移動(dòng)電子商務(wù)中的短信驗(yàn)證碼安全威脅問題研究

范 敏， 陳 磊

(合肥師范學(xué)院 經(jīng)濟(jì)與管理學(xué)院，合肥 230601)

移動(dòng)電子商務(wù)中的短信驗(yàn)證碼安全威脅問題研究

范 敏， 陳 磊

(合肥師范學(xué)院 經(jīng)濟(jì)與管理學(xué)院，合肥 230601)

隨著移動(dòng)電子商務(wù)安全問題的凸顯，作為常見解決方案的短信驗(yàn)證碼技術(shù)面臨著短信木馬和惡意軟件、運(yùn)營(yíng)商或者服務(wù)商發(fā)生信息泄露、補(bǔ)卡攻擊和克隆攻擊、手機(jī)打碼平臺(tái)等安全威脅。針對(duì)上述問題，文章分別從電商平臺(tái)、用戶和服務(wù)商角度提出了加強(qiáng)對(duì)數(shù)據(jù)安全的保護(hù)、增強(qiáng)對(duì)手機(jī)系統(tǒng)安全威脅的認(rèn)知和增加智能碼驗(yàn)證方式等應(yīng)對(duì)策略。

短信驗(yàn)證碼；短信木馬；信息泄露

近年來隨著我國(guó)移動(dòng)電子商務(wù)持續(xù)高速發(fā)展，截至2016年12月，我國(guó)手機(jī)網(wǎng)民規(guī)模達(dá)6.95億，增長(zhǎng)率連續(xù)三年超過10%;使用手機(jī)網(wǎng)上支付用戶規(guī)模增長(zhǎng)迅速，達(dá)到4.69億，年增長(zhǎng)率為31.2%;網(wǎng)民手機(jī)網(wǎng)上支付的使用比例由57.7%提升至67.5%，其中有50.3%的網(wǎng)民在線下實(shí)體店購(gòu)物時(shí)使用手機(jī)支付結(jié)算[1]。伴隨著這一趨勢(shì)，O2O、共享經(jīng)濟(jì)等依托移動(dòng)支付的一大批線下應(yīng)用迅速崛起。而在移動(dòng)支付快速發(fā)展的過程中難以回避的首要問題就是安全問題，支付安全性是許多消費(fèi)者是否選擇移動(dòng)支付的核心因素。

目前國(guó)內(nèi)學(xué)術(shù)界對(duì)移動(dòng)電子商務(wù)安全問題做了大量研究：郭寶丹等針對(duì)移動(dòng)電子商務(wù)的安全與解決措施等方面進(jìn)行了論述,并提出為了更好地解決移動(dòng)電子商務(wù)中出現(xiàn)的潛在威脅,需要不斷增強(qiáng)TCP/IP的安全[2]；車念等針對(duì)移動(dòng)電子商務(wù)中的信息安全需求,提出一種融合AES、RSA和CPRS混沌3種加解密方式的保密通信系統(tǒng)[3]；鐘遠(yuǎn)濤以移動(dòng)電子商務(wù)存在的安全問題為視角,介紹了語(yǔ)音識(shí)別技術(shù)在移動(dòng)電子商務(wù)安全中的應(yīng)用情況[4]；李丹丹等提出了一種基于模糊綜合評(píng)價(jià)法的指標(biāo)評(píng)價(jià)體系,用于評(píng)價(jià)已有的移動(dòng)電子商務(wù)身份認(rèn)證方案的安全性[5]；張立新提出驗(yàn)證碼技術(shù)主要包括圖片驗(yàn)證碼、問題驗(yàn)證碼、短信驗(yàn)證碼、動(dòng)作驗(yàn)證碼等，同時(shí)初步研究了各類驗(yàn)證碼的破解之策[6]。馬明陽(yáng)提出Trust SMS系統(tǒng)通過利用ARM Trust Zone技術(shù),可以同時(shí)保證短信數(shù)據(jù)在傳輸過程中和在智能手機(jī)操作系統(tǒng)內(nèi)的安全性[7]。

