(電子商務(wù)研究中心訊) 移動(dòng)支付的便捷和高收益如“華爾街之狼”般誘人，但對(duì)“孩子”——資金安全的擔(dān)心也是人們嘗試移動(dòng)支付的最大心理障礙，那么，移動(dòng)支付到底安全不安全，“狼和孩子”可不可以兼得？以下本人以信息安全行業(yè)從業(yè)人員的親身體驗(yàn)試用微信支付，對(duì)個(gè)人隱私保護(hù)、安全體驗(yàn)和安全性能進(jìn)行全面摸底，希望能給讀者們一些啟示。
春節(jié)期間微信推出了“搶紅包”，身邊的好多人都玩瘋了，在3.8婦女節(jié)的時(shí)候身邊還有好多人通過(guò)微信發(fā)紅包。通過(guò)“搶紅包”，微信迅速的吸引了大量用戶綁定銀行卡，據(jù)說(shuō)綁定量達(dá)到了3000萬(wàn)。不管數(shù)據(jù)是真是假，但身邊參與的人的確不少，媒體新聞是鋪天蓋地，影響力也相當(dāng)大。
本人也參與到了這場(chǎng)“搶紅包”的游戲中，為了玩“搶紅包”也被迫綁定了銀行卡搶紅包、發(fā)放紅包。但在high過(guò)后，微博里零星的有人開(kāi)始討論起微信支付的安全問(wèn)題。
其實(shí)在微信版余額寶“理財(cái)通”推出期間，由于收益略比余額寶略高，身邊就有同事朋友蠢蠢欲動(dòng)想把錢(qián)轉(zhuǎn)移到“理財(cái)通”，但由于是新興產(chǎn)品擔(dān)心微信的安全性沒(méi)敢進(jìn)行資金轉(zhuǎn)移。
移動(dòng)支付產(chǎn)品的安全需求，畢竟是用戶的基本需求，于是本人抱著學(xué)習(xí)和研究的態(tài)度去測(cè)試和體驗(yàn)了一下微信支付的相關(guān)功能，以下是本人使用過(guò)程的安全體驗(yàn)。
一、微信的登錄認(rèn)證的安全體驗(yàn)
微信支付是建立在微信之上的功能，安全性和微信本身的安全密切相關(guān)。于是本人首先對(duì)微信的登錄認(rèn)證機(jī)制進(jìn)行了測(cè)試。
1)用戶默認(rèn)保存登錄信息
微信為提升用戶的登錄體驗(yàn)，客戶端默認(rèn)是保存登錄認(rèn)證信息的，也就是說(shuō)如果你登錄微信后，沒(méi)有進(jìn)行退出操作，每次打開(kāi)微信就能自動(dòng)登錄。因此如果有人獲取到您的手機(jī)，就可以直接使用微信。有人會(huì)說(shuō)“我的手機(jī)設(shè)置了密碼別人拿了也用不了”。那我告訴你，如果你用的是Android手機(jī)隨便下個(gè)軟件幾秒鐘就能破解鎖屏密碼。如果你用的是“愛(ài)瘋手機(jī)”且越獄了那和Android沒(méi)多大區(qū)別，下個(gè)軟件也是幾秒鐘的事情。有人說(shuō)我沒(méi)越獄那總安全了吧？我只能說(shuō)不一定，網(wǎng)上看了一下有相關(guān)軟件能實(shí)施暴力破解，只是多花點(diǎn)時(shí)間，本人沒(méi)進(jìn)行嘗試，感興趣的同學(xué)可以做個(gè)測(cè)試。
2)用戶手機(jī)號(hào)與微信綁定
有的用戶說(shuō)“我使用習(xí)慣非常好，每次使用微信后都會(huì)退出”。那么，我們接著分析。微信登錄和注冊(cè)時(shí)，默認(rèn)首選的是“手機(jī)號(hào)碼”，這應(yīng)該是微信刻意引導(dǎo)用戶使用手機(jī)號(hào)碼進(jìn)行注冊(cè)，以簡(jiǎn)化注冊(cè)成本，并能通過(guò)用戶手機(jī)通訊錄進(jìn)行好友推送(本人也是因此暴露了自己的微信小號(hào)，眾多聯(lián)系人通過(guò)微信推送加我好友)。大多數(shù)的用戶的確都乖乖的通過(guò)手機(jī)號(hào)碼注冊(cè)使用微信了。在這里就產(chǎn)生了一個(gè)問(wèn)題，如果手機(jī)丟失、手機(jī)號(hào)碼棄用、非正常途徑補(bǔ)辦卡、SIM卡復(fù)制、短信劫持等都會(huì)對(duì)微信安全造成威脅。因?yàn)榭梢酝ㄟ^(guò)短信驗(yàn)證取回登錄密碼，同時(shí)微信還存在一種登錄方式“短信驗(yàn)證碼登錄”，用戶可以通過(guò)手機(jī)短信驗(yàn)證的方式進(jìn)行登錄。
