搜索

[8035] 2014-05-21_2014上半年国内安卓银行应用隐私泄露和安全隐患研究报告

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2014-05-21_2014上半年国内安卓银行应用隐私泄露和安全隐患研究报告 2 0 1 4 上 半 年 国 内 安 卓 银 行 应 用 隐 私 泄 露 和 安 全 隐 患 研 究 报 告 F r e e B u f   2 0 1 4 - 0 5 - 2 1 作 者   t o f r e e b u f 2 0 1 4 年 是 中 国 国 际 互 联 网 成 立 至 今 的 第 2 0 周 年 。 移 动 通 信 技 术 的 快 速 发 展 导 致 移 动 设 备 的 数 量 呈 指 数 级 增 长 ， 2 0 1 4 年 手 机 网 民 大 概 有 5 亿 人 。 手 机 病 毒 的 指 数 级 增 长 无 疑 是 移 动 安 全 的 爆 发 点 ， 具 体 表 现 在 移 动 支 付 安 全 是 移 动 互 联 网 新 的 挑 战 。 新 的 移 动 应 用 和 新 功 能 , 如 网 上 银 行 、 游 戏 、 和 手 机 收 费 等 ， 为 用 户 带 来 了 私 人 隐 私 泄 露 等 安 全 风 险 。 目 前 大 多 数 银 行 使 用 自 己 开 发 的 移 动 应 用 软 件 来 运 行 移 动 金 融 业 务 来 为 客 户 提 供 移 动 金 融 服 务 。 不 幸 的 是 ， 由 于 缺 少 规 范 的 安 全 监 管 标 准 和 流 程 ， 许 多 银 行 不 能 对 其 应 用 软 件 充 分 执 行 必 要 的 安 全 性 测 试 ， 结 果 导 致 许 多 银 行 移 动 应 用 可 能 会 在 不 知 不 觉 的 情 况 下 将 重 要 的 数 据 信 息 暴 露 给 黑 客 ， 将 使 用 应 用 的 银 行 客 户 置 于 风 险 之 中 。 为 了 更 好 地 对 国 内 银 行 的 移 动 应 用 的 安 全 现 状 做 全 方 面 的 调 研 和 评 估 ， 移 动 互 联 网 安 全 公 司 V i s u a l T h r e a t 在 2 0 1 4 年 上 半 年 度 收 集 了 国 内 近 8 0 家 银 行 开 发 的 移 动 银 行 应 用 ， 通 过 为 每 一 款 手 机 应 用 生 成 详 细 的 风 险 分 析 报 告 和 计 算 对 应 的 安 全 认 证 分 数 ( M o b i l e T h r e a t C e r t ) ， 对 全 部 应 用 进 行 了 安 全 性 的 量 化 评 估 ， 最 终 基 于 结 果 得 出 了 银 行 应 用 的 安 全 排 名 。 报 告 的 安 全 评 估 内 容 主 要 分 为 用 户 隐 私 泄 漏 和 安 全 隐 患 两 个 方 面 。 这 份 报 告 是 就 我 们 所 知 的 到 目 前 为 止 针 对 银 行 安 卓 应 用 覆 盖 面 最 广 的 研 究 报 告 之 一 。 报 告 摘 要 ： 报 告 摘 要 ： 每 1 0 个 安 卓 银 行 应 用 中 有 6 个 具 有 中 度 到 高 度 隐 私 泄 露 风 险
从 个 人 用 户 而 言 ， 隐 私 信 息 泄 露 是 用 户 最 关 心 的 。 在 收 集 的 近 8 0 家 国 内 银 行 的 手 机 银 行 应 用 中 , V i s u a l T h r e a t 发 现 超 过 6 5 % 的 应 用 存 在 中 度 到 高 度 隐 私 泄 漏 问 题 。 这 个 数 字 与 我 们 之 前 的 调 研 结 果 吻 合 ： 大 部 分 安 卓 应 用 商 店 只 有 有 限 的 或 甚 至 没 有 安 全 验 证 ， 导 致 应 用 商 店 里 的 大 量 流 行 的 安 卓 应 用 都 存 在 有 潜 在 威 胁 的 风 险 。 隐 私 泄 露 风 险 评 估 矩 阵 隐 私 泄 露 风 险 评 估 矩 阵 研 究 人 员 定 义 了 5 个 危 险 行 为 类 型 ： 数 据 泄 漏 、 短 信 活 动 、 文 件 操 作 、 监 视 和 网 络 活 动 。 在 此 基 础 上 ， 为 每 一 个 移 动 应 用 生 成 一 份 详 细 的 应 用 隐 私 泄 露 风 险 分 析 报 告 ， 并 计 算 出 对 应 M o b i l e T h r e a t C e r t 值 ， 用 1 到 1 0 0 之 间 的 数 字 去 指 示 应 用 程 序 的 安 全 指 数 。 