綜上所述，目前國(guó)內(nèi)相關(guān)研究主要集中于兩方面，即移動(dòng)電子商務(wù)的安全問題及基于不同安全技術(shù)的解決方案，而專門對(duì)短信驗(yàn)證碼技術(shù)進(jìn)行研究的文章還較少。本文擬在前人研究基礎(chǔ)上對(duì)當(dāng)前移動(dòng)電子商務(wù)中的短信驗(yàn)證碼技術(shù)所面臨的安全威脅問題進(jìn)行研究，以期為促進(jìn)移動(dòng)電子商務(wù)的發(fā)展提供參考。

一、移動(dòng)電子商務(wù)中的短信驗(yàn)證碼安全技術(shù)

為保證移動(dòng)電子商務(wù)過程的安全，特別是移動(dòng)支付環(huán)節(jié)的安全，電子商務(wù)的服務(wù)供應(yīng)商通常會(huì)使用很多安全技術(shù)和措施，其中消費(fèi)者能直接體驗(yàn)的就是驗(yàn)證碼技術(shù)。驗(yàn)證碼(CAPTCHA)是全自動(dòng)區(qū)分計(jì)算機(jī)和人類的圖靈測(cè)試(Completely Automated Public Turing test to tell Computers and Humans Apart)的縮寫。

常見的驗(yàn)證碼技術(shù)包括web驗(yàn)證碼和短信驗(yàn)證碼兩大類[6]。Web驗(yàn)證碼主要是用來防護(hù)系統(tǒng)的安全，主要是防止用戶端自動(dòng)化輸入。由于電子商務(wù)系統(tǒng)與生俱來的信息化屬性，使得在用戶端可以利用自動(dòng)化的腳本或者程序進(jìn)行輸入，常見的如“秒殺”、“搶票”、“月餅門”等插件或小程序。在移動(dòng)電子商務(wù)時(shí)代，由于用戶通常使用的是手機(jī)或者平板電腦之類的個(gè)人專屬性極強(qiáng)的終端，因此，電子商務(wù)的服務(wù)提供商往往默認(rèn)使用這些APP的用戶一定是人而非腳本或者軟件，所以在移動(dòng)電子商務(wù)領(lǐng)域web驗(yàn)證碼出現(xiàn)的頻率相對(duì)較低，通常只是在賬戶登錄時(shí)才可能碰到。如果說web驗(yàn)證碼是為了驗(yàn)證用戶是人還是程序，那么短信驗(yàn)證碼技術(shù)則主要是為了驗(yàn)證是否為用戶本人[7]。

短信驗(yàn)證碼技術(shù)的常見工作過程是用戶向服務(wù)端發(fā)送請(qǐng)求，服務(wù)端通過短信平臺(tái)向用戶發(fā)送一串系統(tǒng)生成的數(shù)字(驗(yàn)證碼)，客戶在提交數(shù)據(jù)的時(shí)候填寫該驗(yàn)證碼，服務(wù)端驗(yàn)證客戶填寫的數(shù)字是否與發(fā)送給發(fā)出請(qǐng)求的客戶的數(shù)字一致。

短信驗(yàn)證碼技術(shù)所基于的短信技術(shù)出現(xiàn)的比web驗(yàn)證碼要早，但是在移動(dòng)電子商務(wù)時(shí)代其驗(yàn)證效果卻更好。首先，移動(dòng)電子商務(wù)時(shí)代用戶天然地會(huì)使用手機(jī)號(hào)碼，使得短信驗(yàn)證碼的大量應(yīng)用對(duì)用戶而言沒有成本，學(xué)習(xí)成本也比web驗(yàn)證碼低；其次,一般而言，收短信并進(jìn)行識(shí)別只能通過手機(jī)等移動(dòng)終端實(shí)現(xiàn)，而這類移動(dòng)終端運(yùn)行的系統(tǒng)對(duì)普通用戶來說必須本人自己用手操作，而較難用程序進(jìn)行；最后由于利用手機(jī)號(hào)碼的成本限制，一個(gè)用戶通常只有一到兩個(gè)號(hào)碼，基本可以保證用戶的唯一性。因此，短信驗(yàn)證碼不但可以防范非法的腳本或程序的攻擊，在一定程度上還起到了驗(yàn)證是否由客戶本人操作的作用，如表1所示。在目前的移動(dòng)支付領(lǐng)域，短信驗(yàn)證碼技術(shù)廣為流行，主要是因?yàn)槠渚哂谐杀咀畹?、最容易?shí)現(xiàn)、預(yù)設(shè)基本靠譜；用戶綁定性較強(qiáng)，不需要額外設(shè)備；用戶廣泛擁有，校驗(yàn)成本極低等優(yōu)勢(shì)。

