曰韩免费无码AV一区二区,男女啪啪高清无遮挡免费,精品国产自在精品国产精

<delect id="ygmw2"><rp id="ygmw2"></rp></delect>
      1. <object id="ygmw2"><option id="ygmw2"></option></object>
        <object id="ygmw2"><option id="ygmw2"></option></object>

        您當前的位置:   首頁 > 新聞中心
        移動銀行和支付應用程序的安全連接:HTTPS漏洞
        發布時間:2020-04-17 10:35:21   閱讀次數:

        1-20041G11124527.png

        HTTPS的風險

        移動銀行環境中,存在一些HTTPS漏洞,本文將對其進行簡要分析,并給出一些對策。


        SSL協議和TLS 1.0或1.1

        簡而言之,HTTPS應該使用TLS 1.2+。這是因為其他可用于HTTPS的協議(例如安全套接字層(SSL)協議(SSL 1.0、2.0和3.0)以及傳輸層安全性(TLS)協議版本1.0和1.1)被認為是不安全和破碎。SSL容易受到POODLE攻擊。POODLE的一個版本也針對TLS。Heartbleed的目標是SSL / TLS的OpenSSL實現,這是迄今為止最受歡迎的SSL和TLS庫。Sweet32還針對TLS中使用的多個64位密碼。最后,BEAST針對TLS 1.0本身。


        中間人攻擊

        由于其結構,HTTPS完全容易受到中間人攻擊。如果攻擊者設法使目標用戶接受“惡意”證書,則代理SSL服務器可以站在中間,并以明碼記錄所有HTTPS流量。


        例如,如果用戶接受“間諜”服務器的根證書,則可以通過修改用戶的主機文件,通過重新路由或使用惡意DNS將到合法服務器的流量重定向到間諜服務器。由于用戶先前接受了惡意根證書,因此將向用戶提供有效的證書。因此,與Web服務器的連接將看起來完全正常。然后,可以在代理SSL服務器中解密HTTPS流量,然后將其解密并轉發到合法的Web服務器。

        1-20041G03P32Z.png

        應對措施

        為了防止對HTTPS的攻擊,可以采取幾種對策: 

        • 創建一個額外的安全通道,例如,對HTTPS層本身內部的數據進行加密。此方法可以防止MITM攻擊,因為它允許將https隧道本身中的數據從移動銀行或支付應用程序隧道傳輸到遠程服務器,但是它還需要服務器端具有足夠的軟件來解密/加密數據。 

        • 檢查提供給客戶端的證書的指紋,以防止惡意SSL代理發送虛假證書。精確定位遠程SSL證書會阻止我們前面描述的SSL流氓代理方案運行。

        • 檢查客戶端/應用程序使用的密碼套件和協議,以防止使用不安全的密碼,SSL協議或TLS 1.0 / 1.1協議。不應允許移動銀行或支付應用程序使用弱密碼,例如易受“生日攻擊”的密碼等。

        • 此外,可以實現針對移動應用程序與外界之間所有流量的專用安全代理,以防止惡意HTTPS代理運行。移動銀行或支付應用程序之間的所有https通信都應由位于移動操作系統本身內部的代理進行過濾,并且該代理應進行所有必要的安全檢查。


        結論

        移動銀行應用程序與遠程銀行服務器之間的通信必須在端到端安全通道內進行。在保護移動應用程序的上下文中,必須使用TLS。這是為了防止在黑客攔截通信的情況下“嗅探”敏感數據。最方便的安全通道是HTTPS協議。通常,HTTPS被認為是完全安全的。不幸的是,這并不完全正確,這就是為什么在部署高度敏感且針對性強的金融應用程序時需要如上所述的其他保護措施。


        攬閣信息可提供的部分安全產品和解決方案信息

        聯系攬閣信息,您可以獲取到更多滿足全球合規性要求的信息安全產品資料,以及相關的整體解決方案的相關資料。如:


        您還可以得到攬閣信息所提供的優質服務。

        攬閣信息 · 值得您信賴的信息安全顧問!


        相關閱讀

        購買咨詢電話
        021-54410609
        曰韩免费无码AV一区二区,男女啪啪高清无遮挡免费,精品国产自在精品国产精