眾人 2016.3.25金融移動(dòng)化的安全新挑戰(zhàn)

金融移動(dòng)化

的安全新挑戰(zhàn)眾人網(wǎng)絡(luò)周強(qiáng)

上海眾人網(wǎng)絡(luò)安全技術(shù)有限公司眾人公司一直致力于自主可控的密碼技術(shù)研發(fā)，創(chuàng)始人談劍鋒先生是我國最早的網(wǎng)絡(luò)安全專家之一，是著名的“綠色兵團(tuán)”創(chuàng)始人，為我國的信息安全事業(yè)做出了開創(chuàng)性的貢獻(xiàn)！

眾人科技自主研發(fā)具備獨(dú)立知識(shí)產(chǎn)權(quán)的“公眾互聯(lián)網(wǎng)安全認(rèn)證平臺(tái)”，此平臺(tái)現(xiàn)在已在工業(yè)和信息化部CSIP運(yùn)行，應(yīng)用于中國電信全國31省的WiFi接入認(rèn)證。在此基礎(chǔ)上進(jìn)一步開發(fā)的“智慧城市公共區(qū)域安全網(wǎng)絡(luò)系統(tǒng)”，以動(dòng)態(tài)密碼的核心技術(shù)為基礎(chǔ)，用云計(jì)算搭建統(tǒng)一身份認(rèn)證云平臺(tái)，快速、有效地解決了公共區(qū)域網(wǎng)絡(luò)的安全認(rèn)證問題?？商岣吖矃^(qū)域網(wǎng)絡(luò)的身份認(rèn)證的安全性，最終提高用戶使用的便捷性和滿意度。同時(shí)以其強(qiáng)大的用戶認(rèn)證機(jī)制以及安全監(jiān)管功能，有助于規(guī)范國家公共網(wǎng)絡(luò)管理系統(tǒng)，在大數(shù)據(jù)時(shí)代為國家信息安全保駕護(hù)航。網(wǎng)絡(luò)安全損失日趨嚴(yán)重來自CNNIC的最新數(shù)據(jù)顯示，截止2015年6月，全國網(wǎng)民數(shù)規(guī)模已達(dá)到6.68億人，手機(jī)網(wǎng)民數(shù)達(dá)到5.57億人，占網(wǎng)民總數(shù)的83.3%；網(wǎng)游行業(yè)，截止2014年年底，國內(nèi)虛擬物品交易總額已超過1000億，有安全保障的交易方式成為用戶首選；電商行業(yè)，截止2014年年底中國網(wǎng)民在線購物交易額突破1億。而近一年來，資金被盜805億，人均124元。而2013年網(wǎng)游等虛擬物品被盜超過200億。

