第3章-物聯(lián)網(wǎng)感知安全第4次

掃一掃二維碼，回答問題：二維條形碼一維條形碼AB提交單選題10分3.6、二維碼安全技術(shù)一、移動支付安全問題二、二維碼基本原理身份驗證三、手機二維碼的安全檢測四、二維碼支付的應(yīng)用一、移動支付中的主要安全問題在我們的生活中，使用二維碼進(jìn)行移動支付已經(jīng)成為一種常態(tài)。

但二維碼的廣泛使用也給了攻擊者可乘之機，一些攻擊者利用用戶的好奇心理，將含有釣魚網(wǎng)站或者惡意鏈接的URL封裝成二維碼的形式，發(fā)布在廣告和網(wǎng)站等地方。普通用戶很難發(fā)現(xiàn)其中的安全隱患，因為二維碼圖片只是一個黑白相間的二維表格，其中的信息需要解碼后才能顯現(xiàn)出來。因此，其危害的隱蔽程度要遠(yuǎn)遠(yuǎn)超過直接給出URL地址。在移動支付過程中，手機終端存在的安全漏洞和問題主要包括以下幾類。(1)移動終端數(shù)據(jù)攔截問題移動終端通過無線網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)傳輸，網(wǎng)絡(luò)流量存在被攔截的可能性。由于無線通信采用無線電技術(shù)、數(shù)據(jù)以電磁波的形式在各個移動終端和路由器之間傳輸，攻擊者獲取數(shù)據(jù)更加容易，他們可以通過攔截數(shù)據(jù)實現(xiàn)身份竊取、信息披露以及重放攻擊等行為。目前，解決該問題的手段主要有利用可信平臺模塊(TPM)或者對數(shù)據(jù)進(jìn)行加密。(2)惡意軟件攻擊手機問題手機用戶再瀏覽網(wǎng)頁時，不小心下載惡意軟件，攔截支付過程的認(rèn)證數(shù)據(jù)，從而盜取用戶身份驗證參數(shù)，進(jìn)而盜取賬戶存款。目前解決該問題的方法有對移動端的軟件進(jìn)行數(shù)字簽認(rèn)證，此數(shù)字簽名需要來自受信任的第三方，或者在移動端上安裝反惡意軟件、間諜軟件、病毒防火墻等。(3)交易雙方身份認(rèn)證問題在基于移動設(shè)備的交易過程中，攻擊者可以偽裝成正常用戶進(jìn)行欺詐性交易，從而造成用戶的財產(chǎn)受到損失。為了解決上述問題，在交易雙方的用戶身份認(rèn)證方面，不僅可以采用動態(tài)口令進(jìn)行移動支付，也可采用用戶的生物特征(如面部識別、動作識別等)進(jìn)行認(rèn)證，還可采用基于隨機數(shù)和用戶指紋的雙因素的認(rèn)證手段。采用上述方法可以克服移動平臺計算量的限制，抵御中間人攻擊。(4)智能手機和互聯(lián)網(wǎng)定位功能問題智能手機具有定位功能，一些惡意程序可以利用這些接口繞過并不完善的安全保護(hù)措施，獲取用戶的個人地理位置信息進(jìn)行用戶行為分析，從而攻破基于地理信息的用戶支付保護(hù)措施。目前，解決該問題的手段主要是通過對訪問地理信息實施用戶控制的安全策略，Android操作系統(tǒng)已經(jīng)實現(xiàn)了這一功能。此外，可以采用對用戶的地理位置等隱私信息進(jìn)行加密的方法。針對移動支付中的上述安全問題，目前的解決手段是建立惡意鏈接黑名單，針對掃描結(jié)果的URL地址進(jìn)行驗證，包括域名檢查和URL地址惡意性判斷等。二、二維碼的基本原理二維條形碼(簡稱二維碼)的作用是將二進(jìn)制數(shù)據(jù)以圖形的方式表示來。與一維條形碼不同的是，一維條形碼只在寬度上面記錄二進(jìn)制數(shù)據(jù)，而長度上并有寫入數(shù)據(jù);而二維碼在長度和寬度上均可以寫入二進(jìn)制數(shù)據(jù)，因此二維碼的數(shù)據(jù)容量比一維條形碼更大。另外，一維條形碼不具備容錯機制和定位點，在部分條形碼被損壞的情況下，一維條形碼不能還原出數(shù)據(jù)，具備容錯機制的二維條形碼可以完整地還原出其中的數(shù)據(jù)。二維碼按照排列方式可以分為堆疊式二維碼和矩陣式二維碼。不同種類的二維碼的編碼和解碼方式是不同的。下面主要介紹移動支付中廣泛使用的QR二維碼(簡稱QR碼)。1、