表1 短信驗(yàn)證碼技術(shù)的預(yù)設(shè)

二、短信驗(yàn)證碼技術(shù)面臨的安全威脅

在移動(dòng)電子商務(wù)高速發(fā)展的同時(shí)，安全技術(shù)面臨的威脅也從未消失。從表面上看，由于有很多電商的web端或者APP都有手機(jī)驗(yàn)證功能，即使賬號(hào)密碼泄露，也不用擔(dān)心賬戶內(nèi)的資金或其他虛擬財(cái)產(chǎn)會(huì)有損失，但是由于手機(jī)系統(tǒng)自身的安全問題和短信驗(yàn)證碼面臨的安全漏洞，在相關(guān)賬號(hào)密碼信息泄露的情況下，被他人盜取財(cái)產(chǎn)的可能性還是會(huì)存在。

(1) 智能手機(jī)平臺(tái)上的短信木馬和惡意軟件 目前智能手機(jī)系統(tǒng)面臨的安全問題主要是手機(jī)木馬和惡意軟件，在安卓系統(tǒng)中這些問題尤為明顯。由于安卓系統(tǒng)的開放性，且多數(shù)用戶都習(xí)慣于允許安裝第三方程序，使得安卓手機(jī)極易存在大量具有威脅性的應(yīng)用和服務(wù)。

對(duì)短信驗(yàn)證碼體系威脅最大的是針對(duì)手機(jī)短信的木馬，一個(gè)不需要太高編程水平的人即可編寫出攔截并轉(zhuǎn)發(fā)短信的程序，而用戶很難察覺。通常這類木馬按照以下方式運(yùn)行,如圖1所示：安卓系統(tǒng)的短信木馬程序具備開機(jī)自動(dòng)運(yùn)行功能，當(dāng)其自動(dòng)運(yùn)行后，會(huì)同步開啟Service服務(wù)(安卓的APP程序中的Service服務(wù)沒有用戶界面，沒有桌面快捷方式圖標(biāo)，只在后臺(tái)執(zhí)行，并且可以被其他應(yīng)用組建啟動(dòng)，當(dāng)用戶在執(zhí)行其他應(yīng)用時(shí)，Service還可以持續(xù)在后臺(tái)運(yùn)行)，并利用service 的事件通知的管理功能Notification Manager檢查短信箱是否有內(nèi)容，如果有，會(huì)立即將短信轉(zhuǎn)發(fā)至木馬程序開發(fā)者所設(shè)定的手機(jī)號(hào)碼；之后再使用SmsObserver 進(jìn)行短信監(jiān)聽，并通過“android.provider.Telephony.SMS_RECEIVED”獲取短信接收權(quán)限，如果有新短信，繼續(xù)轉(zhuǎn)發(fā)至木馬程序開發(fā)者所設(shè)定的手機(jī)號(hào)碼。

圖1 短信木馬的運(yùn)行過程

這類安卓短信木馬程序通常利用“社會(huì)工程學(xué)”方式進(jìn)行病毒式傳播，即在當(dāng)其傳播到一臺(tái)手機(jī)后，會(huì)對(duì)該手機(jī)通訊錄內(nèi)的全部對(duì)象進(jìn)行群發(fā)短信，通常冠以“聚會(huì)照片”之類的名義迷惑受害人。目前由于安卓系統(tǒng)手機(jī)普及率較高，而多數(shù)用戶的安全知識(shí)還不足以辨別這類病毒，國(guó)內(nèi)感染手機(jī)病毒的用戶較多。這類傳播方式充分利用智能手機(jī)的特殊性，不僅可以運(yùn)行傳統(tǒng)電子商務(wù)過程所需要的客戶端APP，還自帶天然的社交功能：通訊錄。通訊錄帶來的這種人際關(guān)系的信任，給手機(jī)木馬的傳播帶來了便利，用戶看到短信由信任的人發(fā)送過來，本能地容易相信其發(fā)來的內(nèi)容。根據(jù)360公司統(tǒng)計(jì)，僅2016年一年國(guó)內(nèi)就有1.08億臺(tái)安卓手機(jī)感染木馬病毒。

