摘要：手機銀行業(yè)務(wù)因為智能手機技術(shù)的不斷進(jìn)步而呈現(xiàn)出新的安全特點，然而由于智能手機軟硬件系統(tǒng)的獨有特性而導(dǎo)致其存在諸多安全風(fēng)險。本文將對基于智能系統(tǒng)的手機銀行業(yè)務(wù)安全性做分析，并嘗試提出綜合性的解決方案。

關(guān)鍵詞：智能手機 手機銀行 Android 安全

手機銀行業(yè)務(wù)是一種結(jié)合了貨幣電子化與移動通信的嶄新服務(wù)，是網(wǎng)絡(luò)銀行的派生產(chǎn)品之一。它的優(yōu)越性集中體現(xiàn)在便利性上，客戶利用手機銀行可以在任何時間、任何地點處理多種金融業(yè)務(wù)，極大地豐富了銀行服務(wù)的內(nèi)涵，使銀行能以便利、高效而又較為安全的方式為客戶提供傳統(tǒng)和創(chuàng)新的服務(wù)。而智能手機功能和性能的不斷提升，以及3G技術(shù)不斷完善，也將手機銀行業(yè)務(wù)帶入了一個新的發(fā)展階段。由于智能手機移動終端的軟硬件系統(tǒng)不斷變換，銀行需要不斷更新調(diào)試系統(tǒng)，在此過程中就有可能產(chǎn)生一些技術(shù)漏洞或盲點，讓犯罪分子有可乘之機。從互聯(lián)網(wǎng)公開報道的內(nèi)容看，已經(jīng)有諸多利用手機銀行風(fēng)險隱患進(jìn)行作案的案例。

一、手機銀行業(yè)務(wù)安全需要考慮的問題

手機銀行的基本網(wǎng)絡(luò)拓?fù)淙缦拢?/p>

結(jié)合手機銀行業(yè)務(wù)流程，其安全性需要從網(wǎng)絡(luò)、系統(tǒng)、通訊、應(yīng)用以及客戶端等幾個方面考慮：

1. 網(wǎng)絡(luò)安全。這里所說的網(wǎng)絡(luò)既包括手機終端到WAP網(wǎng)關(guān)的通道，也包括WAP網(wǎng)關(guān)到銀行的通道。在這個階段，數(shù)據(jù)暴露于互聯(lián)網(wǎng)，具有較高的安全風(fēng)險。

2. 系統(tǒng)安全。主要指運行手機銀行系統(tǒng)的操作系統(tǒng)和數(shù)據(jù)庫等軟件平臺的安全。操作系統(tǒng)未打的補丁、數(shù)據(jù)庫平臺的不安全配置、額外開放的端口都可能會引發(fā)風(fēng)險。

3. 通訊安全。在此階段，需要防止信息不被篡改、防范信息竊聽、確認(rèn)信息的真實來源等等。

4. 應(yīng)用(業(yè)務(wù)邏輯)安全。手機銀行的最終實現(xiàn)方式就是要為客戶提供各類應(yīng)用，而確保應(yīng)用安全，是手機銀行業(yè)務(wù)安全核心部分。這部分需要考慮的主要內(nèi)容有：

ü 訪問安全：智能手機系統(tǒng)模擬器的存在使得黑客可以利用非手機終端進(jìn)行操作與業(yè)務(wù)嘗試，帶來極大的危害。

ü 登陸安全：此階段可能遇到的威脅有鍵盤記錄、登陸密碼與交易密碼一致、存在默認(rèn)密碼、賬戶被惡意嘗試而導(dǎo)致凍結(jié)、驗證碼的強度及其傳輸安全等。

ü 會話安全：需要考慮非法人員是否能夠利用父窗口瀏覽器或者遠(yuǎn)程控制后打開新的已登陸權(quán)限頁面。

ü 敏感信息保護(hù)：敏感信息包括帳號、密碼、***等，偷看、內(nèi)存明文讀取、cookie讀取、線路竊聽是主要風(fēng)險來源。

ü 交易安全：交易安全包括三部分，一是需要確保交易是由客戶本人發(fā)起并確認(rèn)，二是防止交易內(nèi)容被篡改，三是防止交易重放。

ü 剩余信息保護(hù)：客戶交易完成后，手機內(nèi)存中存在卡號、密碼等關(guān)鍵信息如果保留，很可能被惡意分子竊取。

ü 賬戶限額：賬戶信息被盜用后，非法人員是否有可能將金額全部轉(zhuǎn)移?是否有額度限制?是否可以修改額度?企業(yè)用戶如何確保關(guān)鍵業(yè)務(wù)的操作安全?

ü 賬戶校驗：非法用戶通過偽造表單的方式提交不屬于自己的賬號進(jìn)行轉(zhuǎn)賬，或者用戶中木馬后在不知情的情況下被修改交易賬戶。

ü 安全審計：手機銀行是否可以提供從登陸到交易的包含與安全有關(guān)的完整日志記錄，為安全事故提供可追溯的依據(jù)，當(dāng)有可以日志發(fā)生時，管理人員是否可以查詢?是否可以及時的向客戶發(fā)出警示?

