搜索

[16934] 2021-06-21_从人脸识别绕过看技术与业务双轮驱动的风控升级

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-06-21_从人脸识别绕过看技术与业务双轮驱动的风控升级 从 人 脸 识 别 绕 过 看 技 术 与 业 务 双 轮 驱 动 的 风 控 升 级 梆 梆 安 全   F r e e B u f   2 0 2 1 - 0 6 - 2 1 一 、 一 、   前 言 前 言 随 着 移 动 互 联 网 、 人 工 智 能 等 高 新 技 术 的 快 速 发 展 ， 人 类 社 会 已 加 速 迈 入 数 字 经 济 时 代 。 国 家 对 于 数 字 化 转 型 给 予 了 高 度 重 视 ， 近 年 来 先 后 出 台 了 各 类 政 策 扶 持 及 指 导 意 见 ， 将 数 字 经 济 发 展 提 升 至 国 家 战 略 高 度 。 在 数 字 化 转 型 的 同 时 ， 风 控 能 力 逐 渐 成 为 影 响 企 业 可 持 续 发 展 的 重 要 因 素 。 近 年 来 ， 各 企 业 积 极 建 设 业 务 风 控 能 力 ， 引 入 人 工 智 能 、 云 计 算 和 大 数 据 等 新 技 术 ， 整 合 内 外 部 资 源 ， 搭 建 全 新 的 智 能 风 控 系 统 ， 不 断 实 现 全 风 险 智 能 管 控 ， 全 面 助 力 风 险 管 理 水 准 提 升 。 然 而 ， 数 字 化 转 型 给 企 业 的 I T 形 态 带 来 了 巨 大 变 化 ， 线 下 业 务 线 上 化 、 数 据 服 务 外 部 化 等 均 对 企 业 的 业 务 风 险 控 制 提 出 了 更 高 的 要 求 。 移 动 安 全 的 整 体 攻 防 态 势 也 在 发 生 着 深 刻 的 变 化 ， 以 人 脸 识 别 绕 过 为 代 表 的 技 术 化 攻 击 及 风 控 绕 过 技 术 正 在 对 企 业 的 业 务 安 全 产 生 着 深 远 的 影 响 。 二 、 二 、   2 0 2 0 移 动 安 全 生 态 变 化 移 动 安 全 生 态 变 化 基 于 基 于 M 1 芯 片 的 芯 片 的 M a c O S 对 移 动 安 全 的 影 响 对 移 动 安 全 的 影 响 2 0 2 0 年 1 1 月 1 1 日 ， 苹 果 发 布 了 M a c 专 用 的 芯 片 M 1 ， 不 同 于 以 往 我 们 对 电 脑 处 理 器 的 理 解 ， M 1 是 一 个 类 似 于 手 机 S o C 的 整 合 型 芯 片 ， 包 括 C P U 、 G P U 、 N P U 、 I S P 、 缓 存 等 等 模 块 ， 都 被 苹 果 整 合 到 了 一 起 。 凭 借 A R M 架 构 的 先 天 优 势 ， M 1 芯 片 的 能 耗 表 现 绝 对 要 优 于 X 8 6 。 而 且 ， 在 搭 载 M 1 芯 片 的 新 M a c 上 可 以 直 接 运 行 i O S 上 的 应 用 。 如 此 一 来 ， 在 M a c 上 用 户 和 程 序 都 允 许 获 得 系 统 R o o t 权 限 ，   i O S   A p p 数 据 在 m a c O S 层 不 受 保 护 ， 意 味 着 每 台 苹 果 电 脑 都 可 能 成 为 一 个 黑 产 的 温 床 ， 在 苹 果 电 脑 上 进 行 批 量 多 开 、 代 理 、 打 码 接 码 等 操 作 将 易 如 反 掌 ， 传 统 的 黑 产 工 具 可 以 发 挥 重 大 作 用 。 