對(duì)用戶而言，當(dāng)信息泄露和被安裝短信木馬同時(shí)發(fā)生時(shí)，其電子商務(wù)賬號(hào)內(nèi)的財(cái)產(chǎn)就面臨著高威脅。試圖盜取用戶財(cái)產(chǎn)的不法分子，第一步收集泄露的用戶的用戶名、密碼、綁定手機(jī)等賬號(hào)信息，第二步在用戶的社交圈內(nèi)散播木馬病毒，第三步對(duì)被安裝了木馬病毒的用戶的賬號(hào)進(jìn)行操作。由于被侵害的用戶手機(jī)被植入了木馬，不法分子登錄或進(jìn)行財(cái)產(chǎn)操作時(shí)服務(wù)商發(fā)給用戶的驗(yàn)證碼短信會(huì)被攔截并轉(zhuǎn)發(fā)給不法分子。這種盜取不一定由一個(gè)團(tuán)伙完成，網(wǎng)絡(luò)上的許多犯罪行為早已分工為多個(gè)環(huán)節(jié)，形成“產(chǎn)業(yè)鏈”，給移動(dòng)電子商務(wù)的安全帶來較高的威脅。

(2) 運(yùn)營(yíng)商或者服務(wù)商發(fā)生信息泄露 在大量使用短信驗(yàn)證碼的同時(shí)，用戶必然在各大電子商務(wù)服務(wù)商處留下了自己的手機(jī)號(hào)碼。一旦這些手機(jī)號(hào)碼的運(yùn)營(yíng)商和服務(wù)商發(fā)生信息泄露，普通用戶的賬號(hào)信息，包括用戶名、密碼、手機(jī)號(hào)、電子郵箱等大量私人信息就會(huì)暴露于人前，被不法分子所利用。由于利益的驅(qū)動(dòng)和服務(wù)商在安全防范上的不足，這類大規(guī)模的信息泄露屢屢發(fā)生。國(guó)內(nèi)已經(jīng)發(fā)生了多起大規(guī)模信息泄露事件，如京東在2017年3月被爆出涉及50億條公民信息泄露，這已經(jīng)是2016下半年京東因網(wǎng)站框架缺陷導(dǎo)致大規(guī)模用戶信息泄露以來第二次曝光的安全事件。據(jù)京東官方消息，涉嫌信息泄露的是2016年6月底入職京東、尚處于試用期的網(wǎng)絡(luò)工程師鄭某，他是黑色產(chǎn)業(yè)鏈團(tuán)伙的重要成員，曾就職亞馬遜中國(guó)、百度和新浪微博從事網(wǎng)絡(luò)安全相關(guān)工作，長(zhǎng)期與盜賣個(gè)人信息的犯罪團(tuán)隊(duì)合作。2017年2月的求職高峰期，某同城網(wǎng)站被爆出大量簡(jiǎn)歷信息泄露，購(gòu)買者只需支付 700 元在淘寶上獲取一款名為信息采集器的軟件，即可通過賣家提供的賬號(hào)，不斷采集應(yīng)聘者的“姓名、手機(jī)號(hào)、求職方向、年齡、期望月薪、工作經(jīng)驗(yàn)、居住地”等信息，軟件每小時(shí)可以采集數(shù)千份用戶數(shù)據(jù)。2016年10月的某郵箱泄露事件導(dǎo)致數(shù)億數(shù)據(jù)記錄泄露，造成了大量蘋果設(shè)備被“黑客”遠(yuǎn)程加鎖并勒索。

(3) 補(bǔ)卡攻擊、克隆攻擊 短信驗(yàn)證碼技術(shù)本質(zhì)上是基于手機(jī)號(hào)(SIM卡/運(yùn)營(yíng)商服務(wù))而不是智能手機(jī)設(shè)備，因此只要能辦一張和受害者相同的手機(jī)號(hào)(卡)，自然就能貍貓換太子，接收受害者的驗(yàn)證碼，重置各類賬號(hào)。參考安卓系統(tǒng)手機(jī)綁定銀行卡易成為黑客“提款卡”，其主要的薄弱環(huán)節(jié)就在手機(jī)號(hào)碼運(yùn)營(yíng)商，部分地區(qū)的運(yùn)營(yíng)商對(duì)補(bǔ)卡人員身份驗(yàn)證不嚴(yán)導(dǎo)致出現(xiàn)了補(bǔ)卡攻擊。在早些年SIM卡構(gòu)造簡(jiǎn)單的時(shí)候甚至還能直接去克隆一張卡出來，但近幾年由于運(yùn)營(yíng)商加強(qiáng)了辦卡身份驗(yàn)證，這種攻擊已經(jīng)在逐漸減少。