QR碼的編碼（1）數(shù)據(jù)分析。在這個階段需要明確進(jìn)行編碼的字符類型，按照規(guī)定將數(shù)據(jù)轉(zhuǎn)換成符號字符、定義編碼的糾錯級別。糾錯級別定義越高，寫入的數(shù)據(jù)量越小。（2）數(shù)據(jù)編碼。將步驟1中得到的符號字符位流分組，每8位表示1個字，得到一個碼字序列。這個碼字序列就完整地表示了二維碼中寫入數(shù)據(jù)的內(nèi)容。（3）糾錯編碼。將之前得到的碼字序列進(jìn)行分塊處理，根據(jù)第1步中定義的糾錯級別和分塊之后的碼字序列得到糾錯碼字，將其添加到數(shù)據(jù)碼字序列的尾部形成新的數(shù)據(jù)序列。（4）構(gòu)造矩陣。將得到的分隔符、定位圖形、校正圖形和得到的新的數(shù)據(jù)序列放進(jìn)矩陣中。（5）掩膜。利用掩膜圖形平均分配到符號編碼區(qū)域，使得二維碼圖形中的黑色和白色能夠以最優(yōu)的比例分布。（6）格式和版本信息。將編碼過程中的編碼格式和生成的版本等信息填入規(guī)定區(qū)域掃二維碼，回答問題（）一班二班三班ABC提交投票最多可選1項屬于二維碼的特點的是（）在長度和寬度上均可以寫入二進(jìn)制數(shù)據(jù)具備容錯機制和定位點條形碼能還原出數(shù)據(jù)ABC提交多選題10分2、

QR碼的識讀目前、市面上使用的許多APP均支持二維碼掃描，通過移動設(shè)備的攝像頭對二維條形碼進(jìn)行掃描可以解析出其中寫入的數(shù)據(jù)。識讀過程包括三個步驟。（1）條形碼定位。條形碼定位包括預(yù)處理、定位、角度糾正、特征值提取等步驟。首先需要找到二維條形碼的區(qū)域，相當(dāng)于使用APP掃描二維碼。然后，不同的條形碼具有不同的結(jié)構(gòu)特征，需要根據(jù)特征對條形碼符號進(jìn)行下一步處理。（2）條形碼分割。二維碼在經(jīng)過邊緣檢測之后，邊界并不是完整的，只有經(jīng)過進(jìn)一步修正才可以讀出其中的數(shù)據(jù)。在讀取數(shù)據(jù)之前，需要分割出一個完整的條形碼區(qū)域。它的基本步驟就是從符號的小區(qū)域開始，這個小區(qū)域可以稱為種子，為了修正條形碼的邊界，需要加大這個區(qū)域的范圍，使得該范圍能夠包含二維條形碼中的所有點。之后可以使用凸殼計算出結(jié)果，再準(zhǔn)確分割得到整個數(shù)據(jù)。（3）譯碼。譯碼時一般采用激光進(jìn)行識別或者通過手機攝像頭進(jìn)行識別。針對一個完整的二維碼，對二維碼上每一個網(wǎng)格交點的圖像進(jìn)行識別，在完成網(wǎng)絡(luò)采樣之后根據(jù)設(shè)置的閾值來分配黑色和白色區(qū)域。1代表深色，0代表淺色，從而得知二進(jìn)制的序列值。對得到的序列值進(jìn)行糾錯和譯碼整理之后，按照條形碼的邏輯編碼規(guī)則將原始二進(jìn)制序列值轉(zhuǎn)換為數(shù)據(jù)碼字，再根據(jù)數(shù)據(jù)碼字得到ASCII碼，這個過程恰好是數(shù)據(jù)編碼過程的逆過程。3、

QR碼的主要功能與應(yīng)用QR維碼的主要功能和應(yīng)用包括獲取數(shù)據(jù)、地址鏈接、提供驗證、進(jìn)行通信等。(1)通過QR碼識讀獲取的數(shù)據(jù)信息

獲取二維碼編碼數(shù)據(jù)信息是指通過手機的攝像頭作為二維碼識別接口，通過解析軟件獲取二維碼編碼的數(shù)據(jù)信息。常見的應(yīng)用包括電子名片、商品介紹等。