新 版 本 的 M 1 芯 片 的 m a c O S 出 现 ， 则 天 然 提 供 了 大 号 模 拟 器 的 环 境 ， 而 且 在 电 脑 上 就 可 以 对 应 用 进 行 多 开 。 攻 击 者 可 以 在 M a c O S 上 任 意 对 应 用 进 行 h o o k 、 多 开 ， 甚 至 执 行 任 意 的 非 法 脚 本 和 函 数 。 可 以 说 ， 无 论 是 对 黑 灰 产 、 风 控 还 是 安 全 研 究 ， A R M 芯 片 在 桌 面 消 费 市 场 真 正 的 应 用 带 来 的 影 响 都 是 颠 覆 性 的 。 隐 私 合 规 对 移 动 安 全 生 态 的 影 响 隐 私 合 规 对 移 动 安 全 生 态 的 影 响 隐 私 合 规 的 强 力 推 进 ， 使 得 数 据 采 集 进 一 步 受 限 ， 当 前 无 论 是 高 敏 感 信 息 还 是 一 般 敏 感 信 息 的 采 集 都 非 常 谨 慎 ， 比 如 设 备 硬 件 信 息 、 位 置 信 息 、 通 讯 录 、 应 用 安 装 列 表 等 。 依 据 当 前 规 定 ， 所 有 采 集 的 信 息 必 须 说 明 使 用 目 的 ， 一 些 攻 击 者 能 够 直 接 通 过 隐 私 合 规 申 明 了 解 应 用 自 身 存 在 的 安 全 措 施 及 相 关 的 程 序 代 码 。 依 照 规 定 ， 不 得 因 为 未 授 权 而 拒 绝 使 用 ， 这 导 致 部 分 A P P 在 实 际 运 行 过 程 中 面 临 黑 产 攻 击 时 ， 往 往 由 于 授 权 时 被 拒 绝 掉 绝 大 部 分 的 权 限 而 不 能 被 跟 踪 和 分 析 ， 给 攻 击 溯 源 、 分 析 造 成 困 难 。 传 统 设 备 指 纹 地 位 的 逐 步 淡 化 传 统 设 备 指 纹 地 位 的 逐 步 淡 化 设 备 指 纹 的 安 全 及 运 营 地 位 正 在 逐 步 降 低 ， 随 着 操 作 系 统 的 安 全 性 及 隐 私 保 护 能 力 的 提 升 、 隐 私 合 规 导 致 主 观 采 集 信 息 的 减 少 以 及 攻 击 者 主 动 进 行 拒 绝 权 限 及 篡 改 参 数 ， 设 备 指 纹 在 抗 攻 击 层 面 安 全 性 逐 步 降 低 ， 设 备 指 纹 的 核 心 风 控 参 数 地 位 正 在 逐 步 变 成 一 个 辅 助 风 控 参 数 指 标 。 人 脸 识 别 绕 过 等 前 端 技 术 化 攻 击 态 势 加 剧 人 脸 识 别 绕 过 等 前 端 技 术 化 攻 击 态 势 加 剧
2 0 2 0 年 人 脸 识 别 绕 过 技 术 成 为 黑 、 灰 产 的 通 用 普 适 性 攻 击 技 术 。 截 止 目 前 ， 国 内 大 型 金 融 、 运 营 商 、 政 府 等 移 动 应 用 均 遭 受 过 人 脸 识 别 绕 过 攻 击 ， 给 业 务 安 全 带 来 严 重 影 响 。 如 下 图 所 示 ， 人 脸 识 别 绕 过 攻 击 发 生 的 根 源 仍 然 在 于 移 动 人 脸 识 别 绕 过 攻 击 发 生 的 根 源 仍 然 在 于 移 动 应 用 前 端 数 据 造 假 及 业 务 逻 辑 劫 持 绕 过 。 