到了开放环境。金卡工程其实是建立一个封闭的网络,是一个封闭的环境。把卡一插,外面是封闭的。移动支付不一样,针对攻击等等有一系列的问题。
另外,在手机后端一系列的挑战,你在开放环境里面,怎么保证它的安全,你仅仅加密是不够的。怎么样保护用户的信息隐私,这个也非常重要。其实应该有选择性的搜集一些信息,这是从封闭到开放环境里面的支付产品的变化,造成了我们移动支付这个业务风险管理带来一系列挑战。
移动支付服务依托与移动终端,其与个人电脑相比有以下特点。
第一个是移动终端的平台开放性变强,增大了系统攻击面。第二个,移动终端的计算能力相对较弱,限制了高强度非对称加密算法的使用。第三个,移动终端硬件扩展性不足,限制了对U盾和数字证书的广泛使用。
第四个,移动终端的软件功能有所简化,其浏览器不能像电脑浏览器一样支持控件,如密码控件。
第五个,移动终端的网络速度大大低于电脑的上网速度,特别是基于GPRS和CDMA等2G或者2.5G的通信、限制了应用的使用。
安全的现状,广大用户担心支付安全,信息泄露得等安全问题。这是根据一些公开的报告,网络支付不安全,第二个个人信息的泄露,第三个,账号被盗取。
刚才讲的是一些背景和一些挑战。这一列是比较技术的问题,主要安全问题的列表。其实不止这些问题,有些问题我没有列上去,这些都是公开做出来的,很多还没有公开的。这里面有九类,网络中间人攻击问题,软件组件劫持攻击问题,软件组件能力滥用的问题,调试敏感信息泄露问题,服务器注入攻击问题,客户端注入攻击问题,网络传输信息泄露问题,外部存储信息泄露问题,内部存储信息泄露问题,二维码的信息泄露问题。
对于这几个问题,我简要介绍一下,一个是网络中间人攻击问题。这有一个图。很多的应用,我们测算以后,这一招应用过不去就过不去了。
第二个是软件组件劫持的攻击问题。
还有软件组件能力滥用问题。移动支付程序暴露了软件敏感功能的组件,但未完全验证调用者身份,导致敏感操作能力被滥用。
还有敏感的信息泄露。移动支付很多程序在发布时未关闭调试输出,由此可获取登录密码、支付密码等敏感信息。前一段时间有一个公司,是一个旅游网站,好像把一些强制信息加进去了,信息卡的信息就泄露了,这些社会影响非常之大。
服务器注入的关键问题,这个与PC是一样的,移动支付程序通过WEB、API方式跟服务器交互,若服务器端未完整验证所接受的SQL查询等数据,就会有很多注入方面的关键问题。
外部存储信息,很多都是公开的信息。
二维码的,这里隐藏着病毒木马,不仅仅是这一种,还有截屏等等的,里面还有滥用等等的问题。
说一些一些典型的案例,这些是在网上公开找到的,有些尽量避免,提到的都是公开的。
这些技术我们跳过了,其实问题是非常严重的,移动金融,移动支付很火很好,有很多创新,但是我们一定得注意风险可控。用户信息的隐私泄露,另外一个是经济的损失。第三个,造成了社会稳定,特别是手机变成一个肉鸡,假如同一天,像IOS也是一样,在做某一件事的时候,造成那种攻击,其实相当于艾滋病一样,没法解决。
二维码扫码进入倒计时间。
SIM卡支付安全风险,我们做了一个对五家研究机构做了一个SIM支付安全的测评做的一个结果。这里面提到移动安全支付方案需要软硬结合,当硬则硬,当软则软。
我们有些建议,经过这些移动风险的测评、一些研究,我们总结了我们自己的一些心得,然后推出一些产品。
一个,安全评估。这个不用说了。
安全加固这一块也非常重要,安全加固与过去有些不一样,过去都是在服务器上面,我们现在做的更多的,更强调的是在客户端上面的加固,特别是在应用的逻辑上,也要保护它的逻辑,防止一些问题。其实有些程序,很多攻略拿下来,很快把它的源代码拿出来了。第一个,知识产权不能保护。第二个,你在一些相应的加密等等,或者一些二维码的生成器,它的一些机制看得一清二楚,这样就可以篡改了,各种攻击就会有了。所以反编译,反篡改的技术,第一个说的是反编译的,第二个是反篡改的动态牵引非常重要,这是我们倡导的一个安全加固的一种做法。
国内只有两三家,他们做的程序自己有研发能力,都做了用底层的,就那么两三家,其实做得不够好,大部分通过外包,很多问题。
刚才提到了安全加固这一块,这里面安全问题还有故障检测,不管是反编译,还是动态牵引不能做到百分之百的,还要做到这种风控,这种异常检测的一些事情。特别是安卓平台,通过它的一些技术,对系统层进行一些加固。这里面的规则和模型都有很多年的积累。
最后也是我在视频里面展现的时空码,它是动态的二维码,是安全可信的二维码。这是我们的一个专利发明,把二维码动起来。动不是简单地动,这里面也有很多动的,原来的二维码都是静态的,我们这个怎么分发这个算法,有了这个算法,增加了攻击的难度。
时空码不仅是动态的,变是不变的真理,变是很重要的事情,变防止二维码的变异。我们这个的产生是通过自己的设备指纹的,我们没有让公安部的网络监测来看,我们有这方面的专利,通过软件属性、硬件属性和用户的指纹属性,我们叫做设备指纹库,我们现在积累很多了,设备指纹库。
这种我们叫米件原理,米这个东西是好东西,是一个食物,米生的是硬的,熟的是软的。安全应该是当硬则硬,当软则软,这个就是米件原理。这个时空码里面嵌入了只有在设备上才能解析这个码。当然还有一些其他的东西,在加密算法的思想。
比特币作为一个货币,我们不讨论,但是它的一些算法,特别是一些运营账户这个东西特别有用。
这个就交流到这儿,有兴趣交流的话,因为大家都是同行,而且这一块信息安全,信息无处不在,信息安全无处不在,非常重要,大家是同行,我愿意跟大家一块合作,愿意跟大家一块探讨。我们总部在苏州,在北京、杭州、硅谷都有分公司。我们在苏州这边,上有天堂,下有苏杭,苏州这边比较漂亮,我们那边有一个论坛,这个论坛我们叫读书谷论坛,这个也是苏州站沙龙的一部分,我们第三期5月12号,我邀请大家去苏州一块交流,为移动支付或者移动公共安全一块出点成果、出点贡献。
好,谢谢大家!
如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。
现场直击|2021世界人工智能大会
直击5G创新地带,就在2021MWC上海
5G已至 转型当时——服务提供商如何把握转型的绝佳时机
寻找自己的Flag
华为开发者大会2020(Cloud)- 科技行者