以電子名片為例：(2)通過QR碼識讀獲取URL鏈接

二維碼掃描的數(shù)據(jù)信息如果是一個URL鏈接，用戶就可以直接通過鏈接進(jìn)行訪問操作，通過系統(tǒng)配置的默認(rèn)瀏覽器或者下載軟件進(jìn)行網(wǎng)上沖浪或者數(shù)據(jù)下載。現(xiàn)在，很多電商會在紙質(zhì)廣告上打出其網(wǎng)站的鏈接信息，讓用戶可以方便地登錄商家指定的網(wǎng)站。該種方式可以方便、有效地起到宣傳作用。(3)通過解析二維碼內(nèi)容完成驗證功能在一些電子劵交易中，當(dāng)用戶完成支付后，商家可以通過短信給用戶發(fā)送一個二維碼商品憑證。當(dāng)用戶使用電子券時，只需要提供二維碼憑證，服務(wù)人員就可以通過掃描二維碼來確認(rèn)客戶是否已經(jīng)支付。例如，在購買電影票或者在團購網(wǎng)站購買餐券的時候都可以應(yīng)用該項服務(wù)。(4)解析二維碼通信解析二維碼得到的結(jié)果可能是電話號碼、短信、電子郵箱等，用戶可將這些信息用于短信投票、收發(fā)Email、打電話等業(yè)務(wù)。三、基于二維碼的移動身份驗證移動驗證模塊的業(yè)務(wù)實現(xiàn)主要涉及移動端、瀏覽器客戶端、Web服務(wù)器、存儲服務(wù)以及一個統(tǒng)一信息中心。整個移動驗證模塊業(yè)務(wù)方案的設(shè)計流程如下：1、獲取二維碼當(dāng)用戶訪問某一資源網(wǎng)站時，在未經(jīng)過認(rèn)證的情況下用戶被重定向至統(tǒng)一認(rèn)證登錄頁面，服務(wù)器會自動為該頁面分配一個會話并用SessionID唯一標(biāo)識該會話，同時生成與之對應(yīng)的QR二維碼圖片。該二維碼圖片與SessionID是一一對應(yīng)的關(guān)系并且兩者都是唯一存在的。2、掃描二維碼在第1步中已經(jīng)獲取了該頁面唯一的二維碼信息，即該頁面的SessionID標(biāo)識，用戶通過移動設(shè)備對頁面中顯示的二維碼進(jìn)行掃描。3、通知瀏覽器完成登錄

實時更新瀏覽器端的頁面狀態(tài)，具體實現(xiàn)方法是采用LongPooling來保持一個長鏈接，在服務(wù)器接收到數(shù)據(jù)之后會給Web客戶端發(fā)送信息，通知頁面完成了身份驗證，提示用戶進(jìn)行進(jìn)一步操作。4、本地瀏覽器綁定Cookie認(rèn)證通過之后，瀏覽器會收到認(rèn)證成功的消息以及登錄憑證，本地瀏覽器需要將該憑證寫入瀏覽器Cookie中。四、手機二維碼安全檢測釣魚網(wǎng)站和惡意鏈接每天都在更新，威脅著用戶的支付安全。對于這些安全隱患，一般采取兩種策略進(jìn)行防護(hù)。第一種策略是通過分析釣魚網(wǎng)站和惡意鏈接的域名信息判斷一個鏈接地址URL的安全性。該方法通過獲得最近的釣魚網(wǎng)站和惡意鏈接的域名信息，建立黑名單，通過域名匹配的方式進(jìn)行檢查。同時，對常見的通過利用用戶的不良使用習(xí)慣實施攻擊的兩種釣魚網(wǎng)站進(jìn)行防護(hù)。第二種策略是通過統(tǒng)計各種釣魚網(wǎng)站和惡意鏈接的樣本特征并進(jìn)行提取，訓(xùn)練出兩類URL分類器，從而判斷一個鏈接的安全性。只有通過了兩種安全策略的檢查才能認(rèn)為它是一個正常的URL地址。

二維碼安全檢測功能，該功能能夠自動掃描二維碼的安全性，讓二維碼中暗藏的危險網(wǎng)站、木馬病毒還未開啟便被拒之門外。

但面對金錢的誘惑，制度者可謂無孔不入，一些二維碼指向的網(wǎng)站或許是安全的，但前往這些網(wǎng)站進(jìn)行下載，也有可能不慎下載到含有病毒的APP。

手機在安裝未知的支付、金融類APP時，會自動開啟對這些APP的檢測，并以提示的形式來告訴我們這款A(yù)PP的安全與否，一旦這款A(yù)PP是虛假的或植入了木馬，手機便會停止安裝這款A(yù)PP。1、

精確匹配區(qū)域安全區(qū)域檢查階段包括3個步驟：將用戶掃描二維碼解析出來的一個字符串進(jìn)行黑名單匹配，采用鍵樹數(shù)據(jù)結(jié)構(gòu)，這在進(jìn)行黑名單匹配的時候，匹配的次數(shù)不依賴于黑名單中URL地址的個數(shù)，僅依賴目標(biāo)串的長度。鍵樹的邏輯結(jié)構(gòu)有兩種常見形式:二叉樹和多重鏈表。使用二叉樹來表示鍵樹可以降低黑名單字符串對內(nèi)存的消耗，而邏輯結(jié)構(gòu)為多重鏈表形式的鍵樹則在查找上具有性能優(yōu)勢。兩者的區(qū)別在于尋找模式串中的下一個字符的實現(xiàn)方式為順序查找還是隨機查找。2、