应 用 前 端 数 据 造 假 及 业 务 逻 辑 劫 持 绕 过 。 目 前 手 机 A P P 的 人 脸 认 证 过 程 ， 前 端 S D K 做 完 活 体 检 测 后 ， 截 取 视 频 照 片 ， 发 往 服 务 端 ， 进 行 人 证 信 息 的 比 对 ， 在 这 个 过 程 中 有 多 种 技 术 化 方 式 进 行 人 脸 攻 击 （ 此 处 未 列 举 面 具 等 物 理 攻 击 ） ： 1 、 传 输 层 抓 包 ： 攻 击 方 式 ： 在 照 片 数 据 传 输 过 程 中 进 行 抓 包 ， 将 照 片 替 换 成 为 攻 击 者 指 定 的 照 片 ； 攻 击 难 度 ： ☆ ☆ ☆         攻 击 复 用 度 ： ☆ ☆             监 测 难 度 ： ☆ ☆ 2 、 应 用 函 数 劫 持 ： 攻 击 方 式 ： 对 A P P 内 部 的 关 键 函 数 调 用 关 系 进 行 H O O K 劫 持 ， 做 完 活 体 检 测 后 ， 在 数 据 包 发 送 之 前 进 行 照 片 替 换 ， 换 为 攻 击 者 指 定 照 片 ； 攻 击 难 度 ： ☆ ☆ ☆         攻 击 复 用 度 ： ☆ ☆ ☆       监 测 难 度 ： ☆ ☆ ☆ ☆ 3 、 系 统 函 数 劫 持 ： 攻 击 方 式 ： A P P 人 脸 识 别 S D K 模 块 调 用 系 统 摄 像 头 A P I 接 口 过 程 中 被 劫 持 ， 从 本 地 选 择 照 片 或 视 频 传 入 ； 攻 击 难 度 ： ☆ ☆ ☆ ☆       攻 击 复 用 度 ： ☆ ☆ ☆ ☆     监 测 难 度 ： ☆ ☆ ☆ 4 、 底 层 摄 像 头 驱 动 篡 改 （ 定 制 R O M ） ： 攻 击 方 式 ： 篡 改 底 层 摄 像 头 驱 动 ， 重 新 定 制 一 个 攻 击 R O M ， 彻 底 从 代 码 层 改 变 执 行 逻 辑 ， 不 执 行 拍 照 过 程 ， 采 用 已 拍 好 照 片 或 视 频 ； 攻 击 难 度 ： ☆ ☆ ☆ ☆ ☆     攻 击 复 用 度 ： ☆ ☆ ☆ ☆ ☆   监 测 难 度 ： ☆ ☆ ☆ ☆ ☆ 三 、 三 、   移 动 业 务 安 全 面 临 的 新 挑 战 分 析 移 动 业 务 安 全 面 临 的 新 挑 战 分 析 金 融 机 构 数 字 化 转 型 下 移 动 业 务 形 态 的 变 化 金 融 机 构 数 字 化 转 型 下 移 动 业 务 形 态 的 变 化 目 前 许 多 企 业 逐 步 将 自 己 的 线 下 业 务 迁 移 到 线 上 ， 传 统 线 下 业 务 线 上 化 后 ， 原 有 基 于 柜 面 业 务 的 人 控 机 制 逐 步 被 打
破 ， 很 多 业 务 逐 步 转 化 为 技 术 控 制 ， 如 识 别 是 否 是 本 人 交 易 ， 从 传 统 的 柜 面 人 工 核 验 ， 转 化 为 线 上 人 脸 识 别 比 对 ， 突 破 地 域 限 制 ， 给 攻 击 者 创 造 了 极 为 便 捷 的 条 件 。 此 外 ， 传 统 的 业 务 基 本 在 自 身 的 相 对 可 信 环 境 下 运 行 ， 如 开 户 、 交 易 等 均 在 自 有 A P P 中 完 成 ， 随 着 数 据 和 服 务 的 对 外 开 放 ， 业 务 往 往 需 要 借 助 S D K / H 5 等 形 态 寄 生 在 第 三 方 的 不 可 控 环 境 中 运 行 。 