(電子商務(wù)研究中心訊) 移動支付的便捷和高收益如“華爾街之狼”般誘人，但對“孩子”——資金安全的擔(dān)心也是人們嘗試移動支付的最大心理障礙，那么，移動支付到底安全不安全，“狼和孩子”可不可以兼得？以下本人以信息安全行業(yè)從業(yè)人員的親身體驗(yàn)試用微信支付，對個(gè)人隱私保護(hù)、安全體驗(yàn)和安全性能進(jìn)行全面摸底，希望能給讀者們一些啟示。
春節(jié)期間微信推出了“搶紅包”，身邊的好多人都玩瘋了，在3.8婦女節(jié)的時(shí)候身邊還有好多人通過微信發(fā)紅包。通過“搶紅包”，微信迅速的吸引了大量用戶綁定銀行卡，據(jù)說綁定量達(dá)到了3000萬。不管數(shù)據(jù)是真是假，但身邊參與的人的確不少，媒體新聞是鋪天蓋地，影響力也相當(dāng)大。
本人也參與到了這場“搶紅包”的游戲中，為了玩“搶紅包”也被迫綁定了銀行卡搶紅包、發(fā)放紅包。但在high過后，微博里零星的有人開始討論起微信支付的安全問題。
其實(shí)在微信版余額寶“理財(cái)通”推出期間，由于收益略比余額寶略高，身邊就有同事朋友蠢蠢欲動想把錢轉(zhuǎn)移到“理財(cái)通”，但由于是新興產(chǎn)品擔(dān)心微信的安全性沒敢進(jìn)行資金轉(zhuǎn)移。
移動支付產(chǎn)品的安全需求，畢竟是用戶的基本需求，于是本人抱著學(xué)習(xí)和研究的態(tài)度去測試和體驗(yàn)了一下微信支付的相關(guān)功能，以下是本人使用過程的安全體驗(yàn)。
一、微信的登錄認(rèn)證的安全體驗(yàn)
微信支付是建立在微信之上的功能，安全性和微信本身的安全密切相關(guān)。于是本人首先對微信的登錄認(rèn)證機(jī)制進(jìn)行了測試。
1)用戶默認(rèn)保存登錄信息
微信為提升用戶的登錄體驗(yàn)，客戶端默認(rèn)是保存登錄認(rèn)證信息的，也就是說如果你登錄微信后，沒有進(jìn)行退出操作，每次打開微信就能自動登錄。因此如果有人獲取到您的手機(jī)，就可以直接使用微信。有人會說“我的手機(jī)設(shè)置了密碼別人拿了也用不了”。那我告訴你，如果你用的是Android手機(jī)隨便下個(gè)軟件幾秒鐘就能破解鎖屏密碼。如果你用的是“愛瘋手機(jī)”且越獄了那和Android沒多大區(qū)別，下個(gè)軟件也是幾秒鐘的事情。有人說我沒越獄那總安全了吧？我只能說不一定，網(wǎng)上看了一下有相關(guān)軟件能實(shí)施暴力破解，只是多花點(diǎn)時(shí)間，本人沒進(jìn)行嘗試，感興趣的同學(xué)可以做個(gè)測試。
2)用戶手機(jī)號與微信綁定
有的用戶說“我使用習(xí)慣非常好，每次使用微信后都會退出”。那么，我們接著分析。微信登錄和注冊時(shí)，默認(rèn)首選的是“手機(jī)號碼”，這應(yīng)該是微信刻意引導(dǎo)用戶使用手機(jī)號碼進(jìn)行注冊，以簡化注冊成本，并能通過用戶手機(jī)通訊錄進(jìn)行好友推送(本人也是因此暴露了自己的微信小號，眾多聯(lián)系人通過微信推送加我好友)。大多數(shù)的用戶的確都乖乖的通過手機(jī)號碼注冊使用微信了。在這里就產(chǎn)生了一個(gè)問題，如果手機(jī)丟失、手機(jī)號碼棄用、非正常途徑補(bǔ)辦卡、SIM卡復(fù)制、短信劫持等都會對微信安全造成威脅。因?yàn)榭梢酝ㄟ^短信驗(yàn)證取回登錄密碼，同時(shí)微信還存在一種登錄方式“短信驗(yàn)證碼登錄”，用戶可以通過手機(jī)短信驗(yàn)證的方式進(jìn)行登錄。
