KCon黑客大會2017：騰訊安全玄武實驗室首次全景解讀移動支付安全體系

　　移動支付的迅猛發(fā)展正在給各行各業(yè)帶了全新的機遇與挑戰(zhàn)，如何讓用戶在享受移動支付便捷性的同時，確保其財產(chǎn)安全不受損害，成為了亟需解決的問題。8月26日，在由知道創(chuàng)宇主辦的KCon黑客大會2017上，來自騰訊安全玄武實驗室的安全研究員hyperchem(馬卓)發(fā)表了名為《從三星支付底層實現(xiàn)看移動支付安全體系設(shè)計》的演講，首次全景剖析移動支付的安全系統(tǒng)，為移動支付的安全保障提供了參考標準。

　　KCon黑客大會2017獲得了來自騰訊安全的鼎力支持，騰訊安全聯(lián)合實驗室七大子實驗室整齊亮相本次大會。其中，騰訊安全科恩實驗室的負責人吳石和騰訊安全玄武實驗室的負責人于旸(TK教主)均受邀加入大會專家顧問團隊，就本次大會期間各類頂尖安全議題進行評議。

　　移動端病毒態(tài)勢猖獗 移動支付需應(yīng)對安全新挑戰(zhàn)

　　移動網(wǎng)絡(luò)安全環(huán)境正在深刻的影響到移動支付安全。根據(jù)此前騰訊安全發(fā)布的《2017上半年互聯(lián)網(wǎng)安全報告》顯示，2017年上半年騰訊手機管家截獲Android新增病毒包總數(shù)達899萬，其中，騰訊手機管家查殺病毒次數(shù)就高達到6.93億。如此嚴峻的移動安全環(huán)境，也進一步要求手機廠商、安全廠商在移動支付環(huán)節(jié)中采取更加積極的應(yīng)對姿態(tài)。

　　在KCon黑客大會上，騰訊安全玄武實驗室的安全研究員hyperchem(馬卓)以三星支付為例，詳細的對目前手機廠商在底層安全技術(shù)的實踐及應(yīng)用做了剖析，并闡明其在應(yīng)用層、內(nèi)核態(tài)、trustzone等各個層次對其支付系統(tǒng)的安全防御手段。在展示手機移動支付的完整技術(shù)圖景的同時，hyperchem(馬卓)還對目前移動支付所采用的安全技術(shù)進行系統(tǒng)介紹，詳細揭示了移動支付開發(fā)商在支付各個環(huán)節(jié)進行的安全防護手段。

　　在hyperchem(馬卓)看來，移動支付的廣泛普及，也進一步提升了不法分子作案的空間;同時，不法分子還會緊跟技術(shù)趨勢，不斷對技術(shù)、作案手段進行升級。以二維碼為例，越來越多的用戶已經(jīng)養(yǎng)成了隨手掃碼支付的習慣，但不法分子也緊追時勢，加大針對二維碼渠道的病毒包投放比例，一旦用戶掃中帶毒的二維碼，手機就會自動下載惡意病毒，進而威脅用戶隱私和財產(chǎn)安全。根據(jù)《2017上半年互聯(lián)網(wǎng)安全報告》顯示，2017年上半年，二維碼已經(jīng)成為了主流病毒渠道來源，占比高達20.80%。

　　騰訊安全玄武實驗室對外能力輸出成常態(tài)，廠商用戶均受益

　　業(yè)內(nèi)認為，在目前日益嚴峻的互聯(lián)安全環(huán)境下，移動支付安全必將受到更多威脅和挑戰(zhàn)。而騰訊安全玄武實驗室首次全景剖析移動支付的安全系統(tǒng)，不僅為安全廠商、手機廠商帶來了最新的技術(shù)進步和升級理論依據(jù)，也同時反映出中國互聯(lián)網(wǎng)安全廠商在技術(shù)價值輸出方面，更加系統(tǒng)和具有前瞻性。

　　事實上，對外技術(shù)能力輸出已經(jīng)成為騰訊安全玄武實驗室的常態(tài)。針對手機安全，騰訊安全玄武實驗室在剛剛結(jié)束的第二屆CSS中國互聯(lián)網(wǎng)安全領(lǐng)袖峰會上還對外披露了一種新安全威脅模式—Wombie Attack，通過對手機設(shè)備固件代碼改造，使得被感染者成為新的攻擊者，在無需互聯(lián)網(wǎng)、無需交互的環(huán)境下即可實現(xiàn)擴散式攻擊，用戶智能手機或?qū)⒚媾R更加危險的狀況。而這一威脅情報的對外披露，不僅有助于廠商進一步優(yōu)化底層安全，也將最大化幫助用戶進行防御。

　　另外，有消息稱，近日其與中科院合作研發(fā)的成果也成功通過了中國網(wǎng)絡(luò)空間安全協(xié)會的專家評審，并作為協(xié)會2017年領(lǐng)先成果推薦參選第四屆世界互聯(lián)網(wǎng)大會的“世界互聯(lián)網(wǎng)領(lǐng)先科技成果”。

　　作為專注信息安全研究的騰訊安全玄武實驗室，研究方向向涉及PC端、智能手機、智能硬件等多個領(lǐng)域的安全問題。而在安全領(lǐng)域最為關(guān)注的漏洞挖掘研究方面，該實驗室頻繁獲得包括蘋果、微軟、聯(lián)想等國際巨頭公司的致謝。數(shù)據(jù)顯示，在過去的2016年中，騰訊安全玄武實驗室和騰訊安全聯(lián)合實驗室旗下的其他六大實驗室相互配合，累計為微軟、蘋果、谷歌、Adobe四大國際頂尖廠商提交漏洞269個，位居國內(nèi)首位。今年3月，該實驗室憑借原創(chuàng)漏洞報送第一名的成績，獲得了國家信息安全漏洞共享平臺(CNVD)授予的“原創(chuàng)漏洞報送突出貢獻單位“稱號。在“第三屆中國大數(shù)據(jù)安全高層論壇”期間，該實驗室還榮獲國家信息安全漏洞庫(CNNVD)授予的“2016年度優(yōu)秀支撐單位”獎項。