Https使用不当,APP也会遭遇安全风险

1、 Https使用不当，APP也会遭遇安全风险 很多人的清晨都是从床头拿起手机开始的：打开最喜欢的社交软件，阅读新闻，翻朋友 圈，听音乐，看视频，检查邮件，更新日历状态等等，而每个行为背后都对应了多款app。 目前，全球有21亿人拥有智能手机，每年新上架的移动APP数量更是高达千万款。 调研数据显示，25岁以上的成年人每天使用手机约264次，15-24岁的人约为每天387次， 相当于每隔一分钟就要碰一次智能手机。你或许觉得这组数据难以置信，但事实的确如此， 移动app已经深入到我们的生活和工作中。 然而，我们高度依赖的移动 app，却并没有想象中的那么安全。根据Gartner的预测， 75 %的

2、移动app甚至没有通过基本的安全测试，黑客倾向于利用移动 app中已知的安全漏 洞窃取敏感和机密信息。 更令人意想不到的是，腾讯安全中心在日常终端安全审计中发现，在An droid 平台中 使用https协议的app绝大多数存在安全漏洞，可以直接导致https通讯中的敏感信息泄 漏甚至远程代码执行。 https原本是为了加密网络通讯，避免敏感信息被第三方获取而设计的，而如今这些采 用了 https协议的移动端app却令https加密作用形同虚设，到底是什么原因呢？ https使用不当，让 APP遭遇安全风险 通过几大安全公司的漏洞扫描器发现，很多Androida 平台中的APP都存在https

3、使 用不当的风险，主要体现在app没有安全的使用google提供的API，只是简单的调用https 协议，并未对SSL证书有效性做验证。 在google的官方文档中，详细给出了若干种An droid平台中使用https的方法， google 的API会检查APP应用https证书的合法性，而 APP开发测试环境下的 https证 书，很多都是开发人员自己生成的SSL证书，基本上是无法通过 google合法性检查的。因 此，绝大多数APP都采用了覆盖google默认的证书检查机制的方式来解决这个问题。 然而，在覆盖默认的证书检查机制后，绝大多数app却没有对SSL证书进行应有的安 全性检查，直接

4、接受了所有异常的SSL证书，既不提醒用户存在安全风险，也不终止危险 的连接。 在攻击者看来，这种操作漏洞简直让 https形同虚设，可以轻易利用这个漏洞进行攻击, 最常见的攻击方式是通过伪造wifi进行流量劫持，或者 DNS请求劫持、路由链路劫持等, 从而获取APP用户全部的https通信数据，包括密码明文，聊天内容，信用卡号等隐私信 息。 当某天我们在星巴克静静的坐了一下午，却发现自己银行卡中所有的钱都被无声无息转 走了，原因很可能是由于某款APP没有正确使用https而被攻击者钻了空子。 正确使用https，将安全风险扼杀于萌芽 事实上，https可以避免很多安全风险的发生，但前提是必须正

5、确使用https，才能有 效抵御中间人攻击。 目前，网页浏览器、移动端应用市场以及应用平台，都会对这类https异常进行报警处 理，并提醒用户存在安全风险，相信大家都曾经见过这类提醒页面： 此网站的安全证书存在问题. it网站岀具的安全证书不是由壹信任的证书磁血 Si发的. 定全证书冋趣可能竪示试图歌豪你SE戲糕f乍向脛务器发送的诳 K关闭此网页（并且不要垂绫浦览该网站. 哼Miit处关闭養网页. 嚼堆续浏熒此网站（不16#）. 0详细信息 这是因为无论在网页端还是移动端，https都是业界公认的趋势：谷歌Chrome浏览器 最新版在采用http协议的网站旁标注“不安全”，其An droid平

6、台默认所有APP使用https ； 苹果safari浏览器对http页面进行限制，并且强制要求iOS App使用https加密连接；微 信小程序自2017年起仅支持https接口 毋庸置疑，https在通讯加密方面发挥着无可替代的作用，但可惜的是，这些关于https 的讨论和倡导，并未得到业界同行应有的重视，即使在今天，国内的app依然大面积存在 这类未正确使用https而引发的漏洞。 滴水石穿非一日之功，国内安全行业任重而道远，在此天威诚信也呼吁业界同行，为了 建立一个安全互信的网络环境而共同努力。 Whe n you are old and grey and full of sleep,

7、And no ddi ng by the fire, take dow n this book, And slowly read, and dream of the soft look Your eyes had once, and of their shadows deep; How many loved your mome nts of glad grace, And loved your beauty with love false or true, But one man loved the pilgrim soul in you, And loved the sorrows of y

8、our cha nging face; And bending dow n beside the glow ing bars, Murmur, a little sadly, how love fled And paced upon the mountains overhead And hid his face amid a crowd of stars. The furthest dista nee in the world Is not betwee n life and death But whe n I sta nd in front of you Yet you dont know

9、that I love you. The furthest dista nee in the world Is not whe n I sta nd in front of you Yet you cant see my love But whe n un doubtedly knowing the love from both Yet cannot be together. The furthest dista nee in the world Is not being apart while being in love But whe n I pla inly cannot resist the year ning Yet prete nding you have n ever bee n in my heart. The furthest dista