通過其它方式(如QQ號碼)登錄微信的，在使用過程中一不小心被微信勾搭綁定了手機(jī)號碼，也就可以直接通過手機(jī)號碼進(jìn)行登錄。這時(shí)就可以使用手機(jī)號碼通過短信驗(yàn)證方式登錄。
用戶能做到隨時(shí)退出微信，又不是手機(jī)號碼注冊，且沒綁定手機(jī)號碼，估計(jì)還是挺少的。
3)微信登錄認(rèn)證方式總結(jié)
在微信的“設(shè)置-我的帳號”中有個(gè)奇葩功能“獨(dú)立密碼”，如果你是使用QQ號登錄的，你就可以為微信設(shè)置一個(gè)“獨(dú)立密碼”，這樣登錄微信既可以使用原來QQ的口令登錄，也可以使用獨(dú)立口令登錄，這是要提升用戶的體驗(yàn)嗎？沒太理解產(chǎn)品經(jīng)理的意圖。反而增加了帳號的風(fēng)險(xiǎn)，用戶需要確保兩個(gè)口令的安全，攻擊者如果通過某種途徑獲取到一個(gè)口令就可以登錄微信。
微信為防止盜號，對新客戶端使用做了限制，如果是新客戶端首次登錄，輸入口令后還需判斷識別2位自己的微信好友頭像方可登錄。但如果盜號者盜取了其QQ號碼，通常QQ好友信息和微信類似，多猜幾次基本能猜中。另外如果QQ用戶還沒有登錄過微信或微信好友低于2位則直接可進(jìn)行登錄，繞過該控制，對于那些QQ號沒激活微信的就可以直接登錄。
同時(shí)微信還有一個(gè)“綁定手機(jī)號”的功能，如果綁定手機(jī)號，則每次登錄都需要短信驗(yàn)證，這個(gè)對于盜號還是能起到比較好的防御作用的，在測試過程中發(fā)現(xiàn)了微信的又一個(gè)流氓行為，即使不勾選“通過手機(jī)號搜索到我”，但還是把我的手機(jī)號推送給我的通訊錄好友，存在欺騙用戶的情況。部分用戶為了自己的隱私可能就不會開啟該功能。
本人把微信登錄時(shí)的認(rèn)證方式整理了一下，如下：
二、支付模塊登錄認(rèn)證安全體驗(yàn)
1)缺少隱私安全問題
微信支付的相關(guān)功能都在“我的銀行卡”功能模塊中，模塊中涉及這個(gè)模塊雖然是和支付相關(guān)的模塊，但并不支持設(shè)置單獨(dú)的口令，同時(shí)也沒有類似手勢密碼的功能。如果用戶已經(jīng)綁定銀行卡，且使用了“理財(cái)通”等產(chǎn)品，用戶登錄微信后就可直接查看到其相關(guān)交易信息和資產(chǎn)狀況。例如某人要是剛?cè)胧至艘粋€(gè)新款手機(jī)肯定有眾多粉絲會要求拿過去耍一耍，這時(shí)一不小心你私房錢“理財(cái)通的資產(chǎn)”就泄露了，要是有網(wǎng)上購買情趣用品習(xí)慣的人可就糗大了。迅雷、百度云盤都支持手勢密碼和單獨(dú)口令，微信做為即時(shí)通訊軟件又附帶支付功能，隱私信息眾多，為嘛就不考慮一下呢？隨著微信接入商的增多，敏感信息必然越來越多，強(qiáng)烈建議微信添加一個(gè)手勢密碼。
2)綁定銀行卡強(qiáng)制記錄個(gè)人信息
微信在綁定銀行卡時(shí)，如果是首次綁定，需設(shè)置支付密碼。如果已綁定或曾綁定過銀行卡，則添加新的銀行卡需先輸入支付密碼后方可進(jìn)行綁定操作。信用卡和儲蓄卡兩類卡都可進(jìn)行綁定，但需提供的信息稍有不同。儲蓄卡綁定，需提供持卡人姓名、身份證號、卡號、預(yù)留手機(jī)號碼、短信驗(yàn)證碼。信用卡綁定，不同銀行的需提供的信息略有不同，大多數(shù)卡需提供持卡人姓名、身份證號、卡號、信用卡有效期、安全碼、預(yù)留手機(jī)號碼和短信驗(yàn)證碼等信息。
