移动网络安全(7页).doc

《移动网络安全(7页).doc》由会员分享，可在线阅读，更多相关《移动网络安全(7页).doc（9页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、-123 移动网络安全-第 9 页4 名词解释撞库是黑客通过收集互联网已泄露的用户和密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可以登录的用户。很多用户在不同网站使用的是相同的帐号密码，因此黑客可以通过获取用户在A网站的账户从而尝试登录B网址，这就可以理解为撞库攻击。钓鱼攻击：是通过大量发送声称来自于银行或其他知名机构的欺骗性，意图引诱收信人给出（如用户名、ID 、 ATM PIN 码或信用卡详细信息）的一种攻击方式。密钥是一种参数，它是在明文转换为密文或将密文转换为明文的算法中输入的数据。密钥分为两种：与非对称密码算法有时又叫传统密码算法，就是加密密钥能够从解密密钥中推算出

2、来，反过来也成立。在大多数对称算法中，加密解密密钥是相同的。这些算法也叫秘密密钥算法或单密钥算法非对称密钥算法是指一个加密算法的加密密钥和解密密钥是不一样的，或者说不能由其中一个密钥推导出另一个密钥如果用其中一个密钥加密数据，则只有对应的那个密钥才可以解密。如果用其中一个密钥可以进行解密数据，则该数据必然是对应的那个密钥进行的加密。加密中的情况：一般来说公钥是用来加密的私钥是用来解密的（身份认证中的情况一般私钥进行加密，公钥进行解密，确认身份的真实性）私钥是保密的,就是用在服务器端而公钥则是公开的，一般在客户端。（公钥在客户端，私钥在服务器端）一般来说，算法是公开的，而密钥是不公开的密码是你在

3、进入系统前需要输入的一个安全码，即你自己设置的密码。 密钥，是产品的内嵌的一种认证码。比如的时候需要序列号，只有输入正确的序列号（密钥）才能安装。密码机是一种在作用下，实现明-密变换或者密-明变换的装置。私钥一般情况都是由证书持有者在自己本地生成的，由证书持有者自己负责保管。HEC支付（HEC云支付）“云 闪付”以智能手机为基础，是基于NFC的HCE和Token技术的一种支付方式。目前，首批发布“云闪付”的商业银行已超过20家，包括工商银行、农业银行、中国银行、建设银行、交通银行、邮储银行、招商银行等（HCE云支付的流程1、 线上绑定：在手机银行里将云支付产品与银行卡绑定；2、 线下消费：只需

4、要打开手机NFC功能点亮手机屏幕，将手机靠近POS机（带有银联闪付QuickPass）轻轻一挥，“嘀”的一声即可完成支付。只需一部具备NFC功能的手机、操作系统为安卓4.4.2以上版本，持卡人就可直接在手机银行APP中生成一张银联卡的“替身卡”，即“云闪付卡”，可在线下具有银联“闪付”标识的联机POS机上刷手机付款。最后，在超市、商场收银台具有银联“闪付”标识的pos机前，收银员输入支付额度后，消费者只需点亮手机并轻轻放置在POS机附近，在“滴”的一声后输入密码，就完成了整个支付过程。) HCE(Host-based Card Emulation)，即基于主机的卡模拟在一部配备NFC功能的手机

5、实现卡模拟，目前有两种方式：一种是基于硬件的，称为模式(Virtual Card Mode);一种是基于软件的，被称为主机卡模式(Host Card Mode1)。在虚拟卡模式下，需要提供安全模块(Secure Elemen)，提供对敏感信息的安全存储和对交易事务提供一个安全的执行环境。芯片作为非接触通讯前端，将从外部读写器接收到的命令转发到SE，然后由SE处理，并通过NFC控制器回复。在主机卡模式下，不需要提供SE，而是由在手机中运行的一个应用或云端的服务器完成SE的功能，此时芯片接收到的数据由操作系统或发送至手机中的应用，或通过移动网络发送至云端的服务器来完成交互。两种方式的特点都是绕过了

6、手机内置的SE的限制。这一标准的妙处在于，它不需要整个行业为了控制安全元件而争斗。使用基于主机的卡模拟时(HCE)，NFC 控制器从外部读写终端接收到的数据将直接被发送到主机系统上，而不是安全模块。Root是针对安卓系统的，越狱是针对IOS系统而言的，相当于安卓系统下的rootIMIS是SIM卡背面的号码是SIM卡的电子串号，也叫IMSI号码，这个号码是全球唯一的，是分配给每个运营商的，电话号码和IMSI没有任何关系，当开通服务时电话号码和IMSI号码在交换机上做绑定，这样你的SIM卡就可以用了。 TMSI：临时移动用户识别码，它是IMSI的临时“代表”，出于IMSI的安全考虑，为尽量避免在空

7、中接口传递IMSI，由VLR给用户分配的，TMSI在当前VLR中是唯一的。VLR（Visitor Location Register），中文含义为拜访位置寄存器，它是一个，存储所管辖区域中MS（统称拜访客户）的来话、去话呼叫所需检索的信息以及用户签约业务和附加业务的信息，例如客户的号码，所处位置区域的识别，向客户提供的服务等参数。IMEI(International Mobile Equipment Identity)是国际移动设备身份码的缩写，国际移动装备辨识码，是由15位数字组成的电子串号，它与每台手机一一对应，而且该码是全世界唯一的。每一只手机在组装完成后都将被赋予一个全球唯一的一组号码

