隨需應(yīng)變的移動(dòng)支付安全

1、隨需應(yīng)變的移動(dòng)支付安全Samsung PayPay小米Pay支付：支付支付寶銀聯(lián)云閃付（HCE云支付）變錢(qián)包：中國(guó)移動(dòng)、中國(guó)、 中國(guó)電信便利支付的移動(dòng)支付智能戒指支付車(chē)支付可穿戴設(shè)備支付任何地方需要支付任何物品可以支付23移動(dòng)支付安全性分析支付Apple PayHCE云支付23+簽名第APP篡改登錄的頁(yè)面了馬、蠕蟲(chóng)或者植入到用戶(hù)系統(tǒng)中。這些QR碼指向了自動(dòng)木馬程序的網(wǎng)戳技術(shù)卡集成到應(yīng)用啟動(dòng)應(yīng)用激活卡完成e PayAPPApplePay支付處理和安全保障都是由SE負(fù)責(zé)的REETEE終端APP_REEAPP_TEE環(huán)境檢測(cè)對(duì)進(jìn)行檢測(cè)環(huán)境檢測(cè)防止等支付類(lèi)客戶(hù)端被篡改防篡改防篡改對(duì)用戶(hù)進(jìn)行有效驗(yàn)證TE

2、Eernal APITrusted OS識(shí)別、NFC、屏幕頭等TrustZone通口 每個(gè)支付類(lèi)APP獨(dú)立開(kāi)發(fā)成兩個(gè)組件：APP_REE和APP_TEE； 它們分別安裝在REE和TEE中； APP_REE是指各個(gè)支付類(lèi)客戶(hù)端，比如各個(gè) 客戶(hù)端等；【 開(kāi)發(fā)】 APP_TEE是對(duì)支付類(lèi)客戶(hù)端的加固，借助TEE的安全運(yùn)行環(huán)境，實(shí)現(xiàn)環(huán)境檢測(cè)、防篡改、數(shù)字盾的功能?！景踩珡S商開(kāi)發(fā)】TSM服務(wù)器APP_TEE環(huán)境防篡數(shù)字檢測(cè)改盾APP_REE（支付類(lèi)客戶(hù)端）TEE Cnt APINormal OS風(fēng)險(xiǎn)Apple上的時(shí)候APP* HCE-Host Card Emulationnew發(fā)卡方空中發(fā)卡數(shù)據(jù)在各個(gè)組

3、件中傳輸、處理、支付網(wǎng)絡(luò)交易驗(yàn)證電子錢(qián)包收單方移動(dòng)應(yīng)用中信息貶值風(fēng)險(xiǎn)檢測(cè)移動(dòng)應(yīng)用安全用戶(hù)和設(shè)備認(rèn)證安全加密認(rèn)證加密用戶(hù)認(rèn)證Cloud-based CDCVMOn-device CDCVMMobile App CDCVM加密的使用：數(shù)據(jù)加密、交易必須使用一次一密（LUK）密鑰安全要求：數(shù)據(jù)加密密鑰、 LUK必須用唯一的、不同的密 鑰進(jìn)行保護(hù)，此密鑰與設(shè)備、應(yīng)用綁定認(rèn)證數(shù)據(jù)安全和傳輸?shù)陌踩L(fēng)險(xiǎn)：密鑰、認(rèn)證等數(shù)據(jù)如何進(jìn)行保護(hù)？云端可控環(huán)境非受控終端非受控環(huán)境非受控鏈路非受控使用受控終端線路安全密鑰白盒231.2.3.4.5.唯密文 已知明文選擇明文選擇密文黑盒1.2.3.側(cè)信道電磁輻射電流消耗類(lèi)型灰

4、盒1.2.3.控制運(yùn)行環(huán)境（CPU、寄存器、內(nèi)存等）二進(jìn)制完全可見(jiàn)（反匯編，靜態(tài)分析）完全控制可執(zhí)行程序（修改、調(diào)試，動(dòng)態(tài)分析）白盒DASSAO間功耗電磁輻射計(jì)算時(shí)RSA按位掃描平方乘K=(Kn-1, Kn-2, K1)R 1for i=n-1 downto 0 doR R2 mod nif Ki=1 thenR Rm mod nTi=SiKEY取負(fù)表輸入輸出輸入輸出輸入輸出00011011100111000001101101100110異或表替換表者能控制的環(huán)境dataEncrypt（data）Encrypted dataAESkey者不能控制的環(huán)境Make Table()p Table()

5、安全應(yīng)用CodeLifting解決方案梆梆安全密鑰白盒系統(tǒng) 知識(shí)保護(hù)客戶(hù)端所使用的密鑰經(jīng)過(guò)白盒化處理后將難以被攻破數(shù)字保護(hù)，在算法的環(huán)境中白盒算法可以對(duì)抗相關(guān)對(duì)網(wǎng)絡(luò)層傳輸?shù)膱?bào)文進(jìn)行白盒加密可防止通訊協(xié)議被本地資源防竊取本地資源防篡改 通訊協(xié)議保護(hù) 本地?cái)?shù)據(jù)保護(hù)移動(dòng)密鑰保護(hù)23梆梆安全移動(dòng)支付安全解決方案安全需求：保護(hù)資產(chǎn)，確保流程正確執(zhí)行賬戶(hù)數(shù)據(jù)認(rèn)證數(shù)據(jù)安全密鑰應(yīng)用源碼賬戶(hù)數(shù)據(jù)（如Token、Account ID、tran verification log）ionCD-CVM（consumer device cardholder verification method）必須從完整性的角度來(lái)保護(hù)