(4) 手機(jī)打碼平臺(tái) 電子商務(wù)運(yùn)營(yíng)平臺(tái)利用短信驗(yàn)證碼技術(shù)和措施做用戶身份核驗(yàn)，也不是萬無一失，同樣可能被別有用心者“薅羊毛”。國(guó)內(nèi)已經(jīng)出現(xiàn)了“手機(jī)打碼平臺(tái)”，專門提供手機(jī)短信驗(yàn)證碼驗(yàn)證“服務(wù)”，其利用卡商提供的海量手機(jī)號(hào)進(jìn)行“人肉”或自動(dòng)打碼服務(wù)。當(dāng)電子商務(wù)運(yùn)營(yíng)平臺(tái)開展促銷的活動(dòng)時(shí)，“薅羊毛”者大量注冊(cè)用戶，利用“手機(jī)打碼平臺(tái)”解決電商平臺(tái)上出現(xiàn)的手機(jī)驗(yàn)證碼。當(dāng)活動(dòng)正式開始時(shí)，利用程序?qū)⒋黉N產(chǎn)品一掃而空，之后再以正常價(jià)格出售，以牟取利益。從流程上看，“薅羊毛”的過程對(duì)電商平臺(tái)來說，完全符合其活動(dòng)流程。但是這種有組織的“薅羊毛”行為明顯會(huì)對(duì)電子商務(wù)運(yùn)營(yíng)平臺(tái)造成聲譽(yù)上的損失。

除此之外，短信驗(yàn)證碼技術(shù)還會(huì)面臨一些其他的威脅，比如無線電監(jiān)聽。這里主要包括GSM監(jiān)聽(GSM Hacking 的SMS Sniffer)，包括監(jiān)聽空中短信，直接獲取短信內(nèi)容，但這個(gè)做法成本和范圍有限，用于真正犯罪的情況還比較少。

三、應(yīng)對(duì)策略

移動(dòng)電子商務(wù)時(shí)代，作為重要安全措施之一的手機(jī)驗(yàn)證碼，正面臨著信息泄露和手機(jī)木馬等威脅，為了減少這些威脅，使移動(dòng)電子商務(wù)更好地發(fā)展，需要從多個(gè)方面著手。

1.電商平臺(tái)：加強(qiáng)對(duì)數(shù)據(jù)安全的保護(hù)，完善內(nèi)部管理制度

大量采集用戶信息的電商平臺(tái)，必須要采取有效措施保障這些信息的安全。根據(jù)在2017年6月1日實(shí)施的《中華人民共和國(guó)網(wǎng)絡(luò)安全法》第四十二條，網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保其收集的個(gè)人信息安全，防止信息泄露、毀損、丟失；在發(fā)生或者可能發(fā)生個(gè)人信息泄露、毀損、丟失的情況時(shí)，應(yīng)當(dāng)立即采取補(bǔ)救措施，按照規(guī)定及時(shí)告知用戶并向有關(guān)主管部門報(bào)告[8]。

技術(shù)措施上，電商平臺(tái)首先要做的是控制數(shù)據(jù)的流向，根據(jù)必要性提供數(shù)據(jù)的查詢，平衡數(shù)據(jù)可用性與未授權(quán)數(shù)據(jù)的使用；其次是對(duì)重要數(shù)據(jù)段如密碼等進(jìn)行加密存儲(chǔ)，保證數(shù)據(jù)即使流出也難以被直接使用；最后是要對(duì)用戶界面進(jìn)行充分的檢查，避免出現(xiàn)數(shù)據(jù)庫(kù)注入之類的漏洞讓黑客利用。隨著大的電商平臺(tái)在數(shù)據(jù)安全技術(shù)上的逐步完善，不法分子逐步將目光轉(zhuǎn)向了這些公司在制度和管理上的漏洞。比如黑客團(tuán)伙利用公司內(nèi)部的管理漏洞，通過入職電商平臺(tái)直接盜取大量的用戶數(shù)據(jù)，因此電商平臺(tái)也急需加強(qiáng)招聘環(huán)節(jié)審查，不斷完善內(nèi)部管理制度。