安 全 隐 患 风 险 评 估 矩 阵 安 全 隐 患 风 险 评 估 矩 阵 安 全 隐 患 包 括 3 个 方 面 : 数 据 存 储 安 全 、 功 能 安 全 和 代 码 安 全 。 之 所 以 选 择 这 三 点 ， 因 为 它 们 是 移 动 应 用 安 全 隐 患 检 测 最 基 本 的 方 面 。 这 几 点 的 安 全 验 证 代 表 了 移 动 应 用 软 件 安 全 开 发 的 水 平 。 这 些 方 面 做 不 好 ， 其 他 更 高 级 的 保 护 措 施 也 无 从 谈 起 。 我 们 后 续 的 报 告 里 将 包 括 更 多 的 安 全 隐 患 评 测 点 。 隐 私 泄 露 隐 私 泄 露 : 排 名 最 前 和 垫 底 的 银 行 排 名 最 前 和 垫 底 的 银 行 根 据 应 用 中 数 据 泄 露 行 为 点 的 多 少 和 严 重 性 程 度 以 及 安 全 认 证 分 数 ， 我 们 评 出 了 2 0 1 4 年 上 半 年 度 隐 私 泄 露 最 少 和 最 严 重 的 银 行 应 用 ， 标 注 为 “ 最 靠 前 和 垫 底 的 银 行 排 名 ” 。 这 个 排 名 信 息 可 以 帮 助 用 户 在 选 择 和 使 用 银 行 移 动 应 用 时 作 为 参 考 对 用 户 的 隐 私 泄 露 最 少 的 银 行 ， 暨 A p p S e c u r i t y   C e r t i f i c a t e 金 牌 认 证 得 主 有 两 家 ， 分 别 是 香 港 的 恒 生 银 行 和 澳 门 的 永 亨 银 行 。 第 二 梯 队 的 银 牌 得 主 是 哈 尔 滨 银 行 。 铜 牌 获 得 者 是 齐 鲁 银 行 。 令 人 遗 憾 的 是 这 些 银 行 里 面 没 有 一 家 是 全 国 性 的 银 行 。 隐 私 泄 露 的 多 少 不 能 直 接 代 表 银 行 应 用 安 全 性 的 开 发 水 平 。 事 实 上 很 多 银 行 为 了 能 充 分 获 得 其 应 用 使 用 者 的 个 人 隐 私 信 息 和 手 机 信 息 ， 主 动 地 在 应 用 开 发 代 码 中 收 集 过 多 的 用 户 个 人 信 息 ， 并 把 这 些 信 息 提 交 到 银 行 的 云 服 务 数 据 库 去 ， 建 立 用 户 的 档 案 ， 方 便 以 后 的 服 务 推 广 和 广 告 精 准 投 放 。 香 港 和 澳 门 的 金 融 管 制 政 策 比 内 地 更 严 厉 一 些 ， 所 以 它 们 位 居 榜 首 也 是 情 理 之 中 。 排 名 垫 底 的 银 行 也 有 三 个 梯 队 ， 分 别 是 成 都 农 商 银 行 ， 用 户 隐 私 泄 露 风 险 最 为 严 重 。 其 次 是 贵 阳 银 行 ， 第 三 梯 队 有 三 家 ， 分 别 是 广 发 银 行 、 中 国 民 生 银 行 和 泉 州 银 行 。
研 究 人 员 归 纳 出 两 点 来 解 释 隐 私 泄 露 严 重 的 原 因 。 第 一 ， 应 用 开 发 人 员 的 安 全 防 范 意 识 和 水 平 ； 第 二 ， 银 行 对 用 户 个 人 信 息 非 常 感 兴 趣 ， 采 用 主 动 收 集 的 方 式 。 一 个 有 趣 的 现 象 是 ， 除 了 民 生 银 行 ， 其 他 银 行 都 是 属 于 南 方 系 。 2 0 1 3 年 9 月 ， 乌 云 漏 洞 报 告 平 台 曾 公 开 了 民 生 银 行 安 卓 应 用 的 漏 洞 ， 称 该 漏 洞 可 导 致 民 生 银 行 A n d r o i d 客 户 端 敏 感 信 息 泄 露 。 安 全 隐 患 安 全 隐 患 : 排 名 最 前 和 垫 底 的 银 行 排 名 最 前 和 垫 底 的 银 行 根 据 应 用 中 最 基 本 安 全 隐 患 的 多 少 和 严 重 性 程 度 ， 我 们 评 出 了 2 0 1 4 年 上 半 年 度 安 全 隐 患 最 少 和 最 多 的 银 行 及 其 应 用 ， 标 注 为 “ 最 靠 前 和 垫 底 的 银 行 排 名 ” 安 全 隐 患 最 少 的 A p p   S e c u r i t y   C e r t i f i c a t e 金 牌 得 主 是 上 海 银 行 （ 上 海 不 愧 为 中 国 金 融 业 最 发 达 的 地 区 ） 。 第 二 梯 队 比 较 多 ， 有 六 家 ， 分 别 是 中 信 银 行 （ 全 国 性 银 行 ） ， 天 津 银 行 ， 汉 口 银 行 ， 澳 门 永 亨 银 行 ， 成 都 农 商 银 行 和 广 东 南 粤 银 行 。 