全球網(wǎng)絡(luò)犯罪掘金3萬億美元，已超過大麻、冰毒和可卡因販毒之總和。今年發(fā)布的《中國網(wǎng)民權(quán)益保護(hù)調(diào)查報(bào)告(2015)》中顯示，中國78.2%的網(wǎng)民個(gè)人身份信息被泄露過，包括網(wǎng)民的姓名、學(xué)歷、家庭住址、身份證號(hào)及工作單位等；63.4%的網(wǎng)民個(gè)人網(wǎng)上活動(dòng)信息被泄露過，包括通話記錄、網(wǎng)購記錄、網(wǎng)站瀏覽痕跡、IP地址、軟件使用痕跡及地理位置等。大數(shù)據(jù)時(shí)代：新興技術(shù)加大安全威脅智慧網(wǎng)、物聯(lián)網(wǎng)發(fā)展起來后，任何一個(gè)終端，都可能是攻擊終端，比如說ATM，數(shù)字電視，POS機(jī)，還有空調(diào)、冰箱、門禁甚至馬桶，任何一個(gè)智能設(shè)備都有可能是發(fā)起攻擊的終端。大數(shù)據(jù)信息安全平臺(tái)化大數(shù)據(jù)“中興事件”表明我國芯片、操作系統(tǒng)等核心軟硬件產(chǎn)品絕大部分依賴于進(jìn)口國外巨頭主導(dǎo)占據(jù)了我國信息產(chǎn)品77%，芯片和精密制造設(shè)備85%，電腦操作系統(tǒng)95%，衛(wèi)星導(dǎo)航定位產(chǎn)業(yè)95%的市場(chǎng)。我們使用的“網(wǎng)絡(luò)”是建立在沙漠之上的海市蜃樓！短信驗(yàn)證碼的盜取案例北京海淀警方剛破的案子，三個(gè)嫌疑人通過黑產(chǎn)渠道買來事主的住址、手機(jī)號(hào)、銀行卡信息，之后分工明確的冒充快遞聯(lián)系事主盜取手機(jī)SIM卡后利用短信驗(yàn)證碼把錢都轉(zhuǎn)走了。短信的HK代表的是換卡、后面的數(shù)字代表的是新的sim卡卡號(hào)（臨時(shí)號(hào)碼）！新卡在騙子手里，用戶的卡就不能用了，騙子可能就此轉(zhuǎn)走你的銀行卡，支付寶或者微信賬戶資金。業(yè)務(wù)安全：業(yè)務(wù)系統(tǒng)的風(fēng)險(xiǎn)管理需要基于用戶的行為，以及業(yè)務(wù)系統(tǒng)諸多的日志分析，有效的防欺詐、防泄漏。終端安全：涉及到系統(tǒng)安全，主要問題是介質(zhì)對(duì)敏感信息的保護(hù)，尤其是密鑰等的防盜取、防復(fù)制，但是由于移動(dòng)終端的跨平臺(tái)、硬件多樣性，安全和便捷一直成為解決方案的權(quán)衡要素。應(yīng)用安全：涉及到應(yīng)用自身的防護(hù)和網(wǎng)絡(luò)傳輸安全，防篡改、防重放是核心問題，通過釣魚和中間人攻擊，可以很容易獲知應(yīng)用中的敏感數(shù)據(jù)。賬號(hào)安全：主要涉及對(duì)于人的認(rèn)證授權(quán)，防盜用、防誤用是核心問題，與人和設(shè)備相關(guān)的諸多要素都被引入到認(rèn)證環(huán)節(jié)，但是由于移動(dòng)終端的開放性，認(rèn)證問題的隱患還很突出。移動(dòng)支付主要風(fēng)險(xiǎn)分析移動(dòng)支付的新挑戰(zhàn)用戶體驗(yàn)移動(dòng)終端硬件擴(kuò)展性不足，限制了對(duì)U盾和數(shù)字證書的廣泛使用移動(dòng)終端的計(jì)算能力相對(duì)較弱，限制了高強(qiáng)度非對(duì)稱加密算法的使用移動(dòng)終端的軟件功能有所簡(jiǎn)化，其瀏覽器不能像電腦瀏覽器一樣支持控件移動(dòng)終端的平臺(tái)開放性變強(qiáng)，增大了系統(tǒng)攻擊面移動(dòng)終端--移動(dòng)通信終端，手機(jī)、筆記本電腦、平板電腦、POS機(jī)等等。移動(dòng)終端的處理能力有了極大提高，成為綜合信息處理平臺(tái)。我們需要認(rèn)真思考面向移動(dòng)應(yīng)用的密碼安全技術(shù)。移動(dòng)終端安全提出了新的課題——密鑰沒地方放了以往的密碼技術(shù)遇到了挑戰(zhàn)、以往的安全理念遇到了挑戰(zhàn)算法固定、公開，密鑰保密