2.用戶：增強(qiáng)對(duì)手機(jī)系統(tǒng)安全威脅的認(rèn)知，養(yǎng)成良好使用習(xí)慣

智能手機(jī)，特別是相對(duì)容易被植入木馬的安卓系統(tǒng)手機(jī)近些年在國(guó)內(nèi)快速的普及，其早已不是科技達(dá)人的專屬，而是為普通大眾所用。在我國(guó)這一人口龐大的國(guó)家，有一半以上的人使用智能手機(jī)上網(wǎng)，給移動(dòng)電子商務(wù)的發(fā)展奠定了關(guān)鍵的基礎(chǔ)，但是其使用安全的問題卻相對(duì)被忽視。多數(shù)用戶只知道如何安裝和使用手機(jī)APP，而缺乏鑒別其安裝的APP可靠性和安全性的能力。

普及手機(jī)安全使用的知識(shí)，培養(yǎng)用戶識(shí)別手機(jī)木馬的能力，養(yǎng)成正確的智能手機(jī)使用習(xí)慣，需要社會(huì)的多方努力，政府、智能手機(jī)廠商、電商平臺(tái)都應(yīng)該加強(qiáng)這方面的宣傳工作。

3.服務(wù)商：增加智能碼等驗(yàn)證方式，不斷完善安全技術(shù)

在移動(dòng)電子商務(wù)發(fā)展的過程中，短信驗(yàn)證碼因?yàn)槠鋵?shí)現(xiàn)較為容易，能起到良好的驗(yàn)證效果，而被廣泛使用。但是也應(yīng)該看到，短信驗(yàn)證碼技術(shù)和措施依托的短信技術(shù)出現(xiàn)的時(shí)代較早，因此存在著一定的漏洞，不但可能造成普通用戶的財(cái)產(chǎn)損失，而且對(duì)電子商務(wù)運(yùn)營(yíng)平臺(tái)也可能造成損失。對(duì)移動(dòng)電子商務(wù)而言，除了web驗(yàn)證碼和手機(jī)驗(yàn)證碼之外，還需要新的驗(yàn)證方式。

自蘋果發(fā)布iPhone5s后，指紋識(shí)別逐步成為了智能手機(jī)的標(biāo)配，目前已經(jīng)有不少移動(dòng)電子商務(wù)平臺(tái)已經(jīng)支持指紋驗(yàn)證，客觀上提升了交易等電子商務(wù)活動(dòng)的安全。但是并不是所有智能手機(jī)都有指紋識(shí)別裝置，這種驗(yàn)證方式普及還需要時(shí)日。

移動(dòng)電子商務(wù)還需要其他的驗(yàn)證方式。智能手機(jī)除了有手機(jī)號(hào)外，還有自身的序列號(hào)等唯一的識(shí)別編碼，同時(shí)智能手機(jī)廠商也具有向智能手機(jī)推送系統(tǒng)更新的能力。從技術(shù)上說，智能手機(jī)廠商是具備向智能手機(jī)用戶發(fā)送驗(yàn)證碼的能力的。同時(shí)這種驗(yàn)證碼的形式可以不限于數(shù)字，可以類似web驗(yàn)證碼，也可以是聲音或者視頻，甚至可以和用戶采用互動(dòng)的方式。從流程上說這種“智能碼”驗(yàn)證方式和手機(jī)短信驗(yàn)證碼方式非常類似：電子商務(wù)平臺(tái)將需要驗(yàn)證的內(nèi)容發(fā)送給智能手機(jī)廠商，智能手機(jī)廠商通過自身的系統(tǒng)將其轉(zhuǎn)化成合適的形式通過驗(yàn)證碼系統(tǒng)發(fā)送給用戶，用戶填寫后發(fā)送給電子商務(wù)平臺(tái)。這種“智能碼”驗(yàn)證方式的本質(zhì)是智能手機(jī)廠商替代通訊運(yùn)營(yíng)商作為驗(yàn)證過程中的第三方。“智能碼”的發(fā)送過程、數(shù)據(jù)通訊過程、傳輸過程都運(yùn)行在系統(tǒng)內(nèi)層，這使得運(yùn)行在外層的手機(jī)木馬不容易截獲相關(guān)信息，大大提升了系統(tǒng)的安全性。