8、，这个号码从生产到交付使用都将被制造生产的厂商所记录。CA是电子商务认证授权机构PKI（Public Key Infrastructure）公钥基础设施是提供公钥加密和服务的系统或平台一个典型、完整、有效的PKI 应用系统至少应具有以下五个部分：权威(CA)、数字证书库、密钥备份及恢复系统、证书作废系统、应用接口（API）数字签名（又叫公钥数字签名）保证信息传输的完整性、发送者的、防止交易中的抵赖发生。身份认证有：数字证书认证、令牌认证、短信认证、生物特征认证密码的组成：算法、密钥和协议。现行的密码算法主要包括、公钥密码、散列函数等，用于保证信息的安全，提供鉴别、完整性、抗抵赖等服务。O2O即

9、Online To Offline（在线离线/），是指将线下的商务机会与互联网结合，让互联网成为线下交易的平台。SCP保护机制是安全插件自身的保护机制。（SCP是一种协议，Session Control Protocol - 会话控制协议）多因素中的验证码是SOTP认证系统服务器端返回的挑战值。”“是指黑客入侵有价值的网络站点，把注册用户的资料数据库全部盗走的行为在取得大量的用户数据之后，黑客会通过一系列的技术手段和黑色产业链将有价值的用户数据变现，这通常也被称作“洗库”黑客将得到的数据在其它网站上进行尝试登陆，叫做”撞库“，因为很多用户喜欢使用统一的用户名密码，”撞库“也可以使黑客收获颇丰。

10、“伪基站”即假基站，设备一般由主机和笔记本电脑组成，通过短信群发器、短信发信机等相关设备能够搜取以其为中心、一定半径范围内的手机卡信息，通过伪装成运营商的基站，冒用他人手机号码强行向用户手机发送诈骗、广告推销等短信息。Token技术在计算机身份认证中是令牌（临时）的意思sToken即卡号标识化技术。DoS（Denial of Service）即拒绝服务攻击。DdoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。单一的DoS攻击一般是采用一对一方式的，当攻击目标CPU速度低、内存小或者网络带宽小等等各项指标不高的性能，它的效果

11、是明显的。分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。DDoS攻击通过大量合法的请求占用大量网络资源，以达到瘫痪网络的目的。 这种攻击方式可分为以下几种： 通过使网络过载来干扰甚至阻断正常的网络通讯； 通过向服务器提交大量请求，使服务器超负荷； 阻断某一用户访问服务器； 阻断某服务与特定系统或个人的通讯。第一次：FlagS,表示这是一个请求连接，S是SYN字母的首字母，seq是将要发送的首字节的序列号，此时SYN = 1，

12、ACK = 0。 第二次：收到SYN = 1的包，将ACK置为1，ack = 1588197944表示在此之前的字节我已经全部收到。 第三次：当再次收到SYN=1，ACK=1的包时，将ack = 1,表示确认连接。SYN注：TCP是传输控制协议。syn是该协议中的一个标志位。如果该位被置为1，则表示这个报文是一个请求建立连接的报文。ack也是该协议的一个标志位。如果该位被置为1，则表示这个报文是一个用于确认的报文。蓝牙盾(EsecuKey-K3C)产品是在第二代USB Key产品的基础上，加上无线蓝牙通讯接口以及电池， 将二代USB Key应用无缝集成到iOS、Android、WinPhone

13、等移动平台上的一款产品，可以满足越来越多的移动应用中身份认证需求。音频U盾是由中国工商银行率先推出，用于在网络环境和手机环境里识别身份的数字证书的载体，也是目前网上银行及手机银行客户端安全级别最高的一种设备。 音频U盾既可以通过USB口与电脑相连，也可以通过音频接口与手机相连，是在计算机客户端和手机端均能使用的一款产品。云的概念是指电脑、手机、电视等电子应用产品能够通过互联网提供包括云服务、云空间、云搜索、云浏览、云社区、云应用等一系列资源分享应用。云服务是基于“云计算”技术，实现各种终端设备之间的互联互通。手机、电视机等都只是一个单纯的显示和操作终端，它们不再需要具备强大的处理能力。用户享受

14、的所有资源、所有应用程序全部都由一个存储和运算能力超强的云端后台来提供。像我们现在经常使用的在线杀毒、网络硬盘、在线音乐等都属于云服务范畴。技术是人体技术的一种。虹膜识别技术是基于眼睛中的虹膜进行身份识别。声纹识别，生物识别技术的一种。也称为说话人识别，有两类，即说话人辨认和说话人确认。不同的任务和应用会使用不同的声纹识别技术，如缩小刑侦范围时可能需要辨认技术，而银行交易时则需要确认技术。安全沙箱（Sandboxie）即是一个虚拟系统程序，允许你在沙盘环境中运行浏览器或其他程序，因此运行所产生的变化可以随后删除。5 网络现状电信诈骗案件 呈现四个趋势：一是公民个人信息泄露严重：公民个人信息泄露

15、在电信诈骗中通常表现为两种方式：一种方式是通过购买个人信息锁定作案对象，冒充相关机构工作人员，以投资六合彩、购买保健品、兼职信誉刷卡等名义实施诈骗；另一种方式是通过购买个人信息获取作案工具。二是高科技渗入犯罪领域：作案手法日趋智能化、信息化、专业化。作案手段已从最原始的发短信、打电话等发展到使用电话群拨、换号改号、植入木马病毒、网络虚拟转账、建立专门诈骗网站等高科技手段三是诈骗团伙层级管理：现在犯罪团伙已趋向于从分散化、临时性的组成模式，转化为建立专业的诈骗公司，形成分工明确、层级管理的犯罪组织，对员工进行业务培训、业绩考核等管理，并定月核发工资。四是外来人员作案占比高：作案地域呈流窜化趋势。从作案人员地域来源看，本地人员作案较少，以外来人员作案为主。