腾讯安全玄武实验室剖析移动支付技术

移动支付的迅猛发展正在给各行各业带了全新的机遇与挑战，如何让用户在享受移动支付便捷性的同时，确保其财产安全不受损害，成为了亟需解决的问题。8月26日，在由知道创宇主办的KCon黑客大会2017上，来自腾讯安全玄武实验室的安全研究员hyperchem(马卓)发表了名为《从三星支付底层实现看移动支付安全体系设计》的演讲，首次全景剖析移动支付的安全系统，为移动支付的安全保障提供了参考标准。

KCon黑客大会2017获得了来自腾讯安全的鼎力支持，腾讯安全联合实验室七大子实验室整齐亮相本次大会。其中，腾讯安全科恩实验室的负责人吴石和腾讯安全玄武实验室的负责人于旸(TK教主)均受邀加入大会专家顾问团队，就本次大会期间各类顶尖安全议题进行评议。

移动端病毒态势猖獗 移动支付需应对安全新挑战

移动网络安全环境正在深刻的影响到移动支付安全。根据此前腾讯安全发布的《2017上半年 互联网 安全报告》显示，2017年上半年腾讯 手机 管家截获Android新增病毒包总数达899万，其中，腾讯手机管家查杀病毒次数就高达到6.93亿。如此严峻的移动安全环境，也进一步要求手机厂商、安全厂商在移动支付环节中采取更加积极的应对姿态。

在KCon黑客大会上，腾讯安全玄武实验室的安全研究员hyperchem(马卓)以三星支付为例，详细的对目前手机厂商在底层安全技术的实践及应用做了剖析，并阐明其在应用层、内核态、trustzone等各个层次对其支付系统的安全防御手段。在展示手机移动支付的完整技术图景的同时，hyperchem(马卓)还对目前移动支付所采用的安全技术进行系统介绍，详细揭示了移动支付开发商在支付各个环节进行的安全防护手段。

在hyperchem(马卓)看来，移动支付的广泛普及，也进一步提升了不法分子作案的空间;同时，不法分子还会紧跟技术趋势，不断对技术、作案手段进行升级。以二维码为例，越来越多的用户已经养成了随手扫码支付的习惯，但不法分子也紧追时势，加大针对二维码渠道的病毒包投放比例，一旦用户扫中带毒的二维码，手机就会自动下载恶意病毒，进而威胁用户隐私和财产安全。根据《2017上半年互联网安全报告》显示，2017年上半年，二维码已经成为了主流病毒渠道来源，占比高达20.80%。

腾讯安全玄武实验室对外能力输出成常态，厂商用户均受益

业内认为，在目前日益严峻的互联安全环境下，移动支付安全必将受到更多威胁和挑战。而腾讯安全玄武实验室首次全景剖析移动支付的安全系统，不仅为安全厂商、手机厂商带来了最新的技术进步和升级理论依据，也同时反映出中国互联网安全厂商在技术价值输出方面，更加系统和具有前瞻性。

事实上，对外技术能力输出已经成为腾讯安全玄武实验室的常态。针对手机安全，腾讯安全玄武实验室在刚刚结束的第二届CSS中国互联网安全领袖峰会上还对外披露了一种新安全威胁模式—Wombie Attack，通过对手机设备固件代码改造，使得被感染者成为新的攻击者，在无需互联网、无需交互的环境下即可实现扩散式攻击，用户智能手机或将面临更加危险的状况。而这一威胁情报的对外披露，不仅有助于厂商进一步优化底层安全，也将最大化帮助用户进行防御。

另外，有消息称，近日其与中科院合作研发的成果也成功通过了中国网络空间安全协会的专家评审，并作为协会2017年领先成果推荐参选第四届世界互联网大会的“世界互联网领先 科技 成果”。

作为专注信息安全研究的腾讯安全玄武实验室，研究方向向涉及PC端、智能手机、 智能硬件 等多个领域的安全问题。而在安全领域最为关注的漏洞挖掘研究方面，该实验室频繁获得包括 苹果 、微软、联想等国际巨头公司的致谢。数据显示，在过去的2016年中，腾讯安全玄武实验室和腾讯安全联合实验室旗下的其他六大实验室相互配合，累计为微软、苹果、谷歌、Adobe四大国际顶尖厂商提交漏洞269个，位居国内首位。今年3月，该实验室凭借原创漏洞报送第一名的成绩，获得了国家信息安全漏洞共享平台(CNVD)授予的“原创漏洞报送突出贡献单位“称号。在“第三届中国大数据安全高层论坛”期间，该实验室还荣获国家信息安全漏洞库(CNNVD)授予的“2016年度优秀支撑单位”奖项。