业 务 缺 陷 仍 然 是 移 动 业 务 安 全 的 重 大 风 险 业 务 缺 陷 仍 然 是 移 动 业 务 安 全 的 重 大 风 险 当 前 ， 业 务 缺 陷 仍 然 是 构 成 移 动 业 务 安 全 的 最 大 风 险 ， 攻 击 者 通 过 渗 透 测 试 挖 掘 移 动 应 用 漏 洞 ， 从 而 绕 过 现 有 的 常 规 安 全 控 制 机 制 ， 主 要 体 现 在 以 下 方 面 ： （ 1 ） 业 务 类 型 丰 富 ： 随 着 线 上 业 务 的 逐 步 丰 富 ， 新 业 务 模 块 的 不 断 增 加 ， 带 来 的 业 务 漏 洞 风 险 也 在 不 断 增 大 ； （ 2 ） 版 本 迭 代 加 快 ： 业 务 的 频 繁 更 替 ， 对 移 动 应 用 的 版 本 发 布 频 率 提 出 了 更 高 的 要 求 ， 安 全 测 试 工 作 无 法 有 效 跟 进 ； （ 3 ） 黑 盒 渗 透 技 术 进 一 步 完 善 和 成 熟 ： 非 脱 壳 渗 透 测 试 技 术 的 广 泛 使 用 和 H t t p s 及 内 层 对 称 加 密 破 解 手 段 标 准 化 。 业 务 安 全 防 御 手 段 正 在 面 临 挑 战 业 务 安 全 防 御 手 段 正 在 面 临 挑 战 在 过 去 的 5 年 中 ， 绝 大 部 分 的 企 业 已 经 建 立 了 基 于 规 则 、 模 型 的 业 务 风 控 / 反 欺 诈 系 统 等 业 务 安 全 防 护 类 系 统 ， 用 于 抵 御 黑 产 、 薅 羊 毛 等 业 务 安 全 问 题 。 然 而 ， 业 务 安 全 防 护 类 系 统 是 一 个 偏 重 于 后 端 的 系 统 ， 通 过 收 集 前 端 的 设 备 、 系 统 、 行 为 、 交 易 数 据 ， 通 过 规 则 和 模 型 判 断 交 易 的 异 常 情 况 。 事 实 证 明 ， 在 缺 乏 前 端 安 全 监 控 与 防 御 的 情 况 下 ， 前 端 数 据 造 假 已 经 成 功 欺 骗 后 端 业 务 安 前 端 数 据 造 假 已 经 成 功 欺 骗 后 端 业 务 安 全 系 统 。 全 系 统 。 攻 击 与 防 御 发 展 不 均 衡 攻 击 与 防 御 发 展 不 均 衡 移 动 攻 击 产 业 链 的 分 工 较 为 细 致 ， “ 商 业 模 式 ” 清 晰 ， 目 前 已 经 形 成 了 自 我 成 长 和 进 化 的 产 业 链 ， 主 要 体 现 在 以 下 几 个 方 面 ： （ 1 ） 基 础 攻 击 工 具 及 漏 洞 挖 掘 等 基 础 工 作 由 专 门 人 员 完 成 。 （ 2 ） 辅 料 的 售 卖 和 租 赁 ： 卡 、 机 、 I P 、 身 份 信 息 。 （ 3 ） 利 益 变 现 ： 薅 羊 毛 > 信 息 窃 取 （ 电 信 诈 骗 ） > 三 方 支 付 购 买 道 具 > 直 接 资 金 窃 取 。 （ 4 ） 目 标 寻 找 ： 攻 击 目 标 的 选 择 往 往 呈 现 出 “ 水 往 低 处 流 ” 的 趋 势 ， 有 限 选 取 安 全 能 力 较 弱 的 客 户 进 行 尝 试 。 