【儲蓄卡綁定】【信用卡綁定】
首次成功綁定銀行卡后，你的姓名、身份證號就會被微信記錄，且與該微信帳號綁定不能更改。首次綁定有點(diǎn)類似實(shí)名認(rèn)證，為鼓勵用戶綁定銀行卡，在綁定過程中微信并未進(jìn)行相關(guān)提示和告知，此做法導(dǎo)致眾多人賬號錯誤的被綁定了非本人的個(gè)人信息，且不能更改(騰訊客戶回復(fù)暫時(shí)不提供更改服務(wù))。
3)支付密碼的安全問題
由于微信支付模塊不支持設(shè)置單獨(dú)的口令，也沒有類似手勢密碼的功能。用戶在進(jìn)行支付時(shí)，輸入支付密碼后即可完成支付，這時(shí)支付密碼的安全就變成了最后的一關(guān)。
【口令強(qiáng)度】用戶的支付密碼是在首次綁定銀行卡時(shí)提示設(shè)置的，且口令只能設(shè)置為6位數(shù)字，復(fù)雜度較低，用戶需注意窺視、口令猜解等風(fēng)險(xiǎn)，特別是有將口令設(shè)置成簡單數(shù)字、電話號碼、生日等弱口令的用戶。
【口令修改】用戶修改支付密碼有兩種途徑，一是輸入原密碼，二是重新綁定銀行卡修改支付密碼。
重新綁定銀行卡需姓名、身份證號、卡號、預(yù)留手機(jī)號碼、短信驗(yàn)證碼等信息。因此如果用戶的手機(jī)丟失而短信、照片、聊天記錄中剛好留存相關(guān)個(gè)人信息，或者用戶身份證、銀行卡、手機(jī)同時(shí)丟失，則存在支付密碼被重置的可能。現(xiàn)在現(xiàn)在手機(jī)已經(jīng)做為日常溝通的首要工具，用戶難免會在微信、QQ、短信等使用過程中提及身份證、銀卡號登信息，例如匯款、購買機(jī)票/火車票等等所以該風(fēng)險(xiǎn)是確實(shí)存在的。
三、微信釣魚和詐騙
微信做為手機(jī)端軟件，大家很多在電腦上養(yǎng)成的安全習(xí)慣，到了移動端又突然消失了，用于對于盜號詐騙、釣魚鏈接等防范意識相對較低。在搶紅包期間偽造的微信紅包讓很多人撲了個(gè)空，但要如果是惡意鏈接，則將是一大片人中招，微信需在這方面加強(qiáng)相應(yīng)的安全措施和用戶教育。
四、關(guān)于賠償
微信與中國人保財(cái)險(xiǎn)(PICC)達(dá)成合作，并拋出“你敢付，我敢賠”的口號，我看了一下微信支付的兩個(gè)聲明條款，具體的大家自己解讀吧。
五、結(jié)束語
雖然微信的賬號控制存在一些問題，但是用戶如果能夠保管好自己的手機(jī)，保護(hù)好賬號口令以及取回密碼所依賴的措施，同時(shí)保持良好的安全意識，總體來說微信還是比較安全的。
對于安全意識和安全習(xí)慣，以下是筆者的一些小建議供參考：
1.為微信設(shè)置強(qiáng)健的口令，同時(shí)注意QQ的賬號安全；
2.手機(jī)中不存儲個(gè)人信息，日常生活中注意不泄露自己的個(gè)人信息；
3.為手機(jī)設(shè)置解鎖口令，不隨意將手機(jī)借用他人；
4.保管好自己的手機(jī)，防止丟失，丟失手機(jī)第一時(shí)間掛失SIM卡，鎖定賬號，如有必要設(shè)置PIN密碼；
5.不在微信輕易點(diǎn)擊陌生人發(fā)送的鏈接，防止釣魚；
6.不隨意ROOT和越獄，注意辨別山寨App，不安裝來源不明的App；
7.安裝必要的防病毒等安全軟件。（來源：推酷 編選：網(wǎng)經(jīng)社）
