移動支付真的安全嗎？
最近在悟空問答裡經常被小夥伴們邀請回答"移動支付是否安全的問題"今天我以本篇文章內容詳細解答一下，目前給大家帶來方便的"移動支付"是否安全？
近年來興起的移動支付， 是指用戶通過使用各類移動終端， 在各種消費場景中對商品或者服務， 進行賬戶支付的過程。 通常情況下，移動終端可以通過運營商提供的 GPRS 移動數據網絡、場所提供的 WiFi 網絡、基於 NFC 的近場通信環境等，向收單機構（如銀行、第三方支付公司等）發送支付請求，再通過傳統支付網絡和業務體系完成之後的結算，完成支付過程。移動支付的出現，極大的方便了人們的生活，加速了人們的消費節奏；手機變成錢包，想就買，變成了一種習慣。
那麼目前移動支付到底安不安全?當然"世界上沒有百分之百的安全，只有相對安全"。那麼我們分析一下移動支付到底存在哪些安全隱患？目前移動支付的安全體系架構是如何實現的？"以及作為我們自己應該如何保護自己的"個人隱私"和"錢袋"不被竊取？
一、 移動支付存在哪些安全風險隱患？
1.1、普通手機本地存儲內容沒有加密
普通手機通常沒有加密技術，手機裡的信息都是明文存儲，在支付過程中往往會容易造成信息洩露，這已成為移動支付發展的一大難題。用戶在使用手機進行支付時，未進行加密等安全措施保護，而黑客們通過釣魚網站或木馬程序就可以竊取用戶信息，將被移動支付功能進行非法複製，從而造成用戶的損失。
1.2、手機進行支付易接入不安全網絡
移動支付需要手機聯網，如今很多場所都部署了免費網絡，然而這些網絡很容易被罪犯劫持並監控，通過分析軟件竊取用戶個人資料、銀行賬戶、網絡支付賬戶密碼，實施資金的盜刷。
1.3、交易方的身份識別
手機支付須解決的一大問題就是對參與交易各方的身份識別，特別是商家和消費者合法身份的確認。由於移動支付將銀行、商家緊密聯繫，涉及現金的往來，如何解決合法身份認證就顯得尤為重要。
1.4、用戶登錄支付認證方式存在缺陷
目前，大部分金融支付機構均採取單一因素進行身份認證，無論是短信驗證碼認證、指紋認證、人臉識別等認證方式，都因為認證因素過於單一，而在安全性上得不到強有力的保障。
1.5、用戶易被惡意軟件矇蔽，安裝盜版軟件
由於安卓平臺的開放性，允許第三方應用加入，應用軟件很容易被盜版。這些盜版軟件中暗含信息竊取、流量消耗等惡意行為，用戶下載並安裝了這些惡意軟件，很可能造成個人隱私洩露、資金損失。
1.6、手機丟失
由於手機的便捷攜帶，也使得手機在日常生活中會出現頻繁丟失的情況，而移動支付通常是手機卡與銀行卡、信用卡相關聯，由此可能造成用戶在丟失手機後自己的移動支付帳戶被他人冒用的風險。
1.7、支付軟件自身存在漏洞，易被攻擊
移動應用在設計、開發、運行等過程中，由於開發人員技術水平參差不齊，很容易產生一些不可避免的漏洞，一旦被不法分子利用，就會導致手機軟件崩潰或者盜取用戶信息、賬號密碼，造成資金損失等安全事件。
1.8、簡單移動支付流程
移動支付是由銀行、商家、移動支付服務提供商、認證中心、用戶等多元素組成，該系統還與移動網絡運營商，移動網絡內容服務商，信用卡服務等其他機構產生業務往來，這樣一個龐大而複雜的移動支付產業鏈，其安全問題不僅只涉及其技術本身的安全防範，還會考慮到和其他系統之間的信息的安全傳遞。
