Praetorian的安然專家本月測試了275個(gè)蘋果iOS和Android手機(jī)銀行利用法度，這些利用法度來自50家個(gè)首要金融機(jī)構(gòu)、50家大年夜型區(qū)域性銀行和50家大年夜型美國諾言合作社。成果發(fā)現(xiàn)，80%的利用法度建設(shè)不當(dāng)，沒有益用最好軟件做法來構(gòu)建。這些被測試的馳名銀行包含：美國銀行、花旗銀行、富國銀行、高盛、摩根士丹利、第一本錢金融和太陽信任銀行。Praetorian并沒有流露每個(gè)銀行的利用法度在測試中的表示。
今朝，手機(jī)銀行已開端起飛，雖然速度比較遲緩。約35%的美國人在利用手機(jī)銀行，這比2012年增加了11%。NSS嘗試室的最新陳述中，一些銀行陳述顯示手機(jī)銀行每年增加70%。
Praetorian公司初創(chuàng)人兼首席履行官Nathan Sportsman暗示，手機(jī)銀行利用法度中的安然縫隙其實(shí)不是純粹的軟件縫隙，所以它們是風(fēng)險(xiǎn)相對較低的標(biāo)題問題，但這些標(biāo)題問題終很可能導(dǎo)致受報(bào)復(fù)打擊。
Sportsman 暗示：“這些都不是營業(yè)邏輯性或針對利用法度的標(biāo)題問題，而是全部移動利用法度的標(biāo)題問題，這些是開辟人員應(yīng)當(dāng)解決而沒有解決的標(biāo)題問題，這些利用法度可以經(jīng)由過程蘋果和谷歌的利用商鋪下載?！?/P>
研究人員測試的縫隙是軟件中馳名的減緩功能，測試是在每個(gè)本地設(shè)備的移動利用法度上履行，而不是在后端web辦事器和辦事。Sportsman暗示，這個(gè)測試只是全部手機(jī)銀行報(bào)復(fù)打擊環(huán)境的一個(gè)剪影，因?yàn)?5%到90%的手機(jī)銀行產(chǎn)生在后端。
他暗示：“這不是侵進(jìn)性測試，我們沒有尋覓SQL注進(jìn)，需要權(quán)限來做到這一點(diǎn)，所以我們很是向看看這些移動利用法度的建設(shè)?！彼？聪麓螠y試信息是若何存儲在本地設(shè)備上的。
Praetorian利用其新的移動利用安然測試平臺Project Neptune履行了此次測試。在第一次測試中發(fā)現(xiàn)：良多基于iOS的手機(jī)銀行利用法度沒有啟用主動援引計(jì)數(shù)(ARC)--內(nèi)存治理功能;位置無關(guān)可履行文件—避免緩沖區(qū)溢出;和倉庫呵護(hù)功能—呵護(hù)利用法度不會呈現(xiàn)“倉庫破裂”。
Sportsman稱：“倉庫破裂和ASLR(地址空間布局隨機(jī)化)已存在很長一段時(shí)候，這些利用法度中應(yīng)當(dāng)啟用這類呵護(hù)?！?/P>
良多基于Android的手機(jī)銀行利用法度被發(fā)現(xiàn)是針對老版本的Android軟件開辟東西包，貧乏權(quán)限硬化，并啟用了調(diào)試功能。對開辟者而言，老版本SDK靶向和調(diào)試功能將是最大年夜的擔(dān)憂標(biāo)題問題。
不希罕的是，大年夜型金融機(jī)構(gòu)比諾言社或區(qū)域性銀行表示更好，但辨別也不較著：諾言社利用法度有108個(gè)建設(shè)縫隙;區(qū)域性銀行動97個(gè)，而大年夜型金融機(jī)構(gòu)為75。
為甚么這些利用法度存在建設(shè)標(biāo)題問題?整體而言，在金融辦事行業(yè)，手機(jī)銀行面對著“急于進(jìn)進(jìn)市場”的壓力，這可能導(dǎo)致呈現(xiàn)一些縫隙。并且，地區(qū)銀行和諾言社常常會外包這類利用開辟工作。
與此同時(shí)，NSS嘗試室的Ken Baylor指出，良多手機(jī)銀行利用法度大年夜大都具有根基的安然性?！按竽暌勾蠖笺y行開端供給簡單重定向到移動網(wǎng)站(功能有限)的移動辦事，經(jīng)由過程檢測智妙手機(jī)HTTP表頭。其他銀行則成立了具有更好HTML包裝器的移動利用法度，供給更好的用戶體驗(yàn)和更多功能。到今朝為止，只有少數(shù)銀行動每個(gè)平臺構(gòu)建了安然的本機(jī)利用法度?！?/P>
良多移出手機(jī)利用法度是基于簡化的HTML代碼，這使它們等閑遭到報(bào)復(fù)打擊，這應(yīng)當(dāng)促使更多銀行動手機(jī)開辟本機(jī)利用法度，增加安然功能，例如加密和地輿定位。