金 融 行 业 作 为 信 息 安 全 的 排 头 兵 ， 安 全 防 护 的 制 度 和 技 术 措 施 已 经 较 为 领 先 ， 但 是 仍 然 面 临 以 下 几 个 困 境 ： （ 1 ） 安 全 的 木 桶 效 应 决 定 了 防 御 的 难 度 大 于 攻 击 ； （ 2 ） 安 全 的 发 展 已 经 逐 步 从 “ 安 全 工 具 ” 到 “ 工 具 + 能 力 ” 的 转 变 ， 很 多 的 安 全 技 术 措 施 必 须 依 赖 于 正 确 的 策 略 配 置 和 正 确 的 使 用 方 式 ； （ 3 ） 数 字 化 转 型 导 致 的 风 险 增 加 与 安 全 预 算 的 增 加 不 成 正 比 ； （ 4 ） 行 业 间 尚 未 形 成 较 好 的 威 胁 情 报 共 享 体 系 （ 目 前 人 民 银 行 正 在 搭 建 威 胁 情 报 共 享 平 台 ） 。 移 动 应 用 运 行 过 程 不 可 控 移 动 应 用 运 行 过 程 不 可 控 在 移 动 业 务 安 全 面 临 的 挑 战 中 ， 还 有 一 个 比 较 大 的 挑 战 就 是 移 动 应 用 运 行 过 程 不 可 控 ， 主 要 体 现 在 4 个 方 面 ： （ 1 ） 终 端 设 备 不 可 控 ： 终 端 设 备 上 的 移 动 运 用 运 行 环 境 是 否 是 客 户 业 务 场 景 允 许 运 行 的 环 境 ， 如 ： 模 拟 器 、 多 开 器 、 群 控 、 云 手 机 、 m a c O S 等 。
（ 2 ） 前 端 逻 辑 不 可 控 ： 对 于 某 些 重 要 的 逻 辑 ， 是 否 真 正 按 照 预 定 的 期 望 正 确 执 行 ， 如 O C R 识 别 逻 辑 、 活 体 检 测 逻 辑 、 前 端 校 验 逻 辑 等 。 （ 3 ） 前 端 数 据 不 可 控 ： 从 前 端 采 集 的 数 据 ， 是 否 是 真 实 数 据 或 者 是 否 按 照 正 常 业 务 逻 辑 采 集 的 数 据 ， 如 ： 设 备 信 息 、 位 置 信 息 、 人 脸 信 息 、 图 片 信 息 等 。 （ 4 ） 前 端 程 序 不 可 控 ： 程 序 目 前 正 在 发 起 请 求 的 是 否 是 真 实 的 官 方 客 户 端 程 序 ， 第 三 方 代 码 是 否 按 照 预 定 期 望 合 规 执 行 ， 如 盗 版 仿 冒 客 户 端 请 求 、 模 拟 协 议 请 求 、 第 三 方 S D K 热 更 新 恶 意 代 码 、 第 三 方 S D K 违 规 采 集 敏 感 数 据 等 。 四 、 四 、   技 术 与 业 务 双 轮 驱 动 的 业 务 风 控 升 级 技 术 与 业 务 双 轮 驱 动 的 业 务 风 控 升 级 风 控 的 基 本 类 型 可 分 为 三 类 ， 分 别 是 业 务 风 控 （ 也 叫 交 易 风 控 ） 、 信 贷 风 控 和 合 规 风 控 。 业 务 风 控 常 用 于 在 注 册 、 支 付 、 购 买 等 交 易 环 节 进 行 风 险 控 制 ， 用 于 防 止 信 息 泄 露 、 资 金 窃 取 、 薅 羊 毛 等 业 务 欺 诈 行 为 ； 信 贷 风 控 常 用 于 在 信 贷 环 节 的 贷 前 、 贷 中 、 贷 后 进 行 风 险 控 制 ， 用 于 控 制 信 贷 坏 账 率 的 规 模 及 发 生 概 率 ； 合 规 风 控 常 用 于 在 新 业 务 及 新 功 能 开 拓 前 进 行 合 规 风 险 评 估 ， 用 于 控 制 新 业 务 及 功 能 的 法 律 及 监 管 合 规 ， 技 术 化 攻 击 的 重 点 则 发 生 在 业 务 风 控 及 信 贷 风 控 中 ， 也 是 目 前 企 业 风 控 能 力 提 升 的 重 点 方 向 。 