安卓系统安全问题一直以来被业界所诟病。近日有安全报告指出，安卓手机系统漏洞严重威胁网民支付安全。利用安卓系统漏洞，黑客可以对手机银行客户端实施注入攻击，截获用户银行账号密码，造成财产损失。进行测试的16款手机银行客户端均未能防御此类攻击。
据中国互联网络信息中心(cnnic)的数据显示，由于中国手机支付用户规模成倍增长(同比增长126.9%)，截止2013年12月已达1.25亿，移动支付成为大趋势。而伴随这一趋势产生的移动支付安全问题也“水涨船高”。近年来，由于遭受木马、恶意插件等恶意程序入侵导致的网银、支付账户被盗案件频频发生，网民移动支付安全受到严重威胁。
为了检验手机银行客户端的安全性，本次报告针对当前世面上最流行的16家银行的手机银行客户端应用进行了一次全面的安全性测评。结果显示，在防范进程注入测试(利用安卓系统漏洞对应用恶意注入)中，所有16款手机银行客户端的表现不佳，没有任何一款银行客户端能够对这类攻击进行防护。
“相比于单个应用程序的漏洞，安卓系统和linux内核的漏洞往往影响更加广泛，恶意程序利用内核漏洞可以攻击不同厂商生产的多种机型。”安全专家指出，恶意程序的制作者往往倾向于使用系统内核漏洞进行攻击。但实际上，对开源的安卓系统而言，由手机厂商在源码基础上再开发所引入的漏洞往往更多。
根据在2013年的一项研究显示，70%的手机安全漏洞是由厂商定制所引起的。一些中小手机厂商对此并不重视，甚至没有能力修补自身系统中存在的安全漏洞。
由于这些漏洞得不到及时修复，木马程序有机会借助这些漏洞提升root权限，完成对银行客户端的注入。一旦木马注入到客户端进程中，将可轻而易举的获取用户账号和密码，造成网民银行账户信息泄漏和直接财产损失。
手机银行客户端易被盗版山寨
统计显示，本次测评的16款手机银行App中，多数存在盗版现象，个别客户端甚至有20个以上不同的盗版版本。测试中发现，这16款手机银行客户端软件采用的均是“账号密码+短信验证码”的伪双因素认证体系。这种认证体系在受到具有短信劫持功能的手机木马攻击时易显得脆弱。虽然已有部分银行开始推广音频盾、蓝牙盾等双因素认证系统，但这些系统的使用不是强制性的，绝大多数用户仍在使用“账号密码+短信验证码”的认证方式。
多款手机银行登录即存隐患
登录作为用户使用手机银行客户端的第一步，因为要输入银行账号及密码等敏感信息，安全性尤为重要。在对16款手机银行客户端登录机制安全性测评的过程中，发现了两类比较严重的安全隐患：一类在通信过程中不对服务端身份进行校验，从而导致登录过程易被“中间人攻击”所劫持；另一类是加密机制不完整或过于简单，易被攻击者劫持或破解。
爱加密技术人员指出，不论使用的是何种登录加密机制，如果客户端在登录过程中不对服务端的身份（证书）进行校验，就有可能“信任”伪装身份的“冒牌服务端”，连接到假冒的银行服务端上，从而导致用户名、密码等信息被窃取。
爱加密定制服务破解移动支付安全难题
爱加密专门针对移动支付类App应用，做了一个专项的定制服务，在制定每套方案之前都会对应用进行全方位的安全评估，确保所制定的方案可以全方位、专业化地保证App的安全。而且每启动一个定制解决方案，就有一名专业技术和一名商务人员全程跟踪负责，解答技术难题和商务问题，做到始终提供一流的技术支持和专业的管家式服务支持。
同时，团队独创设计的“DEX加壳+SO库保护+高级混淆”三层保护技术，最大化地保护移动支付类App的安全。并且在手机适配上是目前最优秀的，测试手机超过1000款，兼容性得到完美保证。而且还支持x86、安卓4.4版本和art模式，使用加密后应用运行不会受到任何影响，也不会影响用户体验。