KCon黑客大會2017：騰訊安全玄武實(shí)驗(yàn)室首次全景解讀移動(dòng)支付安全體系

　　移動(dòng)支付的迅猛發(fā)展正在給各行各業(yè)帶了全新的機(jī)遇與挑戰(zhàn)，如何讓用戶在享受移動(dòng)支付便捷性的同時(shí)，確保其財(cái)產(chǎn)安全不受損害，成為了亟需解決的問題。8月26日，在由知道創(chuàng)宇主辦的KCon黑客大會2017上，來自騰訊安全玄武實(shí)驗(yàn)室的安全研究員hyperchem(馬卓)發(fā)表了名為《從三星支付底層實(shí)現(xiàn)看移動(dòng)支付安全體系設(shè)計(jì)》的演講，首次全景剖析移動(dòng)支付的安全系統(tǒng)，為移動(dòng)支付的安全保障提供了參考標(biāo)準(zhǔn)。

　　KCon黑客大會2017獲得了來自騰訊安全的鼎力支持，騰訊安全聯(lián)合實(shí)驗(yàn)室七大子實(shí)驗(yàn)室整齊亮相本次大會。其中，騰訊安全科恩實(shí)驗(yàn)室的負(fù)責(zé)人吳石和騰訊安全玄武實(shí)驗(yàn)室的負(fù)責(zé)人于旸(TK教主)均受邀加入大會專家顧問團(tuán)隊(duì)，就本次大會期間各類頂尖安全議題進(jìn)行評議。

　　移動(dòng)端病毒態(tài)勢猖獗 移動(dòng)支付需應(yīng)對安全新挑戰(zhàn)

　　移動(dòng)網(wǎng)絡(luò)安全環(huán)境正在深刻的影響到移動(dòng)支付安全。根據(jù)此前騰訊安全發(fā)布的《2017上半年互聯(lián)網(wǎng)安全報(bào)告》顯示，2017年上半年騰訊手機(jī)管家截獲Android新增病毒包總數(shù)達(dá)899萬，其中，騰訊手機(jī)管家查殺病毒次數(shù)就高達(dá)到6.93億。如此嚴(yán)峻的移動(dòng)安全環(huán)境，也進(jìn)一步要求手機(jī)廠商、安全廠商在移動(dòng)支付環(huán)節(jié)中采取更加積極的應(yīng)對姿態(tài)。

　　在KCon黑客大會上，騰訊安全玄武實(shí)驗(yàn)室的安全研究員hyperchem(馬卓)以三星支付為例，詳細(xì)的對目前手機(jī)廠商在底層安全技術(shù)的實(shí)踐及應(yīng)用做了剖析，并闡明其在應(yīng)用層、內(nèi)核態(tài)、trustzone等各個(gè)層次對其支付系統(tǒng)的安全防御手段。在展示手機(jī)移動(dòng)支付的完整技術(shù)圖景的同時(shí)，hyperchem(馬卓)還對目前移動(dòng)支付所采用的安全技術(shù)進(jìn)行系統(tǒng)介紹，詳細(xì)揭示了移動(dòng)支付開發(fā)商在支付各個(gè)環(huán)節(jié)進(jìn)行的安全防護(hù)手段。

　　在hyperchem(馬卓)看來，移動(dòng)支付的廣泛普及，也進(jìn)一步提升了不法分子作案的空間;同時(shí)，不法分子還會緊跟技術(shù)趨勢，不斷對技術(shù)、作案手段進(jìn)行升級。以二維碼為例，越來越多的用戶已經(jīng)養(yǎng)成了隨手掃碼支付的習(xí)慣，但不法分子也緊追時(shí)勢，加大針對二維碼渠道的病毒包投放比例，一旦用戶掃中帶毒的二維碼，手機(jī)就會自動(dòng)下載惡意病毒，進(jìn)而威脅用戶隱私和財(cái)產(chǎn)安全。根據(jù)《2017上半年互聯(lián)網(wǎng)安全報(bào)告》顯示，2017年上半年，二維碼已經(jīng)成為了主流病毒渠道來源，占比高達(dá)20.80%。

　　騰訊安全玄武實(shí)驗(yàn)室對外能力輸出成常態(tài)，廠商用戶均受益

　　業(yè)內(nèi)認(rèn)為，在目前日益嚴(yán)峻的互聯(lián)安全環(huán)境下，移動(dòng)支付安全必將受到更多威脅和挑戰(zhàn)。而騰訊安全玄武實(shí)驗(yàn)室首次全景剖析移動(dòng)支付的安全系統(tǒng)，不僅為安全廠商、手機(jī)廠商帶來了最新的技術(shù)進(jìn)步和升級理論依據(jù)，也同時(shí)反映出中國互聯(lián)網(wǎng)安全廠商在技術(shù)價(jià)值輸出方面，更加系統(tǒng)和具有前瞻性。

　　事實(shí)上，對外技術(shù)能力輸出已經(jīng)成為騰訊安全玄武實(shí)驗(yàn)室的常態(tài)。針對手機(jī)安全，騰訊安全玄武實(shí)驗(yàn)室在剛剛結(jié)束的第二屆CSS中國互聯(lián)網(wǎng)安全領(lǐng)袖峰會上還對外披露了一種新安全威脅模式—Wombie Attack，通過對手機(jī)設(shè)備固件代碼改造，使得被感染者成為新的攻擊者，在無需互聯(lián)網(wǎng)、無需交互的環(huán)境下即可實(shí)現(xiàn)擴(kuò)散式攻擊，用戶智能手機(jī)或?qū)⒚媾R更加危險(xiǎn)的狀況。而這一威脅情報(bào)的對外披露，不僅有助于廠商進(jìn)一步優(yōu)化底層安全，也將最大化幫助用戶進(jìn)行防御。

　　另外，有消息稱，近日其與中科院合作研發(fā)的成果也成功通過了中國網(wǎng)絡(luò)空間安全協(xié)會的專家評審，并作為協(xié)會2017年領(lǐng)先成果推薦參選第四屆世界互聯(lián)網(wǎng)大會的“世界互聯(lián)網(wǎng)領(lǐng)先科技成果”。

　　作為專注信息安全研究的騰訊安全玄武實(shí)驗(yàn)室，研究方向向涉及PC端、智能手機(jī)、智能硬件等多個(gè)領(lǐng)域的安全問題。而在安全領(lǐng)域最為關(guān)注的漏洞挖掘研究方面，該實(shí)驗(yàn)室頻繁獲得包括蘋果、微軟、聯(lián)想等國際巨頭公司的致謝。數(shù)據(jù)顯示，在過去的2016年中，騰訊安全玄武實(shí)驗(yàn)室和騰訊安全聯(lián)合實(shí)驗(yàn)室旗下的其他六大實(shí)驗(yàn)室相互配合，累計(jì)為微軟、蘋果、谷歌、Adobe四大國際頂尖廠商提交漏洞269個(gè)，位居國內(nèi)首位。今年3月，該實(shí)驗(yàn)室憑借原創(chuàng)漏洞報(bào)送第一名的成績，獲得了國家信息安全漏洞共享平臺(CNVD)授予的“原創(chuàng)漏洞報(bào)送突出貢獻(xiàn)單位“稱號。在“第三屆中國大數(shù)據(jù)安全高層論壇”期間，該實(shí)驗(yàn)室還榮獲國家信息安全漏洞庫(CNNVD)授予的“2016年度優(yōu)秀支撐單位”獎(jiǎng)項(xiàng)。