【芯盾時代】移動安全身份認證解決方案（16頁）.pptx

《【芯盾時代】移動安全身份認證解決方案（16頁）.pptx》由會員分享，可在線閱讀，更多相關《【芯盾時代】移動安全身份認證解決方案（16頁）.pptx（16頁珍藏版）》請在三個皮匠報告上搜索。

1、芯盾 Trusfort移動身份認證安全解決方案,北京芯盾時代科技有限公司產品總監 杜旭,隨芯而動 秉信而行,身份欺詐規?；?花樣翻新速度快,2016年上半年安全聯盟接收舉報信息47.3萬條，其中18.3萬條被認定為惡意網址，占總量的將近40%。,惡意網址占很大部分，75.01%,35.5萬條舉報網址中，釣魚欺詐（53.35%）,中獎、積分兌換、網銀失效類釣魚網站是主流,下載apk木馬的網址,詐騙信息的傳播途徑以電話、短信為主,仿冒銀行是詐騙的主要手段,越來越多的惡意網址必須在手機或微信端打開；包含apk木馬鏈接的短信數量逐漸攀升；,信息盜?。鹤矌焱蠋?2011.10，CSDN網站640萬用戶資

2、料遭拖庫泄密2011.12，天涯論壇4000萬用戶數據外泄2014.01，如家、漢庭等酒店2000萬用戶數據遭泄露2014.09，iCloud遭破解，明星照片泄露2014.12，12306訂票網站13萬余條12306用戶數據網上售賣2015.02，Uber 5萬名司機信息泄露2015.04，遍布19個省份的社保系統相關信息泄露達5279.4萬條2015.10，網易163/126電子郵箱過億數據泄漏2015.12，申通快遞被黑客入侵系統，3萬多條包含客戶信息的快遞單遭到泄漏,步驟一：賬號竊取,社工庫已收集上億用戶的撞庫密碼，可查詢,北京芯盾時代科技有限公司,移動互聯網領域，身份安全問題頻發,互聯

3、網業務（場景）,業務層面,用戶名口令拖庫暴力撞庫數據鏈路攻擊數據存儲攻擊業務邏輯漏洞攻擊銀行卡盜轉盜刷惡意注冊、登錄刷單薅羊毛,攻擊,設備層面,登錄過程嗅探口令破解獲取鍵盤輸入獲取應用反編譯破解錄屏和遠程控制短信驗證碼截取權限及數據獲取,用戶層面,社會工程學電話短信欺詐口令猜測釣魚攻擊身份偽造,北京芯盾時代科技有限公司,短信竊?。夯緹o線攔截,運營商,銀行,驗證碼短信,干擾信號，用戶設備降頻到2G（3、4G短信加密，2G不加密）,短信不加密，空口攔截,黑客,正常用戶,步驟二：短信竊取,北京芯盾時代科技有限公司,設備綁定繞過方法,步驟三：設備綁定,Android手機系統堆棧,Hardware,H

4、AL,Linux Kernel,Android Runtime&Libraries,Android Framework,Android Applications,系統指紋：Android IDIMSIIMEI,內核指紋,硬件指紋,SE,SE指紋,設備指紋按照手機系統堆棧的層次可分為四個層次。一般手機APP僅采用最高層“系統指紋”進行設備綁定和驗證。但在改串號軟件中，IMEI、MAC、AndroidID等均可輕易被篡改，安全性很差。,改串號、改信息,北京芯盾時代科技有限公司,黑色產業鏈日益完善,央視集中報道5分鐘網上買到上千銀行卡信息幾乎全部正確起底“電信詐騙術”之“驗證碼”騙局人行發布170，

5、261號文加強金融交易過程中的安全監管；認證安全事件波及銀行、第三方支付、證券、P2P金融及互聯網公司，各種盜轉盜刷、身份欺詐、隱私盜取事件層出不窮；身份欺詐呈現專業化、規?；?、組織化。2015年僅打碼平臺的充值客戶數比2014年增長了27%，充值金額增長了40%，160萬人的地下產業鏈；,國家重視,剛性需求,增長迅猛,上游,拖庫/撞庫/社工庫偽基站/貓池僵尸/木馬/蠕蟲惡意軟件/釣魚網站打碼平臺刷單/刷串號,中游,身份信息竊取賬號密碼竊取短信驗證碼攔截惡意注冊POS/WiFi竊取信息交易平臺,下游,信息獲取,實施攻擊,錢財盜轉支付盜刷盜買/盜賣欺詐勒索刷單/薅羊毛網絡黃牛,1.阿里巴巴201

6、5數據風控年報,北京芯盾時代科技有限公司,芯盾時代：新一代智慧身份認證服務提供商,目標：利用創新的設備認證、生物認證、身份反欺詐技術和安全認證協議算法，對現有身份驗證方式進行革命性的創新，為金融、政府、互聯網及各行各業提供更安全、免密、智能的身份認證服務,1,2,3,4,賬號+密碼,賬號+密碼+驗證碼,賬號+密碼+U盾,芯盾身份認證,安全性：單因素認證，安全級別非常低，易受拖庫撞庫、社會工程學、口令竊取等攻擊靈活性：普適性身份認證方式,安全性：偽雙因素認證，安全級別低，易受短信驗證碼盜取攻擊靈活性：簡單方案，使用廣泛。2015年中國短信驗證碼市場規模達50億元,安全性：雙因素認證，安全級別高，

