日前，上海警方搗毀一個利用網(wǎng)上銀行漏洞非法獲利的犯罪團伙，據(jù)警方初步查證，馬某利用黑客技術(shù)，長期在網(wǎng)上尋找全國各家銀行、金融機構(gòu)的安全漏洞。今年5月，他發(fā)現(xiàn)某銀行APP軟件中的*業(yè)務(wù)存在安全漏洞，遂使用非法手段獲取了5套該行的儲戶賬戶信息，在賬戶中存入少量金額后辦理定期存款，后通過技術(shù)軟件成倍放大存款金額，借此獲得*，累計非法獲利2800余萬元，馬某等6名犯罪嫌疑人被依法刑事拘留。
對此事件，專業(yè)的移動信息安全服務(wù)商愛加密安全專家表示，造成此類安全事件的原因主要是利用了該手機銀行APP中*業(yè)務(wù)的安全漏洞，借用他人存單辦理了存單*，而在貸款審核流程中未對貸款人身份進行驗證，也未對終端環(huán)境進行風(fēng)險監(jiān)控。針對此次銀行APP事件，該專家認為金融類APP除進行常規(guī)的安全加固外，還應(yīng)注意以下幾個方面漏洞風(fēng)險，做到防患于未然。
Ø通訊數(shù)據(jù)明文風(fēng)險
風(fēng)險描述：
如果客戶端與服務(wù)端交互過程中的數(shù)據(jù)未采用任何加密處理，當(dāng)用戶在支付過程中輸入支付密碼、賬戶信息等關(guān)鍵信息時會造成被黑客利用進行監(jiān)聽、植入病毒或木馬、竊取數(shù)據(jù)的危險行為。黑客通過對業(yè)務(wù)通信進行劫持偽造，動態(tài)修改上下行信息，使金融APP的客戶和金融機構(gòu)造成巨大的經(jīng)濟損失。
安全建議：目前市面上的主流算法容易被黑客分析并獲取密鑰key，從而可以方便的對數(shù)據(jù)進行解密還原操作，建議采用協(xié)議加密SDK。協(xié)議加密SDK算法采用白盒化的思路，把密鑰和算法融合在一起，在不可信的環(huán)境下達到保證密鑰安全性的目的。另外，在通信過程中，數(shù)據(jù)經(jīng)常存在被篡改的可能性，建議采用自帶數(shù)據(jù)校驗功能的協(xié)議加密SDK對數(shù)據(jù)進行完整性校驗，保證數(shù)據(jù)不可篡改。
ØH5代碼逆向破解風(fēng)險
風(fēng)險描述：對于H5應(yīng)用來說，因為JavaScript作為開放的頁面腳本語言，本身安全缺陷明顯，并隸屬于解釋性語言，對任何人來說都是不設(shè)防的，而比較突出的攻擊手段如下包括H5網(wǎng)站被任意調(diào)試;H5應(yīng)用被隨意獲取相關(guān)JavaScript腳本，通過盜用來生成仿冒應(yīng)用;H5應(yīng)用中JavaScript暴露其業(yè)務(wù)邏輯和系統(tǒng)接口，黑客通過分析JavaScript業(yè)務(wù)代碼，逆向解讀應(yīng)用的核心邏輯，有針對性的通過應(yīng)用挖掘服務(wù)端漏洞，最終實現(xiàn)攻擊金融機構(gòu)核心資產(chǎn)的目的。
安全建議：愛加密移動應(yīng)用H5安全加固平臺可針對此類風(fēng)險向企業(yè)提供系統(tǒng)級的安全服務(wù)。該平臺具有自動對H5文件進行加密、混淆、支持批量上傳及下載H5文件、支持API接口調(diào)用方式、支持Web JS、APPJS、公眾號JS以及小程序JS代碼加固、支持APP中熱更新框架，如RN代碼加固等特點。加密后的H5代碼具備常量字符串加密、常量數(shù)字加密、二元表達式加密、代碼壓縮、函數(shù)變量名混淆、基本塊分裂、垃圾指令注入、防調(diào)試、禁止控制臺輸出、一次一密、域名綁定等功能，達到對JS文件的反調(diào)試、反竊取、反篡改等保護，大大提高JavaScript文件的安全性。
Ø終端設(shè)備環(huán)境風(fēng)險
風(fēng)險描述：根據(jù)媒體的報道，自5月份犯罪嫌疑人就開始利用該漏洞作案，11月份銀行工作人員才進行報案，中間長達數(shù)月該應(yīng)用都處于被攻擊且未被發(fā)覺的狀態(tài)，此類情況絕非首例，且不止一家。
安全建議：此類黑客攻擊一般會在有安全風(fēng)險的終端環(huán)境上運行，比如Xposed、ROOT、模擬器、雙開、可疑進程、代碼注入等等，愛加密提供安全清場SDK，客戶可自行嵌入到App中對客戶端所在手機環(huán)境進行安全檢測，嵌入后客戶端具備檢測框架攻擊行為(如Xposed，Substrate框架)、注入攻擊行為(如Hjack注入、inject注入)、調(diào)試攻擊行為(如gdbserver調(diào)試、ida調(diào)試)、劫持攻擊行為、模擬器攻擊行為、ROOT攻擊行為、病毒、木馬、惡意軟件攻擊行為等的能力。可對發(fā)現(xiàn)的各種攻擊行為進行數(shù)據(jù)回調(diào)，幫助金融機構(gòu)快速作出應(yīng)急響應(yīng)。
此前有調(diào)查顯示，亞太地區(qū)金融行業(yè)的106款A(yù)PP中85%的應(yīng)用沒有通過基本的安全檢測，50%的應(yīng)用至少存在4至6個漏洞，金融應(yīng)用仿冒、金融頁面釣魚攻擊、系統(tǒng)漏洞等問題層出不窮。為保證金融行業(yè)移動應(yīng)用業(yè)務(wù)安全，愛加密基于金融業(yè)務(wù)特點，建立了一套牢固的移動應(yīng)用安全防護體系，為移動金融業(yè)務(wù)提供可覆蓋全生命周期的解決方案，保證移動應(yīng)用的合規(guī)性和安全性，從根源上解決移動應(yīng)用業(yè)務(wù)面臨的各類風(fēng)險。
目前，愛加密已服務(wù)中國銀行、交通銀行、浦發(fā)銀行、中泰證券、廣發(fā)證券、光大證券、陸金所、翼支付等數(shù)百家銀行、證券、保險等互聯(lián)網(wǎng)金融機構(gòu)和第三方支付平臺，致力做好金融安全的守門人，為金融行業(yè)健康穩(wěn)定發(fā)展保駕護航。
申請創(chuàng)業(yè)報道，分享創(chuàng)業(yè)好點子。點擊此處，共同探討創(chuàng)業(yè)新機遇！