二、目前移動支付的實現方式和安全體系架構？
1、移動支付的實現方式。
移動支付的實現方式主要有兩種： ①通過移動互聯網對業務後臺賬戶進行訪問和控制； ②通過近距離通信的無線技術將移動終端自帶的賬戶授權和指令傳遞出去。
1.1 遠程訪問方式。
這是最常見的移動支付方式， 即通過移動終端的瀏覽器或 app,訪問到遠程線上的業務後臺賬戶，對當前的線上或者線下消費利用賬戶進行在線支付。 用戶在移動支付遠程訪問具體使用過程中，有著豐富的實現方法，如在形成交易訂單後採用短信隨機碼查驗和輸入的方式作為最終的支付確認憑證，或者通過輸入賬號密碼直接完成支付授權，或者通過輸入銀行卡的特徵信息完成支付授權等等。
1.2 近距離通信方式。
在線下消費場景中， 目前最具應用前景和潛力的便是基於近距離通信的移動支付技術。
1.2.1 RF-SIM 卡技術。
RF-SIM,是射頻用戶識別模塊的英文縮寫，其自帶的 SIM卡模塊，可以有效實現短信電話通信這一類基礎業務需求。 此外，由於其擁有 RFID 射頻模塊，還能夠實施近距離的無線通信應用。 考慮到實際應用環境的有效性和安全性限制，支付場景的 RFID 最長採用 13.56MHz,有效通信距離在 10cm 以內。
此技術最大的優點是用戶更換一張 SIM 卡便可使用移動支付功能，而缺點是銀行普遍採用的 NFC 標準與當前運營商採用的 RF-SIM 技術存在一定的通信障礙。
1.2.2 雙界面 SIM 卡技術。
此技術最大的特點是，通過給 SIM 卡增加一個天線組件，便可是 SIM 卡裝載的手機具備近距離無線通信的移動支付能力。 最常見的方法是將 SIM 卡裝入一個具備天線組件的卡套內， 再將卡套裝入手機 （過程中可能需要對傳統 SIM 進行裁剪）。 其缺點是 SIM 卡的天線會佔用 OTA 接口，對電話語音通信信號產生影響，以及如果手機殼是金屬材質，將會對天線信號產生干擾或屏蔽，造成移動支付過程的通信障礙。
1.2.3 NFC 技術。
此技術是通過 RFID 技術演化而來的，移動支付則是 NFC的一個最主要的功能。 基於 NFC 的移動支付可以讓人們完全拋離銀行卡刷卡消費行為，通過手機或 NFC 設備近距離完成支付過程. NFC 技術有主動模式、被動模式、雙向模式三種工作模式， 目前的 Apple Pay 是世界範圍內應用最廣泛的 NFC移動支付業務方式。
2、移動支付安全體系架構分析與應用。
2.1移動支付的安全體系架構。
理論上，移動支付付的安全，可以包括實體安全、實體間互聯交互的安全，以及為實現實體、實體間互聯交互安全提供支撐的安全基礎這三部分。
實體是指移動支付數據傳輸與處理網絡中， 承擔著各種業務處理功能的邏輯組成體，例如：金融 IC 智能卡、移動終端、數據傳輸與處理系統等。 而實體間互聯交互，主要有：移動終端、金融 IC 智能卡、支付平臺、TSM 平臺、商戶平臺等實體之間的數據通信機制。 安全體系架構中的安全基礎，是為移動支付業務的整體安全，提供理論與技術保障（如目前國際範圍內的各種密鑰算法體系、各種功能密鑰的生命週期管控機制、數字證書加解密認證體系等）。 移動支付業務各實體之間的連接結構和邏輯拓撲如圖 1 所示。