6、，以確保程序流無(wú)如靜態(tài)密鑰、動(dòng)態(tài)密鑰，LUK-limited use keys法縱風(fēng)險(xiǎn)管理數(shù)據(jù)（如ATC-application tranioncounter，DeviceThreshold Parameters）數(shù)據(jù)（Token、LUK）安全的從服務(wù)器傳輸?shù)揭苿?dòng)應(yīng)用端敏感數(shù)據(jù)安全的存貯在應(yīng)用中應(yīng)用APK加固SDK加固移動(dòng)應(yīng)用安全加固通過(guò)應(yīng)用加通過(guò)對(duì)SDK包做加密和加固等殼加密段，構(gòu)建了一個(gè)應(yīng)處理，防止SDK被及逆向C、C+源碼/加固用執(zhí)行的安全沙箱，讓?xiě)?yīng)用可以安全的執(zhí)行在一個(gè)不安全、不可控的設(shè)備環(huán)境下，保障了應(yīng)用賬號(hào)、數(shù)據(jù)、交易及自身的安全性分析，保障了SDK原有業(yè)務(wù)邏輯的完整性和安全控制的

7、有效性通過(guò)對(duì)源代碼做邏輯分支和控制流平坦化，實(shí)現(xiàn)對(duì)源代碼和業(yè)務(wù)邏輯的隱藏加密，并且不影響應(yīng)用的上線發(fā)布EMVCoVISA銀聯(lián)清晰定義移動(dòng)應(yīng)用中涉及的信息資產(chǎn)和敏感數(shù)據(jù)不被非修改：正確安裝、更新、完整性校驗(yàn)、版本控制強(qiáng)壯的控制：用戶(hù)認(rèn)證CDCVM、設(shè)備認(rèn)證、應(yīng)用認(rèn)證最佳實(shí)踐資產(chǎn)保護(hù)：確保數(shù)據(jù)在中、使用中、傳輸中的安全安全：不能明文日志信息，提供到應(yīng)用保護(hù)：實(shí)現(xiàn)性和完整一次一密、LUKGartnerOWASP運(yùn)行風(fēng)險(xiǎn)檢測(cè)：內(nèi)存、篡改；應(yīng)用處于調(diào)試模式環(huán)境風(fēng)險(xiǎn)檢測(cè)：系統(tǒng)是否被root、；檢測(cè)；不支持的設(shè)備；不支持的應(yīng)用版本運(yùn)行時(shí)動(dòng)態(tài)數(shù)據(jù)保護(hù)安全SDK針對(duì)HCE安全需求設(shè)計(jì)對(duì)檢測(cè)到的風(fēng)險(xiǎn)響應(yīng)與防范（參

8、考 Visa Cloud-BasedPayments Program 要求與指南）風(fēng)險(xiǎn)、風(fēng)險(xiǎn)分析梆梆安全移動(dòng)支付安全方案安全密鑰白盒源碼保護(hù)SDK保護(hù)移動(dòng)應(yīng)用加固HCE安全SDKHCE應(yīng)用安全HCE業(yè)務(wù)流行為審計(jì)應(yīng)用盜版應(yīng)用監(jiān)測(cè)移動(dòng)應(yīng)用中信息貶值風(fēng)險(xiǎn)檢測(cè)移動(dòng)應(yīng)用安全HCE移動(dòng)支付用戶(hù)和設(shè)備認(rèn)證安全加密端/管/云安全設(shè)計(jì)開(kāi)應(yīng)急處置安全應(yīng)用管理監(jiān)測(cè)下架安全發(fā)布上線安全培訓(xùn)安全實(shí)施發(fā)覆蓋全生命周期事前階段安全服務(wù)事中階段安全服務(wù)事后階段安全服務(wù)管安 全云安全發(fā)布上線 培訓(xùn)端安全監(jiān)測(cè)下架應(yīng)急防APT移動(dòng)安全安全開(kāi)發(fā)App定期安全源代碼審計(jì)白盒加密通信安全基于業(yè)務(wù)的流量審計(jì)AppApp端三重安全適配測(cè)試電子取證規(guī)范監(jiān)測(cè)風(fēng)險(xiǎn)加固防0-Day正版發(fā)布監(jiān)測(cè)App安全分析定期安全技術(shù)專(zhuān)題移動(dòng)安全攻防云/管/端安全技術(shù)規(guī)劃大數(shù)據(jù)風(fēng)控系統(tǒng)移動(dòng)滲透測(cè)試認(rèn)證源代碼安全移動(dòng)（MAF