ü WEB應(yīng)用安全：手機客戶端應(yīng)防止提交非法數(shù)據(jù)進(jìn)行SQL注入或者腳本注入。

5. 客戶端安全�？蛻舳诵枰�考慮用戶所輸入的敏感信息的安全，規(guī)避各種終端平臺的安全漏洞如按鍵輸入記錄、自動拷屏機制、信息顯示緩存等，對于觸摸屏手機，還需防范觸摸劫持攻擊。

二、主流智能手機終端的安全風(fēng)險

目前手機市場上智能操作系統(tǒng)眾多，按照其市場占有率分類排序，Android、iOS是當(dāng)之無愧的主流。

對于iOS，眾所周知越獄可以使用戶獲得root權(quán)限，從而運行一些不被蘋果審核的程序。一般的程序(iTunes下載、同步的程序)只能運行在普通模式下，只能調(diào)用蘋果開放的少數(shù)系統(tǒng)接口，因而無權(quán)對系統(tǒng)進(jìn)行修改以及后臺運行。

越獄后的iOS就大不一樣了，由于擁有root權(quán)限，使得程序可以在后臺運行，這就帶來的諸多風(fēng)險：

1、程序被反編譯或者直接運行后門程序;

2、某些程序可能會手機用戶私密信息(如iPhone Tracker);

3、越獄程序本身的漏洞或者連接程序的弱密碼;

4、某些軟件可能嘗試在后臺提升權(quán)限;

5、工作在root權(quán)限下的藍(lán)牙/Wifi程序漏洞。

因此沒有越獄的iOS系統(tǒng)問題就小得多，如果存在問題，僅僅是iOS本身可能爆出的一些漏洞。

Android操作系統(tǒng)與iOS截然相反，它以開放型為主，無論是應(yīng)用程序數(shù)字簽名方式、權(quán)限控制、發(fā)布渠道、應(yīng)用程序?qū)徍说榷紴殚_放型設(shè)計，這也一定程度上帶來了更多的風(fēng)險。

根據(jù)網(wǎng)秦公布的2012年上半年全球手機安全報告中可以看出，Android平臺已經(jīng)完全是惡意軟件的感染對象，比例由去年底的38%躍升至78%。接下來我們通過兩個案例對Android系統(tǒng)的危害進(jìn)行介紹。

第一個案例是TouchLogger。美國加州大學(xué)的兩名研究人員已經(jīng)開發(fā)出了一種名為TouchLogger的Android應(yīng)用，可以利用用戶在按動手機屏幕鍵盤時產(chǎn)生的震動，記錄下使用者的輸入內(nèi)容。

加州大學(xué)的兩名安全研究者表示，TouchLogger可以“根據(jù)移動設(shè)備的初始方位推測按鍵手指落下的位置，從而利用對應(yīng)的軟鍵盤設(shè)置找到正確的輸入數(shù)字。”

第二個案例是Activity劫持。簡單來講，就是黑客利用惡意activity記錄下用戶輸入的手機銀行業(yè)務(wù)憑證，并跳回到正常應(yīng)用，從而在不知不覺中竊取手機銀行用戶的賬戶與密碼信息。因為整個過程在不知不覺中進(jìn)行，且主流的手機安全防護(hù)軟件(360手機衛(wèi)士、支付保鏢)均不能察覺和防護(hù)，導(dǎo)致activity劫持具有極高的迷惑性和危害性。

三、智能手機終端的安全防護(hù)

與WAP手機銀行相比，智能終端手機銀行是發(fā)展的主流。與iOS操作系統(tǒng)的封閉型相比，Android操作系統(tǒng)的開放性同樣使得手機銀行需要采取更多的安全防護(hù)措施。

1、明確Android手機應(yīng)用程序發(fā)布渠道，并對用戶加強安全教育，避免從不明渠道獲得假冒應(yīng)用程序。防止發(fā)布渠道缺乏審核所帶來的風(fēng)險。

2、應(yīng)用程序核心代碼需要防止純Java程序容易被第三方反編譯的風(fēng)險。嚴(yán)格限制應(yīng)用程序權(quán)限配置，防止針對應(yīng)用程序控制權(quán)限不完善造成的資源濫用的風(fēng)險。

3、對關(guān)鍵交易進(jìn)行增強的身份認(rèn)證機制，對于轉(zhuǎn)賬類交易需客戶再次確認(rèn)才真正劃賬;控制不同賬戶類型的不同賬戶權(quán)限。

4、屏蔽非手機終端訪問手機銀行業(yè)務(wù)，手機銀行僅向外部提供交易請求接口，所有交易必須通過該接口才能進(jìn)行。

5、采用強制修改初始密碼、進(jìn)行密碼復(fù)雜度的判定、隨機鍵盤布局、安全問題等手段，確保用戶密碼安全。

6、采用session控制機制，確保手機銀行業(yè)務(wù)的會話安全。

7、對用戶的敏感信息進(jìn)行屏蔽、部分屏蔽或者加密，對于關(guān)鍵信息做到即時加密。

綜述：智能手機正在成為手機銀行業(yè)務(wù)最大的安全隱患。其安全防護(hù)軟件性能差，無法抵擋來自病毒、蠕蟲、木馬、間諜軟件等惡意軟件的攻擊。要保證手機銀行的應(yīng)用安全，需建立智能手機客戶端威脅監(jiān)測中心，及時發(fā)現(xiàn)最新威脅，并據(jù)此調(diào)整和修改安全解決方案，使得用戶得到實時的保護(hù)，才能使手機銀行業(yè)務(wù)得到更為穩(wěn)定的發(fā)展空間。

參考文獻(xiàn)：

[1] 中國人民銀行：《JR/T 0068-2012 網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范》

[2] 網(wǎng)秦：2012年上半年全球手機安全報告

[3] 新華網(wǎng)：釣魚網(wǎng)站、欺詐短信等手機銀行安全隱患嚇退用戶

[4] 人民網(wǎng)：程序師發(fā)現(xiàn)iPhone 4秘密跟蹤用戶位置信息

---

轉(zhuǎn)載請注明來自：http://www.jinnzone.com/tongxinlw/19350.html