移动平台整体安全解决方案

字号：大中小

　　方案背景

　　目前国内围绕移动平台开展的互联网业务前景广阔，在移动政务、移动电子商务、手机银行等领域取得了丰硕的成果，这些移动平台的业务作为业务服务商重要的服务渠道之一，不仅可以与传统PC平台发挥同等作用，利用移动平台的特殊性，甚至能够提供更具价值的增值服务，是3G乃至4G时代稳定和竞争广大用户的利器。移动平台的核心特点是随时、随地、随心、随行，围绕着用户使用的便利性，移动业务正如火如荼的快速发展壮大。

　　一方面我们看到了广大服务商在移动平台上取得的成绩，另外一方面我们不得不面对移动平台让人堪忧甚至是致命的安全威胁，这些威胁将是影响移动业务发展的关键瓶颈。移动平台的安全话题时来久远，但由于平台上的关键业务一直较少，因此没有引起黑客或不法分子的注意，随着各项传统业务的“移动化”、“手机化”，尤其是手机银行、移动支付的大力发展，转移了大量不法分子针对传统平台的攻击目光，移动平台攻击后的利益变得炙热可得。相关业务服务商也渐渐开始关注移动平台的安全问题，甚至是如坐针毡。要想解决安全问题，单单从某一个方面是不够的，只有着眼于全局，从各个方面、层次去做安全，才能够最终保障移动平台各业务系统的稳定运行，大大减少其安全威胁。CFCA移动安全整体方案就是立足于以上观点设计开展的。

　　方案需求

　　移动平台系统安全需求

　　目前移动平台病毒、木马激增，尤其是针对金融类、关键行业类软件的恶意程序数不胜数，为了防止这些系统级病毒、木马对移动业务系统的危害，必须保障客户端系统的安全，至少在移动应用APP运行期间，能够对相关病毒、木马进行抑制、去能，乃至于彻底杀除；

　　客户端APP安全需求

　　对客户端APP实施静态代码加固，防止客户端本身被逆向分析、篡改打包，同时对客户端APP实施动态加固，防止客户端APP运行期间被动态调试以及内存非法读取、篡改；

　　交易防篡改、防抵赖防止中间人攻击，防止黑客从外部（系统层、网络层）对用户提交的数据进行篡改，同时要避免用户事后抵赖，对所做的交易进行否认；

　　强身份认证

　　要加强对用户身份的认证机制，增强传统用户名口令的身份认证强度，使用户身份更加不容易伪造，从而使业务系统能够更准确的识别用户真实身份；

　　数据防窃听

　　要加强用户敏感信息的输入与传输安全。

　　方案简介

移动平台整体安全解决方案

　　1、建设移动客户端安全加固机制，即对移动客户端APP进行加固处理，加固后的客户端APP可以防止被非法反编译和篡改，具有动态防御能力、反调试能力，能够有效保证自身安全；

　　2、建设移动系统清场机制，即在客户端APP打开或关键业务点操作时对移动平台操作系统进行安全扫描，查杀系统内的病毒、木马进程，确保为客户端APP提供一个清洁的运行环境；

　　3、建设安全的敏感信息输入和传输机制，使用安全的密码中间件输入用户密码，并提供密码加密功能，防止用户密码在输入和传输时泄漏，同时建立安全传输通道，防止交易信息被非法截取；

　　4、建设简单、可信的身份认证机制，即为移动平台业务系统用户颁发数字证书，支持蓝牙双接口Key设备和安全文件证书，利用数字证书登录业务系统能够大幅提升用户身份真实性；同时为移动平台业务系统服务端颁发服务器证书，使客户端能够识别系统服务端的真实身份；

　　5、建设权威、具有法律支撑的信息防篡改、防抵赖机制，即在关键业务点时使用数字证书签名技术对敏感交易信息进行数字签名，防止交易信息被篡改以及事后抵赖。

　　方案特点

　　高安全性

　　移动平台安全整体解决方案通过多样化、综合安全防护手段全方位的防护系统风险，建立了移动应用系统中的安全闭环；

　　易用性

　　移动平台安全整体解决方案开发集成简单，可以完全不改变业务系统正常的操作流程；

　　通用性

　　移动平台安全整体解决方案适用于各种移动业务系统信息安全的建设，可以满足不同业务系统的安全需求，为各业务系统提供安全、可靠的信息安全产品及认证服务；

　　平台多样化

　　移动平台安全整体解决方案支持各种移动设备、移动操作系统，满足移动业务系统的各项运行要求。

　　成功案例