梆梆资讯
开放银行背后的大风险
2019-01-04
开放银行是个好东东,它把人们的日常工作生活与金融服务实现了更为深入、紧密的融合。开放银行满足了人们的新需求,也拓展出一片全新的金融生态环境。然而,金融机构通过开放银行将其金融能力开放给第三方合作伙伴的同时,也使得其开始面临远比电子银行更大的安全风险。
开放银行里的安全黑洞
从技术层面看,开放银行意味着金融机构需要通过API/SDK与第三方伙伴进行数据共享,为第三方合作伙伴输出金融服务能力,形成新的商业生态圈。在移动领域,银行等金融机构就需要将其专用SDK外发给第三方合作伙伴,第三方合作伙伴会在其业务App里集成银行的外发SDK,并通过App直接为其用户提供各类银行金融服务。而银行等金融机构在灵活了自身金融服务方式、渠道的同时,也可以更加有效的获取到用户的消费习惯、消费特征,实现精准度更高的客户画像。进一步去看则可以发现,如何对银行等金融机构的外发SDK实施有效管理正在成为新的问题,安全管理者将面临如下“3W”安全难题:
谁在用——Who?
是否在授权范围内用——Where?
是否以符合金融级安全标准的方式在使用——Which?
银行SDK外发后,意味着第三方合作伙伴将获得SDK的掌控权。如果第三方合作伙伴自身存在管理漏洞、安全漏洞甚或怀有恶意,将可能使得银行外发的SDK,在银行不知情的情况下被第四方、第五方人员非法使用。例如,本应集成在电商App里的银行SDK,遭遇破解,被赌博类App所使用。实际上,之前就曾发生过授权给某游戏使用的某计费类SDK,被非法破解后使得某在线博彩App得以非授权使用的事件。外发SDK所面临的这些安全风险,很有可能会导致开放银行安全黑洞的逐渐形成。
开放银行安全硬伤:三大不可控
之所以会出现上述安全风险,这主要是由于开放银行外发SDK“使用环境不可控、宿主App不可控、用户不可控”这三大不可控安全硬伤所决定的。
银行外发SDK被授权给第三方使用后,银行相关安全管理人员很难获知所授权的第三方合作伙伴开发环境(SDK使用环境)是否安全,SDK被内置使用的第三方合作伙伴宿主App是否拥有足够的安全强度,更无法知道使用这些内嵌了银行外发SDK 的业务App的用户是否可靠值得信赖,或者说“用户”的真实身份是恶意攻击者,正在通过破解第三方合作伙伴的App对其中所内嵌的银行外发SDK进行逆向分析,找寻可能存在的安全漏洞。这其中任何一个安全硬伤都可能会导致银行的外发SDK被非授权使用,由于SDK被破解而出现敏感数据泄漏、非法业务交易等各类安全事件。再考虑到开放银行所处的生态环境,借助供应链攻击方式,恶意攻击的多米诺骨牌连锁反应一触即发。
银行业五联疗法消弭开放银行安全大风险
如何才能治愈这些安全硬伤,保障开放银行的健康发展?针对移动领域,梆梆安全创新性提出“开放银行外发SDK安全保护方案”,五联疗法治愈移动领域里的开放银行安全硬伤。
对于银行等金融机构的安全管理者,如果其希望能够做好移动领域开放银行的安全防护工作,尽快吃透这五联疗法就显得极为重要了,其应该指导相关开发人员、安全管理人员做好以下工作:
SDK开发阶段——安全检测:银行等金融机构的安全管理者,首先需要参考该行业的安全基线,对外发SDK展开自动化测评和渗透测试,直观发现SDK所面临的安全问题,如泄漏用户数据、自身存在安全漏洞、业务逻辑不完整、攻击面过多、不符合等保规范等。
SDK正式发布前——安全保护:外发SDK往往会涵盖登录、支付、统计、监测、地图、广告、通讯、推送、验证等众多业务,所以需要比对安全检测结果,对SDK实施安全加固等主动防护操作,保护其核心算法、密钥、后台API接口、业务逻辑等重要内容,增强SDK安全性降低被攻击的可能。
SDK对外发布时——安全管理:对需要集成调用的SDK登记应用包名、签名信息,在SDK调用过程中验证宿主App的包名、签名信息,防止非授权App调用问题的发生。同时通过接入管理,对存在安全威胁大、应用安全防护措施低、用户投诉多等重大安全隐患的App进行接入封禁,有效保障SDK的接入安全。
SDK运行过程中——运行监控:考虑到SDK运行环境的不可控性,需要对SDK实施主动安全监控,实现SDK对自身威胁的感知、对宿主APK威胁的感知以及对宿主应用所在环境威胁的感知,在风险发生时或发生前做到预警、阻断,于风险发生后进行溯源。
SDK面临风险时——安全响应:对于SDK运行过程中所遇到的各类安全威胁,需要利用SDK威胁态势感知检测、SDK渠道监测结果,分析并响应各种安全威胁,利用业务控制、技术对抗及法律方法给予第一时间的响应处理。
开放银行能够正常运行的技术核心就在于API/SDK,这个关键点一旦出现安全问题,其所导致连锁反应造成的损失将不可估量,因此必须要采取有效的保障措施保护好SDK安全。
Copyright ©2022. All Rights Reserved 京ICP证160618号 京ICP备11006574号-1