從快錢錢包發(fā)展看移動支付安全姓名：王瑞軍昵稱：計算姬前任：綠盟上海分公司安全技術(shù)部現(xiàn)任：快錢支付清算有限公司安全中心老公：王思聰星座：處女&天蝎我移動支付市場現(xiàn)狀快錢錢包發(fā)展歷程移動安全問題總結(jié)2025/2/233幾種常見支付方式Web端（傳統(tǒng)網(wǎng)銀）Wap端（網(wǎng)頁銀行）微信端（微信銀行）APP端（手機銀行）NFC支付快刷刷卡……2025/2/234移動支付市場現(xiàn)狀2025/2/235移動支付市場現(xiàn)狀2025/2/236快錢移動支付發(fā)展歷程區(qū)分來自微信的請求，和普通瀏覽器的請求。避免沒有經(jīng)過認證的微信用戶的請求驗證微信ID是可以信任的如下：微信ID認證可通過微信用戶“關(guān)注”快錢服務(wù)號時進行，關(guān)注時候，微信ID是加密過的、且加簽名的，且微信服務(wù)端（我們的應(yīng)用）是能夠進行簽名驗證的。

同一微信ID來的請求，進行請求個數(shù)限制、查詢結(jié)果個數(shù)限制。2025/2/237快錢移動支付發(fā)展歷程快錢賬戶APP—快錢包—快錢錢包2025/2/238快錢移動支付發(fā)展歷程第一階段-傳統(tǒng)業(yè)務(wù)安全（注冊，登陸，密碼找回，充值，提現(xiàn)，支付等基本功能）OWASPTOP102025/2/239密碼重置漏洞2025/2/2310185********密碼重置漏洞身份認證三要素：你知道什么你有什么你是什么2025/2/2311快錢移動支付發(fā)展歷程2025/2/2312第二階段-安全功能拓展理財安全卡手勢密碼新設(shè)備首次登陸風(fēng)控規(guī)則手勢密碼繞過2025/2/2313手勢密碼繞過2025/2/2314敏感信息安全2025/2/2315配置文件數(shù)據(jù)文件緩存文件系統(tǒng)日志風(fēng)控系統(tǒng)2025/2/2316監(jiān)控告警2025/2/2317風(fēng)控規(guī)則2025/2/2318賬戶登入IP為盜卡高發(fā)區(qū)域企業(yè)用戶，前xxx次登錄地區(qū)，和本次均不相同同一IP,xxx小時內(nèi)登陸超過xxx個以上的不同賬戶個人用戶，xxx天內(nèi)登錄的地區(qū)>xxx個人用戶，賬戶余額大于xxx元，當(dāng)前登錄IP城市和最近一次登錄IP城市不一致登錄IP為國內(nèi)，賬戶登入時間為xxx-xxx點，且登錄失敗次數(shù)大于xxx次xx小時內(nèi)，同一DeviceID或IP登陸失敗次數(shù)>xx次同一小時內(nèi)，最近一次登錄的IP和當(dāng)前登錄的IP不在同一個城市或不同國家快錢移動支付發(fā)展歷程第三階段-客戶端加固源代碼混淆加殼加密防反編譯和反調(diào)試2025/2/23192025/2/23202025/2/2321類型指標結(jié)果防護功能防反編譯（dex和so文件在內(nèi)）滿足防脫殼工具滿足防二次打包滿足防止動態(tài)調(diào)試滿足防范模擬器、調(diào)試器運行滿足防資源替換竊取滿足防配置文件被篡改滿足防內(nèi)存敏感信息泄露、防外進程讀取滿足防動態(tài)調(diào)試攻擊（Java層、C層）滿足防注入攻擊，如注入第三方so文件等滿足防Hook攻擊（Java層、C層）滿足兼容性支持的手機硬件平臺X86、ARM支持的Android版本2.3~5.1支持的第三方定制ROM支持支持主流多種CPU，如X86、高通等支持支持AndroidART支持快錢移動支付發(fā)展歷程第四階段-銀行卡檢測中心過檢應(yīng)用軟件自身安全要求軟件發(fā)布渠道安全用戶安全鑒別賬戶信息保護通信安全要求密碼算法及密鑰管理2025/2/2322快錢移動支付發(fā)展歷程第五階段-未來方向四卡合一戰(zhàn)略（支付，理財，信貸，應(yīng)用）風(fēng)控結(jié)合安全功能優(yōu)化2025/2/23232025/2/2324移動安全問題總結(jié)移動應(yīng)用安全客戶