科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道通付盾发布移动支付业务风险管理研究报告

通付盾发布移动支付业务风险管理研究报告

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

第十五届中国信息安全论坛今日在北京召开,江苏通付盾董事长汪德嘉带来《移动支付业务风险管理研究报告》。汪德嘉说,我们把国内国外所有的移动支付、移动金融所有的APP,不管是硬件的方案还是软件方案,都评测了一遍。

来源:ZDNet安全频道 2014年5月8日

关键字: 第十五届中国信息安全大会 移动支付安全 通付盾

  • 评论
  • 分享微博
  • 分享邮件

ZDNET安全频道 05月08日 综合消息: 第十五届中国信息安全论坛今日在北京召开,江苏通付盾董事长汪德嘉带来《移动支付业务风险管理研究报告》。现场文字整理如下:

通付盾发布移动支付业务风险管理研究报告

首先,我想请大家看一个视频,这是我们一个发明,一个时空码的视频,一分钟。(播放视频)

我们这个时空码的技术,因为现在银行的二维码支付,二维码支付确实有很多风险。我今天讲的话题是包括二维码,静态二维码的解决方案,也会战斗一些安全问题。

今天最主要的目标是给大家汇报一下我们过去两年来,我们在移动支付上面的一些研究成果。

我今天演讲的题目是移动支付业务风险管理研究报告。

这是一个报告,这是精简版的,大概一百来页吧。我们把国内国外所有的移动支付、移动金融所有的APP,不管是硬件的方案还是软件方案,我们都花时间评测了一遍。结果,在里面有些报告,这些其实是我们当时承接的一个项目,一个项目的结果,我们有一个汇报。

假如你想要HOTCOPY(谐音),你给我这个邮件,我可以给你这个技术。这是精简版的,专业版是比较厚的,那是要收费的。

开始有些商业的东西,下面讲一下移动业务风险管理方面的一些发现吧。

先讲一下移动支付的背景,移动支付非常火爆,大家可以看到从今年年初像微信余额宝等等爆发性的增长。这些增长的事情就不讲了,讲一下我们理解的支付,它的一个轨迹。

支付从过去来看,过去实体世界是现金支付。另外,随着社会的发展,很多事情电子化了,虚拟支付了,像银行卡支付,其实在我理解就是一个虚拟支付。数字时代,金融电子化通过卡这个介质,一个实体的东西,卡是一个证件的东西,把这个卡插到ATM机去,或者信用卡刷POS机,前端是身份认证,后端是系统验证的交易,其实是虚拟的。之后是账号之,就是一个编码,二维码支付也是码支付的一种形式,不过这个码支付更靠向于虚拟支付了。

码是一个虚拟的东西,是一个电子化的东西,它在实体上面,在移动业务上的呈现。从实体世界时代,实体支付到虚拟支付,然后从虚拟支付时代到网络时代,网络时代就是第三方支付等等的出现,在我看来都是虚拟支付。现在到了移动时代。

移动支付是有根据的,像移动互联网的发展,用户的需求。因为东西带着不方便,手机总是带着的,能在手机上面做一个扩展。比如移动支付的应用场景,就与银行卡应用场景是一样的,银行卡的应用场景是金额小,笔数多,场景多,移动支付也是一样的。

移动支付,有些线上线下,我记得叫颠覆规则,它还有很多优越性,便利性,7乘24小时的服务。

这是它的一个背景,移动支付的发展非常迅速,在我看来,其实是有两块,一个是卡支付,一个是码支付,这些才是真正的支付。

卡包括银行卡,包括SIM卡,包括NIC卡,码就像二维码支付、第三方支付都是所谓的码支付。

移动支付的安全问题在哪?两块。一块,涉及到安全与效益的平衡,要做到安全,把自己关起来,那才安全,完全封闭,但是效率很差,你可能带一串钥匙,这就比较麻烦了。第二个,要很有效率,比如现在的快钱支付,快钱支付很快,但是像钱包内的产品里面,像余额宝大家看到收益,就把钱放进去了,不光是几万块钱,可能十万,几十万。另外就是快捷,像手机钱包里面,钱包里面装了几百万,相当于现金。特别是知道你手上有钱,肯定想办法把钱偷走,所以风险非常大,所以风险可控非常重要。

另外一个主要问题,安全管理问题,像今天很多厂商提到的设备管理,怎么管理。移动时代不像过去时代,一个端网,你必须在很多地方开WIFI。支付的载体也不一样了,从过去的封闭环境到了开放环境。金卡工程其实是建立一个封闭的网络,是一个封闭的环境。把卡一插,外面是封闭的。移动支付不一样,针对攻击等等有一系列的问题。

另外,在手机后端一系列的挑战,你在开放环境里面,怎么保证它的安全,你仅仅加密是不够的。怎么样保护用户的信息隐私,这个也非常重要。其实应该有选择性的搜集一些信息,这是从封闭到开放环境里面的支付产品的变化,造成了我们移动支付这个业务风险管理带来一系列挑战。

移动支付服务依托与移动终端,其与个人电脑相比有以下特点。

第一个是移动终端的平台开放性变强,增大了系统攻击面。第二个,移动终端的计算能力相对较弱,限制了高强度非对称加密算法的使用。第三个,移动终端硬件扩展性不足,限制了对U盾和数字证书的广泛使用。