通過(guò)其它方式(如QQ號(hào)碼)登錄微信的，在使用過(guò)程中一不小心被微信勾搭綁定了手機(jī)號(hào)碼，也就可以直接通過(guò)手機(jī)號(hào)碼進(jìn)行登錄。這時(shí)就可以使用手機(jī)號(hào)碼通過(guò)短信驗(yàn)證方式登錄。
用戶能做到隨時(shí)退出微信，又不是手機(jī)號(hào)碼注冊(cè)，且沒(méi)綁定手機(jī)號(hào)碼，估計(jì)還是挺少的。
3)微信登錄認(rèn)證方式總結(jié)
在微信的“設(shè)置-我的帳號(hào)”中有個(gè)奇葩功能“獨(dú)立密碼”，如果你是使用QQ號(hào)登錄的，你就可以為微信設(shè)置一個(gè)“獨(dú)立密碼”，這樣登錄微信既可以使用原來(lái)QQ的口令登錄，也可以使用獨(dú)立口令登錄，這是要提升用戶的體驗(yàn)嗎？沒(méi)太理解產(chǎn)品經(jīng)理的意圖。反而增加了帳號(hào)的風(fēng)險(xiǎn)，用戶需要確保兩個(gè)口令的安全，攻擊者如果通過(guò)某種途徑獲取到一個(gè)口令就可以登錄微信。
微信為防止盜號(hào)，對(duì)新客戶端使用做了限制，如果是新客戶端首次登錄，輸入口令后還需判斷識(shí)別2位自己的微信好友頭像方可登錄。但如果盜號(hào)者盜取了其QQ號(hào)碼，通常QQ好友信息和微信類似，多猜幾次基本能猜中。另外如果QQ用戶還沒(méi)有登錄過(guò)微信或微信好友低于2位則直接可進(jìn)行登錄，繞過(guò)該控制，對(duì)于那些QQ號(hào)沒(méi)激活微信的就可以直接登錄。
同時(shí)微信還有一個(gè)“綁定手機(jī)號(hào)”的功能，如果綁定手機(jī)號(hào)，則每次登錄都需要短信驗(yàn)證，這個(gè)對(duì)于盜號(hào)還是能起到比較好的防御作用的，在測(cè)試過(guò)程中發(fā)現(xiàn)了微信的又一個(gè)流氓行為，即使不勾選“通過(guò)手機(jī)號(hào)搜索到我”，但還是把我的手機(jī)號(hào)推送給我的通訊錄好友，存在欺騙用戶的情況。部分用戶為了自己的隱私可能就不會(huì)開(kāi)啟該功能。
本人把微信登錄時(shí)的認(rèn)證方式整理了一下，如下：
二、支付模塊登錄認(rèn)證安全體驗(yàn)
1)缺少隱私安全問(wèn)題
微信支付的相關(guān)功能都在“我的銀行卡”功能模塊中，模塊中涉及這個(gè)模塊雖然是和支付相關(guān)的模塊，但并不支持設(shè)置單獨(dú)的口令，同時(shí)也沒(méi)有類似手勢(shì)密碼的功能。如果用戶已經(jīng)綁定銀行卡，且使用了“理財(cái)通”等產(chǎn)品，用戶登錄微信后就可直接查看到其相關(guān)交易信息和資產(chǎn)狀況。例如某人要是剛?cè)胧至艘粋€(gè)新款手機(jī)肯定有眾多粉絲會(huì)要求拿過(guò)去耍一耍，這時(shí)一不小心你私房錢(qián)“理財(cái)通的資產(chǎn)”就泄露了，要是有網(wǎng)上購(gòu)買(mǎi)情趣用品習(xí)慣的人可就糗大了。迅雷、百度云盤(pán)都支持手勢(shì)密碼和單獨(dú)口令，微信做為即時(shí)通訊軟件又附帶支付功能，隱私信息眾多，為嘛就不考慮一下呢？隨著微信接入商的增多，敏感信息必然越來(lái)越多，強(qiáng)烈建議微信添加一個(gè)手勢(shì)密碼。
2)綁定銀行卡強(qiáng)制記錄個(gè)人信息
微信在綁定銀行卡時(shí)，如果是首次綁定，需設(shè)置支付密碼。如果已綁定或曾綁定過(guò)銀行卡，則添加新的銀行卡需先輸入支付密碼后方可進(jìn)行綁定操作。信用卡和儲(chǔ)蓄卡兩類卡都可進(jìn)行綁定，但需提供的信息稍有不同。儲(chǔ)蓄卡綁定，需提供持卡人姓名、身份證號(hào)、卡號(hào)、預(yù)留手機(jī)號(hào)碼、短信驗(yàn)證碼。信用卡綁定，不同銀行的需提供的信息略有不同，大多數(shù)卡需提供持卡人姓名、身份證號(hào)、卡號(hào)、信用卡有效期、安全碼、預(yù)留手機(jī)號(hào)碼和短信驗(yàn)證碼等信息。