隨著智能手機(jī)為主的移動(dòng)設(shè)備進(jìn)一步普及，人們的消費(fèi)、交易、支付習(xí)慣將越來越離開臺(tái)式機(jī)和筆記本，移動(dòng)電子商務(wù)的巨大發(fā)展前景是不言而喻的，市場(chǎng)蛋糕也將逐漸增大。而任何一種移動(dòng)電子商務(wù)模式都無法回避安全問題，移動(dòng)電子商務(wù)參與的各方應(yīng)通力合作，盡快推動(dòng)相應(yīng)的新規(guī)則建設(shè)，以功能與產(chǎn)品監(jiān)管規(guī)則為核心，不斷完善和改進(jìn)移動(dòng)支付安全技術(shù)，確保移動(dòng)電子商務(wù)安全健康發(fā)展。

[1] 中國(guó)互聯(lián)網(wǎng)信息中心.中國(guó)互聯(lián)網(wǎng)絡(luò)發(fā)展?fàn)顩r統(tǒng)計(jì)報(bào)告[EB/OL].(2017-01-22)[2017-06-10]. http://www.cnnic.net.cn/gywm/xwzx/rdxw/20172017/201701/t20170122_66448.htm.

[2] 郭寶丹.移動(dòng)電子商務(wù)的安全問題及對(duì)策探索[J].產(chǎn)業(yè)與科技論壇,2015 (15):46-47.

[3] 車念,趙士元,丁莎. 融合多重加解密算法的保密通信系統(tǒng)[J].計(jì)算機(jī)工程與設(shè)計(jì),2017(4):936-940.

[4] 鐘遠(yuǎn)濤.移動(dòng)電子商務(wù)安全對(duì)語(yǔ)音識(shí)別技術(shù)的應(yīng)用[J].商場(chǎng)現(xiàn)代化, 2015(3):82.

[5] 李丹丹,華蕊.基于模糊綜合評(píng)價(jià)法的移動(dòng)商務(wù)身份認(rèn)證評(píng)價(jià)[J].微電子學(xué)與計(jì)算機(jī),2016 (3):65-68.

[6] 張立新.多種類型驗(yàn)證碼的研究與分析[J].福建電腦, 2016 (10):76，125.

[7] 馬明陽(yáng).基于可信硬件的智能手機(jī)短信加密方案[J].計(jì)算機(jī)與現(xiàn)代化, 2016(4):29-35.

[8] 中華人民共和國(guó)工業(yè)和信息化部. 中華人民共和國(guó)網(wǎng)絡(luò)安全法[EB/OL].(2016-11-08)[2017-01-10].http://www.miit.gov.cn/n1146295/n1146557/n1146614/c5345009/content.html.

Research on Security Threats of SMS Verification Code Based on Mobile E-commerce

FAN Min, CHEN Lei

(College of Economics and Management, Hefei Normal University, Hefei 230601, China)

With the emergence of security problem of mobile e-commerce, the SMS verification code technology, which is a common solution, is facing some security threats such as the SMS Trojans and malware, card information leak of operators or service providers, re-card attack and clone attack, mobile phone platform code and so on. In this paper, some strategies are proposed to solve these problems. It is pointed out that the electronic business platform should strengthen the protection of data safety, the users should enhance the awareness of security threats of mobile phone system, and the service providers should introduce the intelligent code verification mode.

SMS verification code; SMS Trojans; information leak

2017-07-05

安徽省2015年高校人文社科項(xiàng)目(sk2015a464)；合肥市2016年度社科規(guī)劃項(xiàng)目(2016-015);合肥師范學(xué)院2015年度縣校產(chǎn)學(xué)研合作項(xiàng)目(cxyhzsk011)

范 敏(1986-)，女，安徽安慶人，講師。

C931.6

A

1008-3634(2017)05-0037-05

(責(zé)任編輯 謝媛媛)