由以上移動支付業務實體連接的邏輯拓撲圖， 我們可以將移動支付業務場景分為近場遠程支付業務和、支付業務、可信服務管理（TSM）三大類。
遠程支付業務：用戶，即消費者，通過智能移動終端攜帶的瀏覽器或支付應用軟件瀏覽和選定商品或服務後， 瀏覽器攜帶的支付插件或支付應用軟件，調用金融 IC 智能卡與後臺移動支付平臺系統連接，並實施支付過程。
近場支付業務： 是由用戶通過具備非接觸式功能的手機與 POS 終端的讀卡位置交互（如將手機的非接模塊位置靠近或者貼近讀卡位置等），並通過收單系統和清算組織的轉接系統完成支付過程。
可信服務管理（TSM）：該系統不直接提供移動支付的交易邏輯處理， 是向移動支付過程提供應用和介質的安全管理服務，它可歸為移動支付業務的核心基礎部分；通過手機等移動智能終端與 TSM 平臺進行數據交互， 對移動支付智能 IC卡上諸多應用實施遠程的即時管理， 其中包括： 生命週期管理、芯片個人化、嵌入式軟件下載等。
安全實體主要包括了移動終端安全、 金融智能 IC 卡安全、信息處理系統安全、支付應用軟件安全等。 針對這些實體，在移動支付業務過程中， 應當實現對使用者的身份信息進行認證識別和訪問控制， 以及確保交易過程中傳輸數據的機密性、完整性和不可抵賴性。
實體間互聯交互安全主要移動終端與移動支付平臺之間的連接安全、移動終端與商戶平臺之間的連接安全、移動終端與 TSM 平臺之間的連接安全、商戶平臺與支付平臺之間的連接安全、TSM 平臺與 TSM 平臺之間的連接安全。 移動支付過程中應當確保實體間互聯交互的傳輸安全， 傳輸數據應當選用諸如 TLS/SSL 等安全通道， 且過程中應當確保實現數字證書的雙向認證。
安全基礎則包括了密鑰管理、認證體系、密碼算法、安全基礎設施、電子憑證等。
密鑰管理是對移動支付業務過程中， 使用密鑰整個生命週期的管理，包括密鑰的生成、分發、存儲、備份、使用、更新、銷燬等，涉及對軟硬件系統的安全功能要求、機構實體的管理職責要求、以及貫穿整體過程的流程控制要求。
認證體系包括手機銀行電子認證服務和移動支付雙因素認證體系。 在認證體系中，涉及數據傳輸和身份鑑別的數字證書管理、數據存儲安全、數字證書的調用接口等，均為手機銀行安全的重要組成。
密碼算法，包括各類國際通用密碼算法（包括對稱密鑰、非對稱密鑰、摘要算法等）在移動支付業務過程中的應用和我國自主研發的國密算法的配用。 例如，針對移動支付業務的安全需求，採用對稱密鑰體系分別設計了智能 IC 卡類和傳輸類的密鑰部署方案，採用非對稱密鑰設計了客戶端、移動支付智能 IC 卡、支付處理平臺、商戶平臺、支付內容提供方系統等實體間身份認證方案。
安全基礎設施主要指 PKI 公鑰基礎設施的安全， 包括不同實體（如智能卡、TSM、支付應用軟件、商戶平臺、移動支付平臺等）間的認證過程要求，認證中心（CA）證書的申請、傳遞、驗證、廢止的全流程安全管理要求.