【儲(chǔ)蓄卡綁定】【信用卡綁定】
首次成功綁定銀行卡后，你的姓名、身份證號(hào)就會(huì)被微信記錄，且與該微信帳號(hào)綁定不能更改。首次綁定有點(diǎn)類似實(shí)名認(rèn)證，為鼓勵(lì)用戶綁定銀行卡，在綁定過(guò)程中微信并未進(jìn)行相關(guān)提示和告知，此做法導(dǎo)致眾多人賬號(hào)錯(cuò)誤的被綁定了非本人的個(gè)人信息，且不能更改(騰訊客戶回復(fù)暫時(shí)不提供更改服務(wù))。
3)支付密碼的安全問(wèn)題
由于微信支付模塊不支持設(shè)置單獨(dú)的口令，也沒(méi)有類似手勢(shì)密碼的功能。用戶在進(jìn)行支付時(shí)，輸入支付密碼后即可完成支付，這時(shí)支付密碼的安全就變成了最后的一關(guān)。
【口令強(qiáng)度】用戶的支付密碼是在首次綁定銀行卡時(shí)提示設(shè)置的，且口令只能設(shè)置為6位數(shù)字，復(fù)雜度較低，用戶需注意窺視、口令猜解等風(fēng)險(xiǎn)，特別是有將口令設(shè)置成簡(jiǎn)單數(shù)字、電話號(hào)碼、生日等弱口令的用戶。
【口令修改】用戶修改支付密碼有兩種途徑，一是輸入原密碼，二是重新綁定銀行卡修改支付密碼。
重新綁定銀行卡需姓名、身份證號(hào)、卡號(hào)、預(yù)留手機(jī)號(hào)碼、短信驗(yàn)證碼等信息。因此如果用戶的手機(jī)丟失而短信、照片、聊天記錄中剛好留存相關(guān)個(gè)人信息，或者用戶身份證、銀行卡、手機(jī)同時(shí)丟失，則存在支付密碼被重置的可能。現(xiàn)在現(xiàn)在手機(jī)已經(jīng)做為日常溝通的首要工具，用戶難免會(huì)在微信、QQ、短信等使用過(guò)程中提及身份證、銀卡號(hào)登信息，例如匯款、購(gòu)買(mǎi)機(jī)票/火車(chē)票等等所以該風(fēng)險(xiǎn)是確實(shí)存在的。
三、微信釣魚(yú)和詐騙
微信做為手機(jī)端軟件，大家很多在電腦上養(yǎng)成的安全習(xí)慣，到了移動(dòng)端又突然消失了，用于對(duì)于盜號(hào)詐騙、釣魚(yú)鏈接等防范意識(shí)相對(duì)較低。在搶紅包期間偽造的微信紅包讓很多人撲了個(gè)空，但要如果是惡意鏈接，則將是一大片人中招，微信需在這方面加強(qiáng)相應(yīng)的安全措施和用戶教育。
四、關(guān)于賠償
微信與中國(guó)人保財(cái)險(xiǎn)(PICC)達(dá)成合作，并拋出“你敢付，我敢賠”的口號(hào)，我看了一下微信支付的兩個(gè)聲明條款，具體的大家自己解讀吧。
五、結(jié)束語(yǔ)
雖然微信的賬號(hào)控制存在一些問(wèn)題，但是用戶如果能夠保管好自己的手機(jī)，保護(hù)好賬號(hào)口令以及取回密碼所依賴的措施，同時(shí)保持良好的安全意識(shí)，總體來(lái)說(shuō)微信還是比較安全的。
對(duì)于安全意識(shí)和安全習(xí)慣，以下是筆者的一些小建議供參考：
1.為微信設(shè)置強(qiáng)健的口令，同時(shí)注意QQ的賬號(hào)安全；
2.手機(jī)中不存儲(chǔ)個(gè)人信息，日常生活中注意不泄露自己的個(gè)人信息；
3.為手機(jī)設(shè)置解鎖口令，不隨意將手機(jī)借用他人；
4.保管好自己的手機(jī)，防止丟失，丟失手機(jī)第一時(shí)間掛失SIM卡，鎖定賬號(hào)，如有必要設(shè)置PIN密碼；
5.不在微信輕易點(diǎn)擊陌生人發(fā)送的鏈接，防止釣魚(yú)；
6.不隨意ROOT和越獄，注意辨別山寨App，不安裝來(lái)源不明的App；
7.安裝必要的防病毒等安全軟件。（來(lái)源：推酷 編選：網(wǎng)經(jīng)社）
