浅析基于智能手机的银行业务安全性

手机银行业务是一种结合了货币电子化与移动通信的崭新服务，是网络银行的派生产品之一。它的优越性集中体现在便利性上，客户利用手机银行可以在任何时间、任何地点处理多种金融业务，极大地丰富了银行服务的内涵，使银行能以便利、高效而又较为安全的方式为客户提供传统和创新的服务。而智能手机功能和性能的不断提升，以及3G技术不断完善，也将手机银行业务带入了一个新的发展阶段。由于智能手机移动终端的软硬件系统不断变换，银行需要不断更新调试系统，在此过程中就有可能产生一些技术漏洞或盲点，让犯罪分子有可乘之机。从互联网公开报道的内容看，已经有诸多利用手机银行风险隐患进行作案的案例。

一、手机银行业务安全需要考虑的问题

手机银行的基本网络拓扑如下：

手机银行的基本网络拓扑

结合手机银行业务流程，其安全性需要从网络、系统、通讯、应用以及客户端等几个方面考虑：

1. 网络安全。这里所说的网络既包括手机终端到WAP网关的通道，也包括WAP网关到银行的通道。在这个阶段，数据暴露于互联网，具有较高的安全风险。

2. 系统安全。主要指运行手机银行系统的操作系统和数据库等软件平台的安全。操作系统未打的补丁、数据库平台的不安全配置、额外开放的端口都可能会引发风险。

3. 通讯安全。在此阶段，需要防止信息不被篡改、防范信息窃听、确认信息的真实来源等等。

4. 应用(业务逻辑)安全。手机银行的最终实现方式就是要为客户提供各类应用，而确保应用安全，是手机银行业务安全核心部分。这部分需要考虑的主要内容有：

ü 访问安全：智能手机系统模拟器的存在使得黑客可以利用非手机终端进行操作与业务尝试，带来极大的危害。

ü 登陆安全：此阶段可能遇到的威胁有键盘记录、登陆密码与交易密码一致、存在默认密码、账户被恶意尝试而导致冻结、验证码的强度及其传输安全等。

ü 会话安全：需要考虑非法人员是否能够利用父窗口浏览器或者远程控制后打开新的已登陆权限页面。

ü 敏感信息保护：敏感信息包括帐号、密码、***等，偷看、内存明文读取、cookie读取、线路窃听是主要风险来源。

ü 交易安全：交易安全包括三部分，一是需要确保交易是由客户本人发起并确认，二是防止交易内容被篡改，三是防止交易重放。

ü 剩余信息保护：客户交易完成后，手机内存中存在卡号、密码等关键信息如果保留，很可能被恶意分子窃取。

ü 账户限额：账户信息被盗用后，非法人员是否有可能将金额全部转移?是否有额度限制?是否可以修改额度?企业用户如何确保关键业务的操作安全?

ü 账户校验：非法用户通过伪造表单的方式提交不属于自己的账号进行转账，或者用户中木马后在不知情的情况下被修改交易账户。

ü 安全审计：手机银行是否可以提供从登陆到交易的包含与安全有关的完整日志记录，为安全事故提供可追溯的依据，当有可以日志发生时，管理人员是否可以查询?是否可以及时的向客户发出警示?

ü WEB应用安全：手机客户端应防止提交非法数据进行SQL注入或者脚本注入。

5. 客户端安全。客户端需要考虑用户所输入的敏感信息的安全，规避各种终端平台的安全漏洞如按键输入记录、自动拷屏机制、信息显示缓存等，对于触摸屏手机，还需防范触摸劫持攻击。

二、主流智能手机终端的安全风险

目前手机市场上智能操作系统众多，按照其市场占有率分类排序，Android、iOS是当之无愧的主流。

对于iOS，众所周知越狱可以使用户获得root权限，从而运行一些不被苹果审核的程序。一般的程序(iTunes下载、同步的程序)只能运行在普通模式下，只能调用苹果开放的少数系统接口，因而无权对系统进行修改以及后台运行。

越狱后的iOS就大不一样了，由于拥有root权限，使得程序可以在后台运行，这就带来的诸多风险：

1、程序被反编译或者直接运行后门程序;

2、某些程序可能会手机用户私密信息(如iPhone Tracker);

3、越狱程序本身的漏洞或者连接程序的弱密码;

4、某些软件可能尝试在后台提升权限;

5、工作在root权限下的蓝牙/Wifi程序漏洞。

因此没有越狱的iOS系统问题就小得多，如果存在问题，仅仅是iOS本身可能爆出的一些漏洞。

Android操作系统与iOS截然相反，它以开放型为主，无论是应用程序数字签名方式、权限控制、发布渠道、应用程序审核等都为开放型设计，这也一定程度上带来了更多的风险。

根据网秦公布的2012年上半年全球手机安全报告中可以看出，Android平台已经完全是恶意软件的感染对象，比例由去年底的38%跃升至78%。接下来我们通过两个案例对Android系统的危害进行介绍。

第一个案例是TouchLogger。美国加州大学的两名研究人员已经开发出了一种名为TouchLogger的Android应用，可以利用用户在按动手机屏幕键盘时产生的震动，记录下使用者的输入内容。

加州大学的两名安全研究者表示，TouchLogger可以“根据移动设备的初始方位推测按键手指落下的位置，从而利用对应的软键盘设置找到正确的输入数字。”

第二个案例是Activity劫持。简单来讲，就是黑客利用恶意activity记录下用户输入的手机银行业务凭证，并跳回到正常应用，从而在不知不觉中窃取手机银行用户的账户与密码信息。因为整个过程在不知不觉中进行，且主流的手机安全防护软件(360手机卫士、支付保镖)均不能察觉和防护，导致activity劫持具有极高的迷惑性和危害性。

三、智能手机终端的安全防护

与WAP手机银行相比，智能终端手机银行是发展的主流。与iOS操作系统的封闭型相比，Android操作系统的开放性同样使得手机银行需要采取更多的安全防护措施。

1、明确Android手机应用程序发布渠道，并对用户加强安全教育，避免从不明渠道获得假冒应用程序。防止发布渠道缺乏审核所带来的风险。

2、应用程序核心代码需要防止纯Java程序容易被第三方反编译的风险。严格限制应用程序权限配置，防止针对应用程序控制权限不完善造成的资源滥用的风险。

3、对关键交易进行增强的身份认证机制，对于转账类交易需客户再次确认才真正划账;控制不同账户类型的不同账户权限。

4、屏蔽非手机终端访问手机银行业务，手机银行仅向外部提供交易请求接口，所有交易必须通过该接口才能进行。

5、采用强制修改初始密码、进行密码复杂度的判定、随机键盘布局、安全问题等手段，确保用户密码安全。

6、采用session控制机制，确保手机银行业务的会话安全。

7、对用户的敏感信息进行屏蔽、部分屏蔽或者加密，对于关键信息做到即时加密。

综述：智能手机正在成为手机银行业务最大的安全隐患。其安全防护软件性能差，无法抵挡来自病毒、蠕虫、木马、间谍软件等恶意软件的攻击。要保证手机银行的应用安全，需建立智能手机客户端威胁监测中心，及时发现最新威胁，并据此调整和修改安全解决方案，使得用户得到实时的保护，才能使手机银行业务得到更为稳定的发展空间。

参考文献：

[1] 中国人民银行：《JR/T 0068-2012 网上银行系统信息安全通用规范》

[2] 网秦：2012年上半年全球手机安全报告

[3] 新华网：钓鱼网站、欺诈短信等手机银行安全隐患吓退用户

[4] 人民网：程序师发现iPhone 4秘密跟踪用户位置信息