第四个,移动终端的软件功能有所简化,其浏览器不能像电脑浏览器一样支持控件,如密码控件。

第五个,移动终端的网络速度大大低于电脑的上网速度,特别是基于GPRS和CDMA等2G或者2.5G的通信、限制了应用的使用。

安全的现状,广大用户担心支付安全,信息泄露得等安全问题。这是根据一些公开的报告,网络支付不安全,第二个个人信息的泄露,第三个,账号被盗取。

刚才讲的是一些背景和一些挑战。这一列是比较技术的问题,主要安全问题的列表。其实不止这些问题,有些问题我没有列上去,这些都是公开做出来的,很多还没有公开的。这里面有九类,网络中间人攻击问题,软件组件劫持攻击问题,软件组件能力滥用的问题,调试敏感信息泄露问题,服务器注入攻击问题,客户端注入攻击问题,网络传输信息泄露问题,外部存储信息泄露问题,内部存储信息泄露问题,二维码的信息泄露问题。

对于这几个问题,我简要介绍一下,一个是网络中间人攻击问题。这有一个图。很多的应用,我们测算以后,这一招应用过不去就过不去了。

第二个是软件组件劫持的攻击问题。

还有软件组件能力滥用问题。移动支付程序暴露了软件敏感功能的组件,但未完全验证调用者身份,导致敏感操作能力被滥用。

还有敏感的信息泄露。移动支付很多程序在发布时未关闭调试输出,由此可获取登录密码、支付密码等敏感信息。前一段时间有一个公司,是一个旅游网站,好像把一些强制信息加进去了,信息卡的信息就泄露了,这些社会影响非常之大。

服务器注入的关键问题,这个与PC是一样的,移动支付程序通过WEB、API方式跟服务器交互,若服务器端未完整验证所接受的SQL查询等数据,就会有很多注入方面的关键问题。

外部存储信息,很多都是公开的信息。

二维码的,这里隐藏着病毒木马,不仅仅是这一种,还有截屏等等的,里面还有滥用等等的问题。

说一些一些典型的案例,这些是在网上公开找到的,有些尽量避免,提到的都是公开的。

这些技术我们跳过了,其实问题是非常严重的,移动金融,移动支付很火很好,有很多创新,但是我们一定得注意风险可控。用户信息的隐私泄露,另外一个是经济的损失。第三个,造成了社会稳定,特别是手机变成一个肉鸡,假如同一天,像IOS也是一样,在做某一件事的时候,造成那种攻击,其实相当于艾滋病一样,没法解决。

二维码扫码进入倒计时间。

SIM卡支付安全风险,我们做了一个对五家研究机构做了一个SIM支付安全的测评做的一个结果。这里面提到移动安全支付方案需要软硬结合,当硬则硬,当软则软。

我们有些建议,经过这些移动风险的测评、一些研究,我们总结了我们自己的一些心得,然后推出一些产品。

一个,安全评估。这个不用说了。

安全加固这一块也非常重要,安全加固与过去有些不一样,过去都是在服务器上面,我们现在做的更多的,更强调的是在客户端上面的加固,特别是在应用的逻辑上,也要保护它的逻辑,防止一些问题。其实有些程序,很多攻略拿下来,很快把它的源代码拿出来了。第一个,知识产权不能保护。第二个,你在一些相应的加密等等,或者一些二维码的生成器,它的一些机制看得一清二楚,这样就可以篡改了,各种攻击就会有了。所以反编译,反篡改的技术,第一个说的是反编译的,第二个是反篡改的动态牵引非常重要,这是我们倡导的一个安全加固的一种做法。

国内只有两三家,他们做的程序自己有研发能力,都做了用底层的,就那么两三家,其实做得不够好,大部分通过外包,很多问题。

刚才提到了安全加固这一块,这里面安全问题还有故障检测,不管是反编译,还是动态牵引不能做到百分之百的,还要做到这种风控,这种异常检测的一些事情。特别是安卓平台,通过它的一些技术,对系统层进行一些加固。这里面的规则和模型都有很多年的积累。

最后也是我在视频里面展现的时空码,它是动态的二维码,是安全可信的二维码。这是我们的一个专利发明,把二维码动起来。动不是简单地动,这里面也有很多动的,原来的二维码都是静态的,我们这个怎么分发这个算法,有了这个算法,增加了攻击的难度。

时空码不仅是动态的,变是不变的真理,变是很重要的事情,变防止二维码的变异。我们这个的产生是通过自己的设备指纹的,我们没有让公安部的网络监测来看,我们有这方面的专利,通过软件属性、硬件属性和用户的指纹属性,我们叫做设备指纹库,我们现在积累很多了,设备指纹库。

这种我们叫米件原理,米这个东西是好东西,是一个食物,米生的是硬的,熟的是软的。安全应该是当硬则硬,当软则软,这个就是米件原理。这个时空码里面嵌入了只有在设备上才能解析这个码。当然还有一些其他的东西,在加密算法的思想。

比特币作为一个货币,我们不讨论,但是它的一些算法,特别是一些运营账户这个东西特别有用。

这个就交流到这儿,有兴趣交流的话,因为大家都是同行,而且这一块信息安全,信息无处不在,信息安全无处不在,非常重要,大家是同行,我愿意跟大家一块合作,愿意跟大家一块探讨。我们总部在苏州,在北京、杭州、硅谷都有分公司。我们在苏州这边,上有天堂,下有苏杭,苏州这边比较漂亮,我们那边有一个论坛,这个论坛我们叫读书谷论坛,这个也是苏州站沙龙的一部分,我们第三期5月12号,我邀请大家去苏州一块交流,为移动支付或者移动公共安全一块出点成果、出点贡献。

好,谢谢大家!
 

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章