铜 牌 获 得 者 有 四 家 ， 它 们 是 华 夏 银 行 ， 广 发 银 行 ， 昆 仑 银 行 和 中 国 农 业 银 行 。 令 人 欣 慰 的 是 这 些 银 行 里 面 包 括 了 农 行 ， 中 信 等 规 模 较 大 的 全 国 性 银 行 。 广 发 银 行 和 成 都 农 商 银 行 虽 然 在 前 一 轮 的 隐 私 泄 露 保 护 做 的 不 理 想 ， 但 是 在 这 轮 的 安 全 隐 患 方 面 还 是 相 当 给 力 的 。 澳 门 永 亨 银 行 继 续 保 持 其 安 全 典 范 ， 这 轮 又 再 次 跻 身 进 银 牌 阵 列 。 汉 口 银 行 ， 广 东 南 粤 银 行 和 昆 仑 银 行 做 为 小 规 模 的 地 区 性 银 行 在 安 全 方 面 非 常 加 分 。 中 国 农 行 在 全 国 性 银 行 里 素 有 稳 健 的 风 格 ， 在 安 全 方 面 做 的 也 毫 不 逊 色 。
排 名 垫 底 的 银 行 有 三 个 ， 分 别 是 民 生 银 行 ， 杭 州 银 行 和 浙 江 稠 州 商 业 银 行 。 浙 江 省 区 域 银 行 占 了 2 个 名 额 。 下 面 这 张 图 是 手 机 银 行 安 全 隐 患 分 数 分 布 图 ， 前 2 个 都 民 生 银 行 的 手 机 应 用 。 结 束 语 结 束 语 移 动 时 代 ， 应 用 为 王 ！ 平 台 从 浏 览 器 转 变 到 独 立 运 行 的 移 动 应 用 ;   应 用 将 代 替 网 站 成 为 移 动 互 联 网 的 入 口 。 手 机 病 毒 的 爆 发 刚 刚 开 始 ， 今 后 几 年 我 们 将 会 看 到 大 量 的 手 机 病 毒 自 动 制 造 工 具 ， 高 级 变 异 病 毒 的 出 现 。 同 时 大 量 企 业 由 于 I T 架 构 的 改 变 而 将 服 务 部 署 到 手 机 上 ， 加 上 企 业 数 据 和 用 户 私 人 数 据 的 混 杂 和 手 机 的 随 身 携 带 性 ， 使 得 手 机 安 全 战 场 更 加 硝 烟 弥 漫 。 我 们 希 望 读 者 除 了 借 助 外 部 安 全 厂 商 的 工 具 进 行 保 护 之 外 ， 自 身 还 要 养 成 对 个 人 数 据 保 护 的 敏 感 性 ， 内 外 兼 修 ， 才 能 达 到 良 好 的 保 护 效 果 。 声 明 声 明 本 报 告 采 用 公 开 、 合 法 的 信 息 ， 由 V i s u a l T h r e a t 信 息 安 全 司 的 研 究 人 员 运 用 相 应 的 研 究 方 法 ， 对 所 研 究 的 对 象 做 出 的 安 全 分 析 评 判 。 本 报 告 代 表 V i s u a l T h r e a t 观 点 ， 仅 供 读 者 参 考 ， 并 不 构 成 任 何 建 议 。 相 关 银 行 或 者 用 户 须 根 据 情 况 自 行 判 断 ， V i s u a l T h r e a t 对 银 行 品 牌 影 响 和 用 户 的 使 用 行 为 不 负 任 何 责 任 。 V i s u a l T h r e a t 公 司 力 求 信 息 的 完 整 和 准 确 ， 但 是 并 不 保 证 信 息 的 完 整 性 和 准 确 性 .   报 告 中 提 供 的 数 据 、 观 点 、 文 字 等 信 息 不 构 成 任 何 法 律 证 据 不 代 表 官 方 机 构 意 见 。 如 果 对 报 告 数 据 有 异 议 ， 可 以 联 系 V i s u a l T h r e a t 公 司 。 如 果 报 告 中 的 研 究 对 象 发 生 变 化 ， 我 们 将 不 另 行 通 知 。 未 获 得 V i s u a l T h r e a t 公 司 的 书 面 授 权 ， 任 何 人 不 得 对 本 报 告 进 行 任 何 形 式 的 进 行 有 悖 原 意 的 删 节 和 修 改 。 如 引 用 、 刊 发 ， 需 注 明 出 处 为 “ V i s u a l T h r e a t 信 息 安 全 公 司 ” 。 查 看 完 整 报 告 ， 请 访 问 下 载 查 看 完 整 报 告 ， 请 访 问 下 载 h t t p : / / w w w . v i s u a l t h r e a t . c o m / i m a g e s / b l o g / 2 0 1 4 0 5 1 9 / b a n k _ s e c u r i t y _ r e p o r t . p d f 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理