手機(jī)銀行客戶端與支付安全息息相關(guān)，然而這些涉及財(cái)產(chǎn)安全的手機(jī)軟件卻極易被盜版。360手機(jī)安全中心于7月16日發(fā)布了《手機(jī)銀行客戶端安全性測(cè)評(píng)報(bào)告(暨2014年中國(guó)移動(dòng)支付安全報(bào)告第二期)》，(以下簡(jiǎn)稱《報(bào)告》)針對(duì)當(dāng)前世面上最流行的16款手機(jī)銀行客戶端進(jìn)行了一次全面的安全性測(cè)評(píng)。分析顯示，本次測(cè)評(píng)的16款手機(jī)銀行客戶端均存在被不法分子惡意篡改的安全風(fēng)險(xiǎn)。
某銀行客戶端軟件被二次打包后的截圖
《報(bào)告》顯示，雖然一些客戶端對(duì)自身簽名進(jìn)行了校驗(yàn)，但也極其容易被攻擊者輕易篡改，起不到防止二次打包的作用?？傮w來(lái)看，本次測(cè)評(píng)的16款手機(jī)銀行客戶端均未能完全有效地防范逆向分析和二次打包，而二次打包后的盜版應(yīng)用會(huì)嚴(yán)重威脅手機(jī)用戶的支付安全。
據(jù)360互聯(lián)網(wǎng)安全中心數(shù)據(jù)統(tǒng)計(jì)顯示：本次測(cè)評(píng)的16款手機(jī)客戶端軟件中，除了一家銀行之外，其他銀行的手機(jī)網(wǎng)銀客戶端軟件均存在盜版現(xiàn)象。個(gè)別客戶端甚至有20個(gè)以上不同的盜版版本?？傮w而言，正版下載量越高的網(wǎng)銀APP，盜版版本數(shù)也相對(duì)較多。
據(jù)了解，攻擊者可以使用逆向分析工具，將銀行客戶端程序進(jìn)行反編譯，并向反編譯結(jié)果中加入惡意代碼，這樣就可以篡改原始客戶端程序的執(zhí)行流程，截獲用戶的賬號(hào)名、密碼等隱私數(shù)據(jù)。而且二次打包后的盜版應(yīng)用從外觀上和實(shí)際體驗(yàn)上都與正版應(yīng)用無(wú)異，普通用戶對(duì)此毫無(wú)感知能力。一旦這些盜版銀行客戶端軟件被發(fā)布到審核不嚴(yán)格的第三方市場(chǎng)中，就會(huì)嚴(yán)重威脅手機(jī)用戶的移動(dòng)支付安全。
對(duì)于如何防范盜版，《報(bào)告》則指出，一種方法是對(duì)手機(jī)銀行客戶端進(jìn)行簽名校驗(yàn)，另一種是進(jìn)行加固處理。一些手機(jī)銀行客戶端軟件中加入了對(duì)自身簽名進(jìn)行校驗(yàn)的代碼，但對(duì)于具有相當(dāng)技術(shù)能力的盜版作者來(lái)說(shuō)，找到并移除簽名校驗(yàn)代碼，或者是屏蔽簽名校驗(yàn)代碼的功能并不是一件很困難的事情。因此，這種方案很難徹底的解決問(wèn)題。
但是，手機(jī)安全軟件等第三方監(jiān)測(cè)工具，則完全有能力校驗(yàn)手機(jī)銀行客戶端軟件的數(shù)字簽名并鑒別真?zhèn)?。?60手機(jī)衛(wèi)士等手機(jī)安全軟件對(duì)手機(jī)銀行客戶端軟件進(jìn)行簽名校驗(yàn)，要比客戶端軟件自己進(jìn)行簽名校驗(yàn)的方法可靠得多。
對(duì)手機(jī)銀行客戶端進(jìn)行加固處理也是反盜版的有效方法，由于程序事先經(jīng)過(guò)了加密處理，盜版作者對(duì)程序進(jìn)行逆向分析難度也就大大增加，通常很難在原有代碼中混入惡意代碼，從而可以有效的阻止應(yīng)用程序被篡改和二次打包。
據(jù)了解，針對(duì)移動(dòng)支付面臨的種種安全威脅，360與建設(shè)銀行(601939,股吧)、農(nóng)業(yè)銀行(601288,股吧)、工商銀行(601398,股吧)、中國(guó)銀行(601988,股吧)、民生銀行(600016,股吧)等十余家銀行展開(kāi)了安全服務(wù)合作，為手機(jī)銀行客戶端提供獨(dú)立的移動(dòng)支付安全模塊定制服務(wù)，該模塊被集成到手機(jī)銀行客戶端中，從而全面提升手機(jī)銀行客戶端的安全性。