通付盾发布移动支付业务风险管理研究报告

ZDNET安全频道 05月08日 综合消息： 第十五届中国信息安全论坛今日在北京召开，江苏通付盾董事长汪德嘉带来《移动支付业务风险管理研究报告》。现场文字整理如下：

首先，我想请大家看一个视频，这是我们一个发明，一个时空码的视频，一分钟。（播放视频）

我们这个时空码的技术，因为现在银行的二维码支付，二维码支付确实有很多风险。我今天讲的话题是包括二维码，静态二维码的解决方案，也会战斗一些安全问题。

今天最主要的目标是给大家汇报一下我们过去两年来，我们在移动支付上面的一些研究成果。

我今天演讲的题目是移动支付业务风险管理研究报告。

这是一个报告，这是精简版的，大概一百来页吧。我们把国内国外所有的移动支付、移动金融所有的APP，不管是硬件的方案还是软件方案，我们都花时间评测了一遍。结果，在里面有些报告，这些其实是我们当时承接的一个项目，一个项目的结果，我们有一个汇报。

假如你想要HOTCOPY（谐音），你给我这个邮件，我可以给你这个技术。这是精简版的，专业版是比较厚的，那是要收费的。

开始有些商业的东西，下面讲一下移动业务风险管理方面的一些发现吧。

先讲一下移动支付的背景，移动支付非常火爆，大家可以看到从今年年初像微信余额宝等等爆发性的增长。这些增长的事情就不讲了，讲一下我们理解的支付，它的一个轨迹。

支付从过去来看，过去实体世界是现金支付。另外，随着社会的发展，很多事情电子化了，虚拟支付了，像银行卡支付，其实在我理解就是一个虚拟支付。数字时代，金融电子化通过卡这个介质，一个实体的东西，卡是一个证件的东西，把这个卡插到ATM机去，或者信用卡刷POS机，前端是身份认证，后端是系统验证的交易，其实是虚拟的。之后是账号之，就是一个编码，二维码支付也是码支付的一种形式，不过这个码支付更靠向于虚拟支付了。

码是一个虚拟的东西，是一个电子化的东西，它在实体上面，在移动业务上的呈现。从实体世界时代，实体支付到虚拟支付，然后从虚拟支付时代到网络时代，网络时代就是第三方支付等等的出现，在我看来都是虚拟支付。现在到了移动时代。

移动支付是有根据的，像移动互联网的发展，用户的需求。因为东西带着不方便，手机总是带着的，能在手机上面做一个扩展。比如移动支付的应用场景，就与银行卡应用场景是一样的，银行卡的应用场景是金额小，笔数多，场景多，移动支付也是一样的。

移动支付，有些线上线下，我记得叫颠覆规则，它还有很多优越性，便利性，7乘24小时的服务。

这是它的一个背景，移动支付的发展非常迅速，在我看来，其实是有两块，一个是卡支付，一个是码支付，这些才是真正的支付。

卡包括银行卡，包括SIM卡，包括NIC卡，码就像二维码支付、第三方支付都是所谓的码支付。

移动支付的安全问题在哪？两块。一块，涉及到安全与效益的平衡，要做到安全，把自己关起来，那才安全，完全封闭，但是效率很差，你可能带一串钥匙，这就比较麻烦了。第二个，要很有效率，比如现在的快钱支付，快钱支付很快，但是像钱包内的产品里面，像余额宝大家看到收益，就把钱放进去了，不光是几万块钱，可能十万，几十万。另外就是快捷，像手机钱包里面，钱包里面装了几百万，相当于现金。特别是知道你手上有钱，肯定想办法把钱偷走，所以风险非常大，所以风险可控非常重要。

另外一个主要问题，安全管理问题，像今天很多厂商提到的设备管理，怎么管理。移动时代不像过去时代，一个端网，你必须在很多地方开WIFI。支付的载体也不一样了，从过去的封闭环境到了开放环境。金卡工程其实是建立一个封闭的网络，是一个封闭的环境。把卡一插，外面是封闭的。移动支付不一样，针对攻击等等有一系列的问题。

另外，在手机后端一系列的挑战，你在开放环境里面，怎么保证它的安全，你仅仅加密是不够的。怎么样保护用户的信息隐私，这个也非常重要。其实应该有选择性的搜集一些信息，这是从封闭到开放环境里面的支付产品的变化，造成了我们移动支付这个业务风险管理带来一系列挑战。

移动支付服务依托与移动终端，其与个人电脑相比有以下特点。

第一个是移动终端的平台开放性变强，增大了系统攻击面。第二个，移动终端的计算能力相对较弱，限制了高强度非对称加密算法的使用。第三个，移动终端硬件扩展性不足，限制了对U盾和数字证书的广泛使用。

第四个，移动终端的软件功能有所简化，其浏览器不能像电脑浏览器一样支持控件，如密码控件。

第五个，移动终端的网络速度大大低于电脑的上网速度，特别是基于GPRS和CDMA等2G或者2.5G的通信、限制了应用的使用。

安全的现状，广大用户担心支付安全，信息泄露得等安全问题。这是根据一些公开的报告，网络支付不安全，第二个个人信息的泄露，第三个，账号被盗取。

刚才讲的是一些背景和一些挑战。这一列是比较技术的问题，主要安全问题的列表。其实不止这些问题，有些问题我没有列上去，这些都是公开做出来的，很多还没有公开的。这里面有九类，网络中间人攻击问题，软件组件劫持攻击问题，软件组件能力滥用的问题，调试敏感信息泄露问题，服务器注入攻击问题，客户端注入攻击问题，网络传输信息泄露问题，外部存储信息泄露问题，内部存储信息泄露问题，二维码的信息泄露问题。

