《移动金融行业安全现状分析及解决方案》由会员分享，可在线阅读，更多相关《移动金融行业安全现状分析及解决方案（8页珍藏版）》请在金锄头文库上搜索。
1、 移动金融行业安全现状分析移动金融行业安全现状分析2015 年 1 月 13 日，央行印发关于推动移动金融技术创新健康发展的指导意见 ，强 调移动金融是丰富金融服务渠道、创新金融产品和服务模式、发展普惠金融的有效途径和 方法;第十二届全国人大三次会议上，李克强指出近几年“互联网+”对中国经济的推动产 生了深远影响。 在种种有利背景之下，移动金融已经成为一片红海，移动金融开始出现井喷式发展， 移动支付、手机银行、移动理财工具、手机购物客户端等各类移动金融工具纷纷涌现。然 而移动金融工具在带来便利的同时，也暗藏风险。账户密码被窃取，手机绑定银行卡被盗 刷，资金被转移，手机被植入木马病毒等安全问题层
2、出不穷。 统计显示：曾经有安全机构对国内 100 家金融机构移动应用的安全性进行了统计，发 现将近三分之一的移动金融应用拥有超过 9 个以上的安全漏洞。国内某大型应用开发商开 发的手机银行更是被发现超过 400 个安全漏洞，其中 137 个为高危漏洞。越权访问、客户 端敏感信息泄露、越权修改数据、应用功能设计缺陷、中间人攻击缺陷、登录设计缺陷、 服务器端不安全配置等是移动金融存在的主要安全问题，其中高等风险漏洞就超过了一半 以上。在移动金融发展的大背景下，金融数据丢失、网络攻击、移动客户端安全指数低、 资金被盗等各种现象让金融企业防不胜防。在这种情况下，爱 加 密推出了移动金融支付 安全解决方
3、案，解决了移动金融行业的燃眉之急。解决方案：解决方案：（一）手机银行类（一）手机银行类 AppApp 解决方案解决方案A.A. 漏洞分析漏洞分析1）数据存储安全性分析2）账号、密码等敏感数据内存分析3）证书安全、交易安全性分析4）界面劫持与截取分析5）服务器地址被盗取和篡改分析6）钓鱼攻击、数据包截获分析7）网络监听、键盘输入监听分析8）内存修改、动态注入分析9）手机银行安全认证体系整体安全检测分析B.B. 应用保护应用保护1).DEX 三重保护a. Dex 加壳保护b. Dex 指令动态加载c. 源码混淆保护2).so 文件加密（爱加密独有 so 文件加密保护技术）a.爱加密 so 文件进行
4、优化压缩b. 爱加密 so 文件源码进行加密隐藏c加密后 so 文件能够有效的防止 IDA 等工具逆向分析C.C. 定制保护定制保护1） 防止界面截取、输入法攻击引起的隐私信息泄露保护；2) 防止解包、打包、源码转译3) 源码优化4) 本地储存加密；5) 网络协议加固；6) 移交安全性及交易安全性保护7) 证书安全D.D. 渠道监测渠道监测1）渠道数据监控监控国内外 428 个 App 渠道信息，实时监控渠道相关信息2）精准识别渠道正盗版提供正版盗版 App 信息精准对比，反馈详细信息到用户后台3）盗版 App 详情分析分析项目涵盖所有路径文件及代码，清晰查看修改项目或第三方代码4）一键生成报
5、告提供一键生成报告功能，全面记录 App 盗版分析数据典型案例：典型案例：平安天下通平安天下通描述：平安天下通是首款领先的金融行业即时通讯应用，具备即时通讯软件免费通讯、好玩易用等品质，在轻松社交的同时更不断提供各类金融产品/资讯/服务。使用服务：爱加密 DEX 三重保护+so 文件加密 +渠道监测+本地加密系统服务A.A.保护需求：保护需求：1） 防止反编译、防破解2） 防止二次打包3） 隐私保护4） so 库保护、B.B. 解决方案解决方案1）漏洞分析a. 反编译、防破解分析b. 源码混淆分析c. 防二次打包分析d. 账号密码安全分析2）应用保护：a. DEX 保护b. 防二次打包保护c.