電子憑證是用於證明用戶消費的依據， 常見於通過移動支付交易產生的用戶退款， 此刻需要用戶提供支付時產生的電子憑證作為消費記錄依據。
2.2 移動支付的安全技術。
2.2.1 Hash 函數。
Hash 函 數 ,即摘要函數 ,是將任意長度的輸入字符串轉化成為固定長度的字符串，也稱為雜湊函數或散列函數。 若將Hash 函 數表示為 H,要進行變換的數字串表示為 M,則 摘要值為 S=H （M）。 這主要依賴於 Hash 函數是一個多對一的函數，可將不定長度的輸出數據處理後形成一個固定長度（通常很短）的摘要輸出，其重要作用就是能校驗輸入數據是否發生變化，用於確保傳輸消息的完整性。
2.2.2 身份認證技術。
身份認證的主要用途是確保消息擁有真是可靠的來源，通常在移動支付業務安全策略中， 平臺系統通過身份認證技術，對當前用戶的身份真實性進行識別。 身份認證系統，通常有三個主要過程：第一步是被驗證者出示有效身份憑證（如賬號和密碼、U 盾中的數據證書等）； 第二步是系統確定被驗證者的身份真實性；第三步是如果驗證未通過，則拒絕訪問資源。
2.2.3 公共基礎設施。
公鑰基礎設施（PKI Public Key Infrastructure）是一種以公鑰加密理論及相關技術為基礎的， 向用戶提供信息安全服務的基礎設施。 因此，通過該定義可見，PKI 的主要用途是管理數據通信過程中使用的密鑰和證書， 確保數據通信網絡處在安全可靠的通信環境中。 所以，它從技術實踐方面，有效解決了移動支付交易過程中身份驗證和訪問權限等問題， 為該過程提供了安全可靠的應用環境。 通過第三方證書認證中心（CA 中心），PKI 技術將用戶的公鑰和其他的標識信息關聯起來，對網絡數據通信傳統提供安全環境。 終端實體通常是支付端的使用者，也可能是通過身份驗證的實體。 CA 認證中心的主要工作是生成和發放數字證書， 同時對所生成和發放的證書進行管理；RA 註冊機構負責信息錄用、審核，以及數字證書的發放、管理等；證書存儲庫則是用於提供數字證書的部分使用方法，大多數情況下是數字證書的存取和吊銷列表方法。
2.2.4 數字簽名。
數字簽名是在待傳輸的數據中， 附加一些特定的驗證元素，或對待發送的信息進行一定程度的密碼變換。 消息或數據的接收者， 則通過這些元素或數據來確認收到消息或數據的安全性和完整性。 通常仲裁機構，將在發生糾紛時，依靠消息或數據中的數字簽名，來確認出消息貨數據的真實性。 因此，數字簽名擁有不可抵賴的特性， 也可以保證交易過程的完整性，即確保交易過程中的數據不被篡改。
2.2.5 密碼技術。
密碼技術主要研究信息加解密，以及如何實現密碼破譯。
通常密碼系統包含以下五個部分：明文空間 M、密文空間 C、密鑰空間 K、加密算法 E 以及解密算法 D. 而密碼技術主要有非對稱密碼和對稱密碼這兩種類型。 對於非對稱密碼，加密和解密使用的是相同算法，差異在使用的密鑰不同，由於私鑰是不能公開的， 因此只獲得密文的情況下， 是無法破解密文的。 同時，獲得密碼算法以及密鑰和密文中的其中一個，是無法確定或計算出另一個密鑰的。 而對稱密碼的密鑰是要嚴格保密的，因此只獲得密文的時，無法確定或計算出密鑰，也就無法獲得明文原文。
2.2.6 指紋支付技術。
常見的用於移動支付的生物識別技術是指紋支付技術，如支付寶、微信支付、京東支付都已採用基於 FIDO 協議的指紋支付方式。 該技術基於手機自帶的指紋識別模塊，對用戶的指紋信息進行採集和加密存儲， 在手機應用請求驗證使用者身份時，啟動指紋驗證程序，讓此刻的手機持有者按指紋進行識別， 通過後則向手機應用返回此刻的使用者是賬戶持有者本人，從而使得應用後臺完成支付的後續環節。
