2019 年 10 月，00 后田某因非法获取计算机信息系统数据罪判处有期徒刑三年，并处罚金人民币一万元。当事人田某只有初中文化，但却拥有极强的计算机天赋，在 2019 年 1 月 5 日到 1 月 15 日期间，通过软件抓包、PS 身份证、重放攻击等手段，在某银行手机银行 App 内使用虚假身份信息注册银行Ⅱ、Ⅲ类账户非法销售获利。
案例分析
-
首先，田某通过本人身份证信息，在注册账号正常流程中，通过「软件抓包」技术将银行系统下发的人脸识别身份认证数据包进行拦截并保存。 -
其次，在输入开卡密码环节，田某将 App 返回到第一步（上传个人身份证照片），并输入伪造的身份证信息，并在此进入人脸识别身份认证环节。 -
最后，田某使用先前拦截的身份认证数据包（含本人信息）进行上传验证，使得银行系统误以为此环节需比对本人身份信息，遂而成功验证本人人脸，使得其能够成功利用虚假身份证信息注册到银行账户。
客户端 App 数据安全刻不容缓
我们应当如何重新审视客户端的数据安全问题？通过解析支付宝目前在“端上安全”的设计机制，也许能够带给我们一些新的启发。
App 开发期的安全机制设计
客户端 App 数据安全传输、安全存储
借助安全黑匣子，客户端通过应用公钥和秘钥加密针对生成的数据进行离散存储，保证加密秘钥的安全性。而安全黑匣子本身的代码混淆、多重反调试机制，使其安全性能极大提升保障。
除此之外，安全黑匣子基于反调试技术使得常见的调试工具如 GDB、IDA Pro 的动态调试分析技术失效，基于导出表混淆、垃圾指令等手段充分提升攻击者静态分析应用的难度。如此动静结合，客户端数据传输及存储安全能够充分保障。
用户信息验证
结合端上金融业务属性，如银行卡及身份证 OCR 识别、人脸识别、活体检测等智能服务，已经过近 2 亿用户验证，具备识别准确率高、速度快、模块丰富等特点，同时在支付宝小程序中也已开放。
App 全生命周期防护
mPaaS 客户端 App 安全能力
作为源自支付宝的移动开发平台，mPaaS 目前已完成支付宝金融级的端上安全能力沉淀，不仅能够提升 App 应对高峰带宽下的服务质量挑战，同时在弱网情况下的可用性、针对网络请求的危险识别能力均属于行业前列。目前，借助 mPaaS 客户端的加固技术与黑匣子，能够保障移动端的代码安全和网络层的数据安全，提供加签、加密等方式，同时网关能够识别出客户端环境，并有能力针对可疑请求做拦截。
结合中国人民银行于 2019 年 9 月出台的《移动金融客户端应用软件安全管理规范》，针对客户端应用在数据安全、身份认证安全、功能安全设计、密码秘钥管理、数据安全、安全输入、抗攻击能力等方面均提出明确要求，全面覆盖客户端应用在设计、开发、发布及运维的全生命周期。
mPaaS 产品目前已通过中国金融认证中心的安全测评，并服务银行、证券、政务、交通等众多行业超过 2000 家客户。同时，针对客户端安全方面 mPaaS 提供全方位安全防护方案，真正帮助企业打造安全稳定的移动应用，更好地做到技术驱动业务创新、为业务带来美好体验。