6、 so 库保护d. 截屏保护e. 键盘监听保护3）渠道监测a.每两天更新渠道监测数据，渠道下载数据监控b.渠道版本监控、正版盗版识别C.C.保护效果：保护效果：有效的减少 App 被反编译、被破解的风险，so 库核心文件得到保护，账号密码泄露风险减少6.1.36.1.3 移动支付类移动支付类 AppApp 解决方案解决方案1.1. 漏洞分析漏洞分析1）数据存储安全性分析2）账号、密码等敏感数据内存安全分析3）证书安全、数据包截获分析4）界面劫持与截取分析5）服务器地址被盗取和篡改分析6）键盘输入监听内存修改、动态注入分析7）钓鱼攻击、网络监听分析2.2. 应用保护应用保护1） DEX 三重保护
7、A. Dex 加壳保护B. Dex 指令动态加载C. 源码混淆保护2)so 文件加密（爱加密独有 so 文件加密保护技术）A.对加密 so 文件进行优化压缩B.对加密 so 文件源码进行加密隐藏C.加密后 so 文件能够有效的防止 IDA 等工具逆向分析3.3. 定制保护：定制保护：1）防止界面截取、输入法攻击引起隐私信息泄露；2）防止解包、打包、源码转译以及源码优化3）本地储存加密；4）网络协议加固；5）防止篡改支付链接6）防止钓鱼欺诈7）防止账号秘密窃取8）防止恶意消费4.4. 渠道监测渠道监测1）渠道数据监控一站式监控国内外 428 个 App 渠道信息，实时监控各渠道相关数据信息2）精
8、准识别渠道正盗版提供正版盗版 App 信息精准对比，并反馈详细数据信息到用户后台3）盗版 App 详情分析分析项目涵盖 APK 所有路径文件及代码，清晰查看修改项目或第三方代码4）一键生成报告提供一键生成报告功能，全面记录 App 盗版分析数据典型案例：典型案例：首信易支付：描述：中国第一家独立第三方支付平台，是目前国内支持银行卡种最多、覆盖范围最广的支付平台。爱加密为首信易支付提供安全支持，保障支付安全和秘钥安全。 使用服务：爱加密 DEX 三重保护+so 文件加密+定制保护+渠道监测A.A.保护需求：保护需求：1）对 dex 加壳保护，防止被工具反编译破解2）对代码进行混淆处理，降低逆向分
9、析的风险。3）防止 APK 被拆包后二次打包。4）服务端自动加密，支持 API 调用5）对软件进行自校验，保证自身的完整性。6）任何密钥都应该分散存储，防止被直接读取。B.B.保护方案：保护方案：1) 漏洞分析a.反编译分析b.二次打包分析c.代码混淆分析d.支付安全分析2) 应用保护a.DEX 加壳b.源码混淆c.防二次打包保护d.自动加密支持e.对软件进行自校验f.密钥分散存储3)渠道监测a监测渠道版本信息，包括盗版信息b正盗版分析C.C.保护效果：保护效果：爱加密为该第三方支付平台提供安全加密服务，有效的减少了客户端被篡改的风险，时刻保护用户账号密码安全，保护用户财产安全。（二）移动支付
10、类（二）移动支付类 AppApp 解决方案解决方案1.1. 漏洞分析漏洞分析8）数据存储安全性分析9）账号、密码等敏感数据内存安全分析10）证书安全、数据包截获分析11）界面劫持与截取分析12）服务器地址被盗取和篡改分析13）键盘输入监听内存修改、动态注入分析14）钓鱼攻击、网络监听分析2.2. 应用保护应用保护1） DEX 三重保护A. Dex 加壳保护B. Dex 指令动态加载C. 源码混淆保护2)so 文件加密（爱加密独有 so 文件加密保护技术）A.对加密 so 文件进行优化压缩B.对加密 so 文件源码进行加密隐藏C.加密后 so 文件能够有效的防止 IDA 等工具逆向分析3.3.
11、定制保护：定制保护：9）防止界面截取、输入法攻击引起隐私信息泄露；10）防止解包、打包、源码转译以及源码优化11）本地储存加密；12）网络协议加固；13）防止篡改支付链接14）防止钓鱼欺诈15）防止账号秘密窃取16）防止恶意消费4.4. 渠道监测渠道监测1）渠道数据监控一站式监控国内外 428 个 App 渠道信息，实时监控各渠道相关数据信息2）精准识别渠道正盗版提供正版盗版 App 信息精准对比，并反馈详细数据信息到用户后台3）盗版 App 详情分析分析项目涵盖 APK 所有路径文件及代码，清晰查看修改项目或第三方代码4）一键生成报告提供一键生成报告功能，全面记录 App 盗版分析数据典型案
12、例：典型案例：首信易支付：描述：中国第一家独立第三方支付平台，是目前国内支持银行卡种最多、覆盖范围最广的支付平台。爱加密为首信易支付提供安全支持，保障支付安全和秘钥安全。 使用服务：爱加密 DEX 三重保护+so 文件加密+定制保护+渠道监测A.A.保护需求：保护需求：1）对 dex 加壳保护，防止被工具反编译破解2）对代码进行混淆处理，降低逆向分析的风险。3）防止 APK 被拆包后二次打包。4）服务端自动加密，支持 API 调用5）对软件进行自校验，保证自身的完整性。6）任何密钥都应该分散存储，防止被直接读取。B.B.保护方案：保护方案：1) 漏洞分析a.反编译分析b.二次打包分析c.代码混淆分析d.支付安全分析2) 应用保护a.DEX 加壳b.源码混淆c.防二次打包保护d.自动加密支持e.对软件进行自校验f.密钥分散存储3)渠道监测a监测渠道版本信息，包括盗版信息b正盗版分析C.C.保护效果：保护效果：爱加密为该第三方支付平台提供安全加密服务，有效的减少了客户端被篡改的风险，时刻保护用户账号密码安全，保护用户财产安全。
