目前手机银行存在的安全问题主要是这两方面:
1.密码泄露
2.交易劫持
先说手机银行可能导致密码泄露因素:
1. 手机银行APP来源不正规,不正规的APP可能是模仿银行界面的钓鱼程序,诱导客户输入账号密码;也有可能是手机银行的反编译篡改版本,更改关键页面显示,诱导客户输入信息。
一般情况,银行大堂经理会帮客户安装,用户若要自己下载,要在正规的第三方store上下载。
2. 木马程序盗取密码,安卓权限的开发,是的一些APP可以通过截屏、录屏、获取触摸事件等方式盗取密码。
再说交易劫持,以转账为例:
每个转账请求有如下几个要素点:
#收款人
#收款人账号
#金额
#时间
#付款人
这些数据被打成数据包从手机银行APP加密传递到银行后台,银行后台根据这些数据,在收款人的账户上加上相应的金额,在付款人账户上划去等同的金额。如果被黑客劫持数据和破解,修改这些交易要素,在传到银行后台,银行后台就会执行一个错误的划账。例如红塔集团要转给昆明钢铁厂的1000万,你修改了收款人,转到你的账户上。
于是在转账过程中需要保证:
1.转账信息加密不被破解-
2.数据被破解后不会被修改
转账信息如何不被破解,我们在手机银行和银行后台都埋上一个秘钥(不是账户密码,单单只用来加密数据),传输的数据需要用这个秘钥来加密。但问题来了:
1. 银行第一次怎么把这个秘钥给客户?
2.给客户之后怎么保存?
3.黑客用超级计算机,无穷尽的尝试秘钥,破解。
网上发送同样会被黑客劫持,可以一对一当面给客户。客户转账时需要用,于是他可能导到APP里来,但是,由于前面说过的手机APP不安全,手机环境恶劣,被木马劫持了这个秘钥,信息就被破解。
人们想到一个方法,可以把这个秘钥放在外面的一个小设备里保存,但黑客还会穷举尝试推算出这个密码,所以人们更进一步,这个密码只能用一次!
这种设备就是OTP(One time password)
未完