三、手机银行现有安全控制措施的不足
手机银行业务是一项系统性的业务，虽然多数银行已经采用了上述安全控制措施，但仍然存在着以下风险。
1、业务组件本身的安全：如手机银行APP的安全是非常重要的，应用本身的安全性应该得到切实的保障，现有的安全控制措施多数未提及。
2、业务过程的安全：手机银行业务是动态的，数据的传输经过很多环节，安全的核心是敏感数据的传输和存储以及身份验证，现有的加密算法大多数是公开的，身份验证机制基本上没有采用硬件方式，不能满足高安全性的需要。
3、异常场景的使用：手机银行运行的介质是智能手机，智能手机相当于一台电脑，智能手机可能会中病毒和木马，手机也可能更换、丢失或维修，在这样的异常场景发生时，现有的安全控制措施显然做的不够。
4、安全技术的发展：信息安全技术日新月异，针对手机银行的攻击手段也发展的很快，如重放攻击、截屏攻击、钓鱼攻击、中间人攻击等方式可能对现有的安全控制措施造成威胁。
全面的分析手机银行的安全风险是保障手机银行安全的基础，针对上述的情况，以下提出几种手机银行安全风险分析的方法。
四、手机银行安全需求分析
1、基于业务组件的分析
简单来说，手机银行的组件包括客户端APP、服务端和通讯线路，基于业务组件的分析就是分别对这三部分进行安全需求分析。
（1）从生命周期角度控制客户端APP安全
任何软件开发都会经历开发、测试、上线、更新和消亡的过程，手机银行APP也不例外，开发阶段可能存在编码安全风险，需要建立开发规范；测试阶段需要进行严格的安全测试；上线前需要经过专业的安全检测机构进行测试，手段包括代码审计、渗透测试等；软件更新需要遵循更变规范，分发使用时需要确保应用的完整性，在用户删除软件时不能留存敏感信息。
（2）确保服务端的安全
手机银行在重视客户端安全的同时，不能疏忽服务端的安全，服务端通常需要确保逻辑安全、会话控制和防攻击，其中对于暴露在互联网上的服务器要做到防止利用接口的攻击、拒绝服务攻击以及SQL注入等攻击。
（3）采用硬件认证和安全加密算法保障通讯安全
基于互联网的不安全性，必须采用安全的加密算法和密钥管理体系，软件本身的数字签名技术也存在着一定的风险，基于安全控制模块等硬件的数字签名技术会安全许多，另外公开的加密算法或多或少存在被破译的风险，建议采用商密级的未公开加密技术。
2、基于业务过程的安全分析
我们可以把手机银行的业务流程归为两个过程，分别是初始化过程和交易过程。
在初始化过程中，可能存在下载了不安全的客户端APP的风险，造成钓鱼攻击或窃取信息，需要对客户端APP进行完整性校验或客户风险提示；同时手机的运行环境安全也是非常重要的环节，在下载应用前或使用后手机可能被植入病毒木马。这就需要做到对手机环境的扫描检测或告警，尤其是手机系统是否被Root，以及客户端APP的防逆向和防篡改。
3、基于场景分析的安全分析
既然手机银行安全事件的发生都是伴随着非正常因素，那么针对可能的异常场景的分析就能有助于发现一些潜在的安全隐患。例如场景一：下载非可信APP：安全风险主要体现在钓鱼，信息窃取，攻击的本质是针对业务的攻击。场景二：手机病毒木马，安全风险的主要体现是信息被窃听，或者信息被篡改，以及保存的信息被窃取泄露，本质风险在于存储安全，客户端APP自身安全和数据安全。场景三：手机遗失，安全风险主要体现在身份的冒用，认证风险等。场景四：不安全的网络环境，例如公共wifi下，传输数据可能会被窃听和篡改，所以需要相应的加密手段来解决。场景五：恶意补卡：可能会面临恶意补卡的攻击，实质上也是基于业务层面的安全风险。
4、基于技术攻击的安全分析
五、关于手机银行信息安全保障体系
1、移动终端层
终端环境安全角度需要对客户端环境进行检测，包括特权检测，如APP下载时检测系统是否被root，提示风险，进行病毒检测，启动APP时扫描手机病毒及木马，同时需要实现应用隔离，保护APP私有数据不被其他软件非法利用，安全控制模块方面主要从硬件合规，安全检测，访问控制及数字签名四个方面在满足金融行业各类规范的同时，避免越权访问，保障交易数据的完整性真实性和抗抵赖性。数据传输采用非公开安全的加密算法。在自身安全方面APP软件必须遵循开发规范，不应暴露任何影响自身安全性的外部接口，同时采取有效的干扰措施增加对代码静态分析的难度。