檢查多級域名順序3、

計算域名相似度用戶在使用移動終端進(jìn)行掃碼后會得到URL地址，但很多用戶并不理解其格式含義。攻擊者通過修改正常的URL地址，使其與真正的URL地址相似，但是指向了一個惡意的鏈接。待檢測的URL是否在區(qū)域黑名單中區(qū)域名順序是否正常區(qū)域名相似度是否超過閾值否否否釣魚網(wǎng)站或惡意連接是是URL通過安全檢測是五、二維碼支付的應(yīng)用1、

二維碼支付的分類及業(yè)務(wù)流程使用支付寶和微信支付已經(jīng)成為日常生活中不可或缺的重要組成部分。在實際應(yīng)用中，根據(jù)用戶使用的是掃碼支付還是出示二維碼支付，可以將二維碼支付分為主動式掃碼支付與被動式掃碼支付。根據(jù)交易對象不同，可以分為用戶與商戶交互模式、用戶與用戶間的交互模式。(1)用戶主動掃碼支付模式用戶主動掃碼支付模式指的是付款時，消費者掃描商戶提供的二維碼，二維碼信息通常顯示在商戶的POS終端或者直接打印在紙上。2、

醫(yī)療系統(tǒng)的二維碼支付流程(2)用戶出示二維碼支付模式用戶出示二維碼支付模式也稱為用戶被動式掃碼支付模式，是線下商家通過掃碼槍或其他條形碼讀取設(shè)備掃描用戶手機APP上的二維碼的支付模式。不管是用戶掃碼還是出示二維碼支付，兩種模式的掃碼支付均能在十幾秒甚至幾秒內(nèi)完成支付過程，在大大簡化收費、試算、找零等過程的同時，既減少患者排隊時間，又降低醫(yī)院收到假幣以及找零出錯等風(fēng)險，為收費管理提供了創(chuàng)新解決方案。介紹從生成支付二維碼到用戶進(jìn)行掃碼再到支付完成異步通知的整個流程。(1)支付二維碼生成支付二維碼生成過程主要分以下幾個步驟:1)醫(yī)院收費終端系統(tǒng)根據(jù)患者ID號等就醫(yī)憑證信息到HIS中獲取相關(guān)費用信息，若為醫(yī)保用戶，則向醫(yī)保中心系統(tǒng)發(fā)送試算請求并得到結(jié)果。2)如果用戶需要使用掃碼支付進(jìn)行結(jié)算，則終端收費系統(tǒng)開啟SOCKET服務(wù)偵聽并將患者信息、本機IP地址、SOCKET偵聽端口號及患者應(yīng)收費用等信息打包成終端支付要素信息包提交至支付網(wǎng)關(guān)服務(wù)器。3)支付網(wǎng)關(guān)服務(wù)器一方面保存終端支付要素信息以備支付完成后通知終端收費系統(tǒng)完成結(jié)算，另一方面根據(jù)支付寶/微信支付系統(tǒng)API調(diào)用規(guī)則，得到訂單號與交易鏈接，并返回給終端收費系統(tǒng)。4)終端收費系統(tǒng)在得到訂單號與交易鏈接(code_url)后，把交易鏈接內(nèi)容生成二維碼圖片展示給用戶。在支付二維碼生成這個流程中，原來的收費終端程序只需要新增SOCKET服務(wù)偵聽與提交終端支付要素信息包的HTTP請求操作，并在收到交易鏈接(code_url)后將其轉(zhuǎn)化為二維碼的功能，實現(xiàn)過程并不復(fù)雜。(2)支付完成的異步通知

在用戶掃描完支付二維碼并完成支付授權(quán)后，支付寶/微信支付系統(tǒng)服務(wù)器將發(fā)起異步通知，告知交易發(fā)起方，交易已成功支付。一旦用戶成功支付，支付寶/微信支付系統(tǒng)服務(wù)器將發(fā)起異步通知，通知地址notify_url)為調(diào)用下單API時定義的參數(shù)，如支付網(wǎng)關(guān)服務(wù)地址。支付網(wǎng)關(guān)服務(wù)器得到用戶支付成功消息后，會先去驗證該支付消息真實性。確認(rèn)該支付成功消息真實存在后，支付網(wǎng)關(guān)會查找保存的終端支付要素信息，解析后與終端收費系統(tǒng)建立SOCKET連接，發(fā)送支付完成消息。終端收費系統(tǒng)得到支付完成消息，將支付費用信息提交至HIS，完成收費系統(tǒng)接下來的步驟，打印相關(guān)憑證，完成整個收費支付過程。