重硬件、輕軟件我們熟悉的身份認(rèn)證密碼技術(shù)：PKIOTP固定口令基于生物特征等等均存在問題。條形碼、二維碼等等只是信息載體。

SE實(shí)行有困難。新型密碼體制

——單向密碼函數(shù)SOTP技術(shù)S--strong、soft、super、safe一種新型密碼體制：密碼算法與密鑰融合，一人一密+一次一密可用于分組密碼、序列密碼及帶密鑰的哈希函數(shù)SOTP（SuperOne-Time-Password）是一種基于可重構(gòu)計(jì)算的用戶密鑰與算法融合的創(chuàng)新安全認(rèn)證技術(shù)，它強(qiáng)調(diào)一人一密與一次一密的結(jié)合。其解決了密碼系統(tǒng)中密鑰存儲(chǔ)的難題。雙向認(rèn)證協(xié)商建立安全傳輸通道多因素計(jì)算生成一次性認(rèn)證碼敏感信息移動(dòng)端安全保護(hù)卡號(hào)標(biāo)識(shí)化基本概念安全功能自主可控SOTP技術(shù)基于多年實(shí)戰(zhàn)對(duì)抗經(jīng)驗(yàn)轉(zhuǎn)化，完全自主可控，相關(guān)技術(shù)也已經(jīng)申報(bào)獲得國家專利。獨(dú)特性：技術(shù)構(gòu)思獨(dú)樹一幟，將密鑰和算法融合，先天具有白盒密碼特質(zhì)，是解決移動(dòng)金融當(dāng)前突出安全問題的先進(jìn)技術(shù)。動(dòng)態(tài)性：算法動(dòng)態(tài)生成，無密鑰存儲(chǔ)。算法形態(tài)易于碎片化、云端化，算法的載體具有多態(tài)性。普適性：密碼具有分級(jí)、分布式部署等特點(diǎn)，靈活適應(yīng)嵌入式設(shè)備、物聯(lián)網(wǎng)傳感器、穿戴式設(shè)備等環(huán)境之上的運(yùn)算，具有無處不在的適應(yīng)能力。SOTP技術(shù)是移動(dòng)安全新選擇SOTP的安全功能優(yōu)勢(shì)利用SOTP可以進(jìn)行身份認(rèn)證、會(huì)話密鑰同步、數(shù)據(jù)加密、數(shù)字簽名。可以生成存儲(chǔ)保護(hù)密鑰，進(jìn)行本地的數(shù)據(jù)保護(hù)?？梢赃M(jìn)行分布式部署，建立類PKI的層次體系。優(yōu)勢(shì)：系統(tǒng)安全性

個(gè)體難度增加

可定期或不定期更新SOTP解決有中心應(yīng)用場(chǎng)景的信息安全需求；對(duì)無中心的應(yīng)用需求可用較小代價(jià)解決。雙向認(rèn)證使用SOTP算法插件，通過挑戰(zhàn)應(yīng)答的形式，可以實(shí)現(xiàn)移動(dòng)端和服務(wù)器的雙向認(rèn)證，防止假冒攻擊。雙向認(rèn)證后生成共享的會(huì)話密鑰，對(duì)整個(gè)會(huì)話過程全程加密保護(hù)及完整性驗(yàn)證。動(dòng)態(tài)口令/一次性支付碼使用SOTP算法插件，根據(jù)硬件特征碼、用戶保護(hù)碼、交易要素等參數(shù)，計(jì)算生成一串計(jì)算機(jī)可以識(shí)別的字符串信息。服務(wù)器端采用通用的算法及個(gè)人密鑰，根據(jù)相同的參數(shù)計(jì)算出信息進(jìn)行比對(duì)，如果相同則驗(yàn)證通過。安全存儲(chǔ)使用SOTP算法插件，將硬件特征碼、隨機(jī)數(shù)作為參數(shù)，分散出數(shù)據(jù)加密密鑰，使用加密密鑰通過國密SM4算法對(duì)本地?cái)?shù)據(jù)進(jìn)行加密存儲(chǔ)保護(hù)。SOTP密碼體制的安全功能典型應(yīng)用場(chǎng)景：線上支付SOTP電商外賣出行住宿團(tuán)購交易人時(shí)間設(shè)備空間1、生成SOTP插件密碼機(jī)支付認(rèn)證系統(tǒng)快捷支付平臺(tái)快捷支付APP5、提交驗(yàn)證申請(qǐng)3、發(fā)送支付請(qǐng)求4、多因素計(jì)算一次性支付碼2、加載SOTP插件6、驗(yàn)證支付碼返回支付結(jié)果……與傳統(tǒng)認(rèn)證方式的對(duì)比SOTP安全插件短信驗(yàn)證碼手機(jī)令牌U盾與OTP令牌安全性密鑰安全密鑰與算法融合，無法獲取驗(yàn)證碼安全依賴運(yùn)營(yíng)商靜態(tài)密鑰種子易泄露硬件保護(hù)，安全運(yùn)算安全一人一算法，安全簡(jiǎn)單比對(duì)算法固定，密鑰易被分析硬件保護(hù)，安全傳輸安全雙向認(rèn)證，建立密文傳輸通道驗(yàn)證碼下發(fā)信道易被監(jiān)聽通用安