2、网络层
安全加密：APP应使用安全协议保证与后台服务端通信的秘密性、完整性和真实性，APP与后台服务端建立连接时应进行双向认证，同时对密钥长度进行安全性限制。目前几乎所有设备都需要连接网络，且WIFI环境越来越好，存在许多免费公共WIFI，钓鱼WIFI也隐藏在其中。针对WIFI钓鱼，在部分路由器支持的前提条件下，需验证路由器是否使用的是默认密码，以及DNS是否被篡改，DMZ服务是否开启，以判断检查路由环境是否正常，杜绝钓鱼等安全隐患。
3、服务器层
4、业务层
业务层面，主要是针对用户自身账号安全以及交易安全，可采用硬件绑定，图形验证码，短信验证等方式对用户合法性进行验证，针对会话安全可通过认证超时等方式进行安全保障。结合手机支付的业务特点，需要对用户访问的网址进行检测。检测当前系统中具有网页浏览功能的软件及访问的网址，保护用户的上网安全，若发现存在欺诈、钓鱼、木马等恶意网址时，以弹窗形式提示用户并由用户自主中止或继续访问该网址。
六、结论
手机银行安全风险是复杂和动态的，任何一种单一的风险分析方法得出的结果一般也是片面的。我们通过四种风险分析方法综合得出的手机银行的安全风险，尤其是基于场景分析的方法是非常符合现实情况的，具有典型意义。在此基础上，以切实可行的具体方法来应对手机银行的安全风险。
自COS(ChinaOperatingSystem)1月15日推出以来，这款据称由中科院牵头研发的手机操作系统就陷入种种争议当中。对此，上海联彤称，COS的基础版本由中科院软件所牵头进行研发，包括桌面(PC)、手机、电视/机顶盒等不同终端版本。
11月14日在郑州汝河路中医院门前，市民鲁先生遇到一名低价售卖苹果6S手机的男子，说是2000元低价兜售玫瑰金苹果6sP手机，双方一番讨价还价成交后拿到手机店一检测，却发现低价买来的苹果6S手机操作系统竟是安卓山寨版，大呼上当被骗。
虽然市场份额不怎么样，但微软给手机操作系统起的名字恐怕比哪个竞争对手都要多。从WindowsCE（WindowsEmbeddedCompact）、WindowsMobile到WindowsPhone，再到Windows10Mobile，即便是科技行业的从业者，恐怕也要被微软的“改名部”给绕晕了。
再从IDC公布的2014年中国智能手机市场份额数据看，除了小米、三星、联想、华为、酷派等品牌份额占据60%外，有40%的手机市场份额为其他品牌。我想这些手机企业必须要采取与YunOS等互联网公司操作系统合作的方式让自己具备“互联网衍生服务”能力成为狙击小米的重要力量。
左为中国互联网协会研究中心秘书长胡钢，右为360网站安全高级研究员董方。胡钢称，在使用云服务过程中出现信息泄露或者类似情况，用户维权几乎是不可能的事情。
另一方面，在小米的横空出世之后，互联网手机大热，一大批手机品牌被快速催熟，但苹果、三星、华为、小米、酷派、联想、中兴、金立等厂商牢牢位列销量前列。相比之下，眼下的手机市场早已血腥一片，蓝海转为红海的背后，新进者将凭什么来分一杯羹呢？
深圳市消委会的一项调查显示，95.32%的受访用户手机中存在预置应用软件，其中88.91%的预置应用软件不可卸载，其认为，预置应用软件违反多项法规。智能手机预置应用软件不可卸载率高达88.91%，可卸载率仅为11.09%；调查中98.60%的消费者认为无法正常卸载预置应用软件不合理。
苹果公司日前承认可以通过电脑中获取iPhone用户个人数据。
此次欧洲议会提议把谷歌的搜索业务同其他业务进行拆分。
据英国《镜报》近日报道，自从苹果发布其新的手机操作系统iOS10以来时不时就会冒出点小问题。《镜报》报道称，在9月14日发布新的iOS10系统后，一些iPhone的用户就表示升级后手机“变砖”，一些用户抱怨苹果操作系统升级导致他们常常没有信号。