传 统 企 业 的 业 务 风 控 防 范 重 点 在 于 灰 产 ， 如 批 量 刷 单 、 开 卡 、 薅 羊 毛 、 电 信 诈 骗 等 ， 但 对 于 黑 客 及 违 规 风 险 防 范 不 足 ， 如 黑 客 攻 击 层 面 ： 渗 透 测 试 及 漏 洞 挖 掘 、 应 用 破 解 和 调 试 攻 击 等 ， 业 务 违 规 层 面 ： 违 规 打 卡 、 违 规 签 到 以 及 违 规 巡 检 等 。 传 统 业 务 业 务 驱 动 下 的 风 控 基 本 模 型 如 下 图 所 示 ， 风 控 系 统 综 合 前 端 采 集 数 据 （ 设 备 基 础 信 息 、 网 络 I P 地 址 信 息 、 地 理 位 置 信 息 、 音 视 频 信 息 ） 、 业 务 交 易 数 据 （ 手 机 号 、 账 号 、 交 易 类 型 、 交 易 金 额 、 收 获 地 址 ） 和 第 三 方 数 据 （ 运 营 商 数 据 、 安 全 厂 商 情 报 数 据 、 互 联 网 厂 商 数 据 、 公 安 、 人 民 银 行 等 官 方 数 据 ） ， 综 合 评 估 交 易 的 风 险 状 况 ， 并 进 行 风 险 决 策 。 而 术 化 攻 击 手 段 对 传 统 风 控 最 大 的 挑 战 在 于 ， 前 端 数 据 造 假 从 而 导 致 风 控 规 则 及 模 型 失 效 。 如 依 赖 于 G P S 坐 标 信 息 来 判 断 用 户 是 否 在 常 规 交 易 地 点 ， 但 这 种 信 息 在 前 端 造 假 后 极 容 易 伪 造 出 在 常 规 交 易 地 点 而 欺 骗 风 控 。 近 年 来 ， 针 对 A P P 、 S D K 、 H 5 等 前 端 应 用 的 技 术 化 攻 击 方 式 不 断 发 展 ， 攻 击 方 式 及 技 术 路 线 成 熟 ， 如 下 图 所 示 ：
传 统 的 业 务 驱 动 的 风 控 系 统 在 技 术 化 攻 击 的 背 景 下 ， 需 要 在 进 行 风 控 系 统 升 级 时 纳 入 技 术 风 险 维 度 的 判 断 依 据 。 在 技 术 与 业 务 双 轮 驱 动 下 的 业 务 风 控 逻 辑 架 构 如 下 图 所 示 ： 图 3   业 务 风 控 逻 辑 架 构 技 术 风 险 分 析 引 擎 通 过 前 端 的 设 备 、 系 统 环 境 、 运 行 时 攻 击 、 用 户 行 为 、 应 用 及 进 程 风 险 等 多 个 维 度 ， 综 合 分 析 当 前 交 易 设 备 的 风 险 等 级 及 风 险 评 分 ， 同 时 业 务 风 险 分 析 引 擎 通 过 用 户 账 户 、 用 户 交 易 等 多 个 维 度 ， 综 合 分 析 当 前 交 易 的 业 务 风 险 等 级 及 业 务 风 险 评 分 。 业 务 风 控 系 统 的 交 易 处 置 决 策 引 擎 综 合 技 术 、 业 务 的 分 析 结 果 ， 决 策 当 前 交 易 的 处 置 方 式 。 在 业 务 与 技 术 的 双 轮 驱 动 下 ， 企 业 的 业 务 安 全 能 力 能 够 走 上 一 个 新 的 台 阶 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理