1 背景

隨著互聯網金融的飛速發展，以網上銀行、理財工具、第三方支付為代表的網上支付方式越來越普及。

網絡支付在給社會帶來方便、快捷的同時，也帶來了不少安全隱患。

江南科友對客戶端具有代表性密碼安全攻擊方式進行了分類：

Ø 病毒與木馬——操作系統層面

惡意程序后臺自動運行。主要有以下幾種攻擊方式：

l 按鍵截獲

通過鉤子鉤住系統鍵盤接口、輸入法鍵盤接口等手段截獲用戶按鍵信息。

l 屏幕截獲

通過后臺錄像或記錄顯示屏輸入坐標的方式盜取用戶密碼、賬號信息。

Ø  網絡攻擊——網絡層面

入侵者通過網絡抓包等方式從網絡數據包中盜取敏感信息、修改交易內容等方式侵害用戶的利益。

Ø 客戶端程序注入——應用層面

移動客戶端：山寨應用

攻擊者修改正版APP生成山寨應用冒充正版侵害用戶合法權益。

主要攻擊方式分為以下兩種：

l 本機交易

攻擊在用戶的手機上進行。山寨APP通過修改數交易數據的金額、收款賬號的方式直接在用戶的手機上完成盜取資金的全部過程。

l 騙取密碼后，換機交易

攻擊者在用戶手機上盜取賬號、密碼等關鍵信息后通過網絡或者短信發送給入侵者，入侵者在其他手機上完成資金竊取。

PC客戶端：控件本身安全

目前許多PC端支付網站都安裝有瀏覽器安全控件，安全控件大多使用本地程序庫實現，攻擊者在逆向分析本地程序庫（例如windows平臺的dll庫）的代碼邏輯后通過對dll進行替換、截取內存中密碼等方式侵害用戶利益。

在此背景下，廣州江南科友科技股份有限公司設計實現了客戶端密碼安全控件。

2 客戶端密碼安全控件特點

3 客戶端密碼安全解決方案

3.1 總體結構圖

3.2 說明

Ø 客戶端多樣性支持

江南科友客戶端安全解決方案支持各種客戶端，包含：

n 移動客戶端——Android & IPhone

科友提供移動客戶端app安全開發套件，對于android客戶端另提供安全外殼。

n PC客戶端——Mac OS & Windows

PC客戶端安全用瀏覽器安全插件實現。

n 其他客戶端——不能安裝控件的其他客戶端環境

u 手機wap環境

u 跨平臺的Html-5應用

u 其他純Html客戶端環境，如電視支付等

針對該類客戶端環境，提供JavaScript開發套件。

Ø 服務端靈活選取——根據客戶端現有環境靈活選取服務端結構，三種方案選其一：

n 方案一：密碼服務平臺（針對已有密碼服務平臺和加密機的客戶）

n 方案二：加密機組（針對已有加密機但沒有密碼服務平臺客戶）

n 方案三：軟算法開發包（針對后臺無密碼服務平臺和加密機的客戶）

3.3 移動客戶端密碼安全控件作用

3.4 PC客戶端密碼安全控件作用

提供瀏覽器安全控件保證客戶在PC機瀏覽器上的信息安全。分為Windows版本和Mac OS版本。

4 產品清單

說明：

1. “A-”表示Android平臺，“I-”表示Iphone平臺，“H-”表示Html/Wap/Html-5平臺；

2. 下表只描述了客戶端產品清單，服務端產品根據“客戶端產品模塊”和“客戶現有服務端產品情況”提供與客戶端配套的平臺服務及接口、加密機指令接口、軟算法開發包三者之一。

5 兼容性