7、可抵御現有攻擊靈活性：移動端使用體驗差。2015年中國U盾市場規模近100億元,安全性：多因素認證，安全級別高，可抵御現有攻擊靈活性：直接利用移動終端進行身份認證，用戶體驗最優,北京芯盾時代科技有限公司,芯盾智慧身份認證體系,大數據：用趨勢分析告訴你0|1不能解決的安全問題大數據身份反欺詐，是指通過運用大數據構建模型的方法對借款人進行風險控制和風險提示。,芯盾設備認證,芯盾生物認證,芯盾大數據身份反欺詐服務,應 用,設備,北京芯盾時代科技有限公司,保險柜、防盜門,視頻監控,芯盾交易安全保護服務,核心技術：初始化與SoftSE,手機銀行APP,Trusfort芯盾安全認證組件,Trusfort安

8、全認證系統,運營商,設備綁定及認證,1,申請轉賬交易,4,生成并發送短信驗證碼,5,發送短信短信驗證碼,6,填寫短信驗證碼和交易密碼點擊確認,7,芯盾身份驗證,2,芯盾身份驗證,3,交易確認,8,驗證短信驗證碼和交易密碼,9,芯盾認證系統,威脅情報,攻擊事件,用戶行為,系統狀態,設備數據,識別惡意手機號、IP、賬號等,識別特定危險事件,識別黑客攻擊行為,識別攻擊設備,識別系統漏洞及危險,應用信息,大數據分析維度及其作用,設備獨一無二的特征標識，可以識別出終端設備環境的變化，有效區分出刷機、刷串號等危險行為。設備指紋技術的核心是解決移動終端設備的標識存在的沖突和漂移,操作系統的狀態，尤其是應用運

9、行環境的變化會對應用運行時內存、存儲數據等產生影響，所以對系統狀態或運行狀態的變化進行監控，可以杜絕黑客采用模擬器進行的攻擊,識別病毒木馬及非法APP,安裝木馬、二次打包應用，是竊取用戶信息、短信驗證碼等的主要方式。實時監控手機終端內安裝的應用程序，可以及時發現其中是否存在木馬、病毒、二次打包等惡意應用,惡意用戶或黑客一般連續作案或批量盜取用戶信息。根據發生欺詐、盜刷、惡意注冊等行為的高危用戶黑名單，可提前對業務風險進行預警和控制,目前普遍的黑客盜刷、盜卡等案件都是借助了運營商和銀行機制的漏洞，所以通過一些典型事件的監控，可以及時獲知用戶、終端設備是否成為黑客攻擊目標,根據用戶交易金額、類型、

10、位置、賬戶信息、操作習慣等信息，結合用戶前后操作的關聯性，可以對用戶的攻擊、欺詐等行為進行判斷，及時阻斷高風險的業務請求,北京芯盾時代科技有限公司,芯盾大數據身份反欺詐服務模型,基于海量的設備數據、威脅情報數據和用戶行為數據，構建獨有的以設備安全為核心的智能實時身份反欺詐模型。,識別設備仿冒/篡改識別模擬器識別攻擊框架/調試器識別系統Root/越獄識別病毒木馬/山寨APP識別特殊攻擊事件,識別惡意設備識別惡意手機號識別虛假用戶信息識別欺詐/泄露賬號識別欺詐IP地址識別風險Wifi,識別非常規操作位置 識別非常規操作時間識別非常規操作頻次識別非常規目標賬戶識別非常規業務種類識別非常規額度,智慧身

11、份認證：安全服務核心架構,保障三個點（人、設備、應用）、兩個鏈接（人與設備、設備與應用）的安全可信,北京芯盾時代科技有限公司,安全身份認證（B2B2C）Trusfort TIMS統一身份認證（B2B2E）Trusfort CIMS物聯網身份認證（B2B2C）Trusfort MIMS,芯盾 統一身份認證（CIMS）方案,北京芯盾時代科技有限公司,統一認證身份管理 IAM（Identity Access Management）手機綁定身份，裝在手機里的“你自己”免密認證記不住的密碼，無需再記刷一下臉、念一串數、摁摁手指安全認證告別拖庫撞庫、密碼泄露、盜轉盜刷、身份欺詐等安全風險,北京芯盾時代科技

12、有限公司,芯盾 物聯網身份認證（MIMS）方案,芯盾物聯網安全認證云平臺Trusfort MIMS,智能硬件、智能家居、智能汽車、智慧城市等IOT市場快速發展背后，身份認證安全問題已逐漸顯現芯盾綜合采用云計算、大數據、身份認證、終端安全等各類技術，提供物聯網線上、線下多種身份認證解決方案：線上認證方案：基于FIDO UAF、U2F快速身份識別框架，結合獨有技術，提供免密、快捷、標準化、跨App的線上安全認證方案線下認證方案：采用NFC、HCE、TEE/SE等技術，為物聯網設備提供安全便捷的近場身份認證服務,智能汽車,智能家居,智慧城市,智能插座,智能穿戴,智能移動,智能電視,智能芯片,關注安全、聚焦行業,北京芯盾時代科技有限公司,2016 ISC 互聯網安全創新企業總冠軍,央視報道，抓獲倒轉盜刷團伙,