三、移動支付中的"黑色產業鏈"
黑色產業鏈示意圖
前不久特別流行一個名叫"微信支付大盜"的手機支付木馬，該木馬高度模仿真正的"微信"，誘騙用戶激活設備管理器，通過釣魚方式獲取用戶輸入的手機號、身份證號、銀行賬號等信息。同時該木馬還會在後臺截獲用戶的銀行驗證短信，並把這些信息發送到黑客指定的郵箱。
值得特別關注的是該木馬使用了"梆梆加固"的保護來逃避逆向分析和安全廠商病毒檢測。實驗室近期發現了多款病毒均使用第三方加固廠商提供的加殼服務，這已慢慢變成一種趨勢。加固服務提供商需要加強對待加固應用的安全審計，以免被惡意開發者利用。
病毒分析：
山寨版本 正版
通過對比我們可以發現，山寨微信和正版微信高度相似, 一般用戶根本無法區分。仔細觀察我們發現山寨微信無法識別用戶輸入的銀行卡號所屬銀行，而正版能識別出研究員輸入的銀行卡號為招商銀行儲蓄卡。
2、代碼脫殼對比：
加固過的病毒代碼
脫殼後的病毒代碼
病毒加殼後關鍵代碼全部被隱藏起來，給安全研究人員帶來了很大的分析難度。同時給病毒檢測也帶來了一定的難度。
3、木馬流程分析：
病毒組建功能及交互圖
獲取用戶儲蓄卡或信用卡信息
攔截用戶短信
4、山寨支付黑色產業鏈追蹤：
研究員在截獲的病毒樣本中發現了黑客用於發送用戶銀行信息的郵箱及密碼。
登錄郵箱後發現了大量已經被髮送的用戶銀行卡信息、以及被攔截的短信。
攔截的短信包括了用戶的銀行及支付驗證信息
根據郵箱中的接收郵件的地址，研究員進行了進一步調查。發現木馬作者克隆官方的手機網銀客戶端和支付工具，建立木馬交流群，對木馬進行免殺改造，把木馬出售給包馬人牟利。而這些包馬人通過論壇等渠道進行傳播，獲取用戶銀行信息後，又有專業的黑客清洗攔截資料，轉移用戶資金。這已經形成了一條完整的黑色產業鏈。
四、我們應該如何保護自己手機的"個人隱私"和"錢袋"不被竊取？
1.手機默認不開wifi，只使用家裡和辦公場所自建的wifi，iPhone 開啟詢問是否加入網絡，手機不存放個人信息如身份證、銀行卡號、某些密碼以及一些敏感照片：）；
2.不使用任何非自己的充電設備給自己手機充電，非個人充電寶使用需謹慎；Freebuf；
3.身份證不和銀行卡、手機放一起，市內通勤不帶身份證，很多app找回密碼功能需要驗證身份證 + 手機驗證碼；
4.用於辦理各種證件的身份證複印件請寫上"僅用於xxx用途，他用無效，日期簽名"，防止被用於惡意開戶，有些機構公司驗證並不嚴格，不是真人到場也可以開各種賬戶；
5.多個iOS設備不要用一個Apple ID 帳號；
6.手機收到的任何驗證碼都不要轉發出去，注意手機收到的莫名業務開通信息。
7.看見400打頭的電話一般都是詐騙，因為這種電話一般只用於呼入；
8.快捷支付只綁定錢財比較少的卡，需要時再轉賬充值；
9.安卓手機不要亂root，不要下載亂七八糟的應用；手機設置裡，關閉USB調試模式，增加通過電腦解鎖的難度；
10.收到各種電信電話信息以及社交網絡信息，要求借錢或者轉賬之類，一定要電話確認是本人，才採取進一步行動。
11.信用卡不建議設置（交易）密碼，國內政策是設置了（交易）密碼，自己負責信用卡丟失、盜刷風險，設置個短信通知提醒，每一筆錢划走都會發短信；可以將背面的三位cvv碼劃掉或者膠布遮住，避免洩露導致被盜刷，特別是境外網站只需要帳號、身份證號、cvv碼、過期時間就能刷信用卡。
12.儘量不要刷儲蓄卡，避免卡被複制，特別是一些小商店，要刷pos機儘量用信用卡
13.更有安全需要的人，可以把移動支付綁定的手機號設置為另一臺設備；
14.多個站點密碼不要雷同，不要設置弱密碼，推薦使用 keePass 生成並保存複雜密碼；
閱讀更多 信息安全我來講你來聽 的文章