对于这几个问题，我简要介绍一下，一个是网络中间人攻击问题。这有一个图。很多的应用，我们测算以后，这一招应用过不去就过不去了。

第二个是软件组件劫持的攻击问题。

还有软件组件能力滥用问题。移动支付程序暴露了软件敏感功能的组件，但未完全验证调用者身份，导致敏感操作能力被滥用。

还有敏感的信息泄露。移动支付很多程序在发布时未关闭调试输出，由此可获取登录密码、支付密码等敏感信息。前一段时间有一个公司，是一个旅游网站，好像把一些强制信息加进去了，信息卡的信息就泄露了，这些社会影响非常之大。

服务器注入的关键问题，这个与PC是一样的，移动支付程序通过WEB、API方式跟服务器交互，若服务器端未完整验证所接受的SQL查询等数据，就会有很多注入方面的关键问题。

外部存储信息，很多都是公开的信息。

二维码的，这里隐藏着病毒木马，不仅仅是这一种，还有截屏等等的，里面还有滥用等等的问题。

说一些一些典型的案例，这些是在网上公开找到的，有些尽量避免，提到的都是公开的。

这些技术我们跳过了，其实问题是非常严重的，移动金融，移动支付很火很好，有很多创新，但是我们一定得注意风险可控。用户信息的隐私泄露，另外一个是经济的损失。第三个，造成了社会稳定，特别是手机变成一个肉鸡，假如同一天，像IOS也是一样，在做某一件事的时候，造成那种攻击，其实相当于艾滋病一样，没法解决。

二维码扫码进入倒计时间。

SIM卡支付安全风险，我们做了一个对五家研究机构做了一个SIM支付安全的测评做的一个结果。这里面提到移动安全支付方案需要软硬结合，当硬则硬，当软则软。

我们有些建议，经过这些移动风险的测评、一些研究，我们总结了我们自己的一些心得，然后推出一些产品。

一个，安全评估。这个不用说了。

安全加固这一块也非常重要，安全加固与过去有些不一样，过去都是在服务器上面，我们现在做的更多的，更强调的是在客户端上面的加固，特别是在应用的逻辑上，也要保护它的逻辑，防止一些问题。其实有些程序，很多攻略拿下来，很快把它的源代码拿出来了。第一个，知识产权不能保护。第二个，你在一些相应的加密等等，或者一些二维码的生成器，它的一些机制看得一清二楚，这样就可以篡改了，各种攻击就会有了。所以反编译，反篡改的技术，第一个说的是反编译的，第二个是反篡改的动态牵引非常重要，这是我们倡导的一个安全加固的一种做法。

国内只有两三家，他们做的程序自己有研发能力，都做了用底层的，就那么两三家，其实做得不够好，大部分通过外包，很多问题。

刚才提到了安全加固这一块，这里面安全问题还有故障检测，不管是反编译，还是动态牵引不能做到百分之百的，还要做到这种风控，这种异常检测的一些事情。特别是安卓平台，通过它的一些技术，对系统层进行一些加固。这里面的规则和模型都有很多年的积累。

最后也是我在视频里面展现的时空码，它是动态的二维码，是安全可信的二维码。这是我们的一个专利发明，把二维码动起来。动不是简单地动，这里面也有很多动的，原来的二维码都是静态的，我们这个怎么分发这个算法，有了这个算法，增加了攻击的难度。

时空码不仅是动态的，变是不变的真理，变是很重要的事情，变防止二维码的变异。我们这个的产生是通过自己的设备指纹的，我们没有让公安部的网络监测来看，我们有这方面的专利，通过软件属性、硬件属性和用户的指纹属性，我们叫做设备指纹库，我们现在积累很多了，设备指纹库。

这种我们叫米件原理，米这个东西是好东西，是一个食物，米生的是硬的，熟的是软的。安全应该是当硬则硬，当软则软，这个就是米件原理。这个时空码里面嵌入了只有在设备上才能解析这个码。当然还有一些其他的东西，在加密算法的思想。

比特币作为一个货币，我们不讨论，但是它的一些算法，特别是一些运营账户这个东西特别有用。

这个就交流到这儿，有兴趣交流的话，因为大家都是同行，而且这一块信息安全，信息无处不在，信息安全无处不在，非常重要，大家是同行，我愿意跟大家一块合作，愿意跟大家一块探讨。我们总部在苏州，在北京、杭州、硅谷都有分公司。我们在苏州这边，上有天堂，下有苏杭，苏州这边比较漂亮，我们那边有一个论坛，这个论坛我们叫读书谷论坛，这个也是苏州站沙龙的一部分，我们第三期5月12号，我邀请大家去苏州一块交流，为移动支付或者移动公共安全一块出点成果、出点贡献。

好，谢谢大家！