研究显示:35%的银行app在发送信息时并未加密

未央网

尽管在过去两年间,银行一直在不断提高其app的安全性,但是调查显示,大部分的手机银行app都会泄漏客户信息。

安全公司IOActive的研究人员称,目前手机银行app还是未能充分保护用户信息,大部分的发送信息依旧包含无SLL链接,也就是未进行加密处理。

安全研究员Ariel Sanchez在其2013年的研究报告中指出,90%的手机app包含无SSL链接,也就是说,黑客只需要通过拦截手段,注入病毒,例如虚假的登入提示等,就可以窃取用户的认证信息。

两年后的今天,研究人员再次进行检测,研究表明手机银行app有所进步,仅剩35%的app在发送信息时未进行加密。

当然,还有30%的app未进行验证,也就是说,12.5%的手机银行app在受到一般攻击时会给用户造成损失。

Sanchez称:“尽管在过去两年间,手机银行app的整体安全性已有所提高,但是,这还远远不够,仍然有非常多的app容易遭受攻击。”

2013年,Sanchez发现50%的手机银行app会非常容易受到Java脚本改写的风险。到了2015年,仍然有30%的app易受Java脚本改写的风险,因为暴露的本地IOS系统允许黑客远程发送短信或邮件到用户手机上,从而实施黑客攻击。

Sanchez的2013年研究报告中同样还指出,70%的手机银行app并未开发出任何一种替代或者是多向身份认证的功能。

Sanchez最近的研究表明,在过去两年间,这方面的改进并不乐观,因为仍有42.5%的app仍然没有采用任何额外的身份认证措施来防止黑客攻击。

尽管在2013年,大部分的app面临着上述威胁,还有40%的app会泄露用户行为和同服务器的往来记录,可以是通过系统或者用户登录,例如错误报告等,黑客因此有机可乘。

Sanchez在2013年发现的另一个安全问题则是有5%的账户激活码是完全通过短信激活(即HTTP链接)的,这样黑客就可凭借这个信息进行拦截,截取信息并盗取账户信息。

尽管这些问题已经得到了解决,但是目前仍然有15%的app会存储未加密的用户信息,例如客户银行账户的详细信息和交易历史,而这些信息只通过文本形式存储在手机的文件系统里。

此外,17.5%的app已经开始用二进制来对客户信息进行硬编码,但是仍有7.5%的app不具备编译程序保护(例如PIE),仅有15%的app具备实时越狱保护,提示用户在越狱的情况下使用该app将面临风险。

Sanchez总结道,尽管大部分的手机app都在不断升级,努力让用户免受MitM的攻击,而且从整体上来看,易受特定病毒攻击的手机app相比于2013年已经有所减少,但是身份认证方法和app的整体安全性却未能得到大程度的改善。

Sanchez表示:“手机银行app在安全性方面已经有了很大的提高,但是,他们还需不断努力寻找出更新更好的解决办法,让每一位客户的数据信息都得到安全保障。关键在于他们需要认识到手机银行app的安全性是一个商业问题而非技术问题。”

读者可前往IOActive博客查看Sanchez的2013年及2015年的调查结果完整版。

尽管在过去两年间,银行一直在不断提高其app的安全性,但是调查显示,大部分的手机银行app都会泄漏客户信息。

安全公司IOActive的研究人员称,目前手机银行app还是未能充分保护用户信息,大部分的发送信息依旧包含无SLL链接,也就是未进行加密处理。

安全研究员Ariel Sanchez在其2013年的研究报告中指出,90%的手机app包含无SSL链接,也就是说,黑客只需要通过拦截手段,注入病毒,例如虚假的登入提示等,就可以窃取用户的认证信息。

两年后的今天,研究人员再次进行检测,研究表明手机银行app有所进步,仅剩35%的app在发送信息时未进行加密。

当然,还有30%的app未进行验证,也就是说,12.5%的手机银行app在受到一般攻击时会给用户造成损失。

Sanchez称:“尽管在过去两年间,手机银行app的整体安全性已有所提高,但是,这还远远不够,仍然有非常多的app容易遭受攻击。”

2013年,Sanchez发现50%的手机银行app会非常容易受到Java脚本改写的风险。到了2015年,仍然有30%的app易受Java脚本改写的风险,因为暴露的本地IOS系统允许黑客远程发送短信或邮件到用户手机上,从而实施黑客攻击。

Sanchez的2013年研究报告中同样还指出,70%的手机银行app并未开发出任何一种替代或者是多向身份认证的功能。

Sanchez最近的研究表明,在过去两年间,这方面的改进并不乐观,因为仍有42.5%的app仍然没有采用任何额外的身份认证措施来防止黑客攻击。

尽管在2013年,大部分的app面临着上述威胁,还有40%的app会泄露用户行为和同服务器的往来记录,可以是通过系统或者用户登录,例如错误报告等,黑客因此有机可乘。

Sanchez在2013年发现的另一个安全问题则是有5%的账户激活码是完全通过短信激活(即HTTP链接)的,这样黑客就可凭借这个信息进行拦截,截取信息并盗取账户信息。

尽管这些问题已经得到了解决,但是目前仍然有15%的app会存储未加密的用户信息,例如客户银行账户的详细信息和交易历史,而这些信息只通过文本形式存储在手机的文件系统里。

此外,17.5%的app已经开始用二进制来对客户信息进行硬编码,但是仍有7.5%的app不具备编译程序保护(例如PIE),仅有15%的app具备实时越狱保护,提示用户在越狱的情况下使用该app将面临风险。

Sanchez总结道,尽管大部分的手机app都在不断升级,努力让用户免受MitM的攻击,而且从整体上来看,易受特定病毒攻击的手机app相比于2013年已经有所减少,但是身份认证方法和app的整体安全性却未能得到大程度的改善。

Sanchez表示:“手机银行app在安全性方面已经有了很大的提高,但是,他们还需不断努力寻找出更新更好的解决办法,让每一位客户的数据信息都得到安全保障。关键在于他们需要认识到手机银行app的安全性是一个商业问题而非技术问题。”

读者可前往IOActive博客查看Sanchez的2013年及2015年的调查结果完整版。