移动互联网安全问题和解决方案解析.ppt

苏州工业园区星湖街325号创意 产业园1-B501单元 电话：86-512 邮编：215021 移动互联网安全问题和解决方案 目 录 * 账号安全问题和通付盾解决方案 1 移动安全问题和通付盾解决方案 2 交易安全问题和通付盾解决方案 3 账号安全：传统 “账号-密码”体系脆弱 * 2011年12月 CSDN拖库事件 2013年10月 ORACLE3800W 2013年11月 某某酒店2000W 2013年12月QQ群关系7000W 黑数据中心 撞库 提供真实用户数据 账号信息一致 账号系统被攻陷 账号盗用 信息转卖 机密泄露 目前黑数据市场非常猖獗，网络上各种“社工库”层出不穷，用户账户信息泄露情况非常严重！ 背景一：近两年来发生了近2000起拖库事件 背景二：近一半的用户习惯在多个网站之间 使用相同的帐号名和密码 账号安全：通付盾设备ID * 通付盾提供消费者帐号的安全保护措施——帐号与关联设备绑定。通付盾关联设备绑定是传统绑定（如密保绑定、密码保护卡绑定、手机绑定、电话密保、邮箱绑定、IP地址绑定、身份证绑定、彩信密保、视频绑定等等）的可靠延伸。通付盾让硬件软件化，为网上银行提供通用U盾和手机令牌，直接阻止电子支付中的欺诈行为。通付盾为消费者提供自保护数据加密密钥 API，消费者只有以相同或相关联的设备上网才能用密钥打开数据包。 撞库 黑数据中心 账号信息一致 判断设备匹配 白忙一场！ 账号安全 黑客组织 网籍库 移动安全：Android平台成病毒温床 据去年的统计结果，仅2012年，CNCERT监测和网络安全企业通报的移动互联网恶意程序样本有162981个，较2011年增长25倍，其中约有82.5%的样本针对Android平台，已成为移动平台第一重灾区，这主要是缘于Android平台的用户数量快速增长和Android平台的开放性。? 而按照恶意程序的行为属性统计，恶意扣费类的恶意程序数量仍居第一位，占39.8%，流氓行为类(占27.7%)、资费消耗类(占11.0%)分列第二、三位。2012年，CNCERT组织通信行业开展了多次移动互联网恶意程序专项治理行动，所重点打击的远程控制类和信息窃取类恶意程序所占比例分别较2011年的17.59%和18.88%大幅度下降至8.5%和7.4%。 目前一些APP大面积被山寨，存在泄露隐私的风险，同时由于APP山寨版和正版外观相似，要一眼分辨存在困难。其实，除了一些App被山寨外，还面临着被破解、二次打包、数据篡改、注入等危机。 * 目前针对Android市场山寨APP众多的情况，应运而生了例如“梆梆加密”、“爱加密”等针对Android APP的安全服务商，为独立开发者和厂商提供APP加固方案，加固效果一度受到业界重视，看起来很美。 但这些安全提供商却有着不能视而不见的弊端： （1）返回给独立开发者和厂商的加固后APP，不提供反向验证手段，独立开发者和厂商不知道加固后的APP是否内置后门。 （2）由于加固条件未做完备的限制，导致被病毒利用，目前已有多款病毒应用（例如必威体育精装版的“支付宝大盗”）利用梆梆加固进行安全加固，躲避杀毒软件的查杀。 （3）单独的APP加固不足以实现真正的移动安全，易被攻破： * 移动安全：“梆梆”、“爱加密”看起来很美 移动安全：移动应用安全 移动设备安全 移动应用安全：通付盾安全加固站 * 待加固APP 安全加固站 混淆、加壳、加密 客户端保护 对抗黑客逆向工程 对抗注入、篡改、重打包 已加固APP 合作厂商 反向验证方案 （1）面对符合安全标准的企业级用户，提供全面加固方案，不仅对抗逆向工程， 更增加对抗恶意注入和篡改的客户端保护机制。 （2） 在为企业级用户提供应用加固服务外还提供反向验证方案，确保原应用未 增加后门，无安全隐患。 优势： 移动安全：移动应用安全 移动设备安全 移动设备安全：通付盾安全检测站 * （1）在移动设备上构建一个安全运行环境，让恶意程序无所遁形。 （2）云端检测，移动设备无负载，安全桌面和正常桌面任意切换。 优势： 设备原安全状态 切换至PayEgis安全桌面 设备安全状态 安全检测站 安全检测 提示用户卸载恶意程序等 设备安全状态 注：图中红圈代表设备 中的不安全因素 传统的交易安全解决方案中，人们多倾向于加强客户端的可靠性来保障其交易服务系统安全。事实上，网上黑客作弊者唯利是图，手段翻新，花样百出，客户端安全技术跟不上作弊手段翻新。同