密码系统

事件概述

美国时间3月7日，维基解密（WikiLeaks）网站公布了大量据称是美国中央情报局（CIA）的内部文件，其中包括了CIA内部的组织资料，对电脑、手机等设备进行攻击的方法技术，以及进行网络攻击时使用的代码和真实样本。利用这些技术，不仅可以在电脑、手机平台上的Windows、iOS、Android等各类操作系统下发起入侵攻击，还可以操作智能电视等终端设备，甚至可以遥控智能汽车发起暗杀行动。

维基解密将这些数据命名为“7号军火库”（Vault7），一共有8761份文件，包括7818份网页以及943个附件。在公布时，维基解密对文件内容进行了一些删节处理，包括个人真实信息（姓名、邮件地址等），数以万计的IP地址，以及真实的二进制文件。维基解密表示在对文件进行进一步的分析之后，会逐步公开这些被删节的信息。同时，维基解密称此次公布的数据只是一系列CIA机密材料的第一部分，被称为“元年”（YearZero），后续还会有更多资料陆续公布。

泄漏内容

此次公布的数据都是从CIA的内网保存下来的，时间跨度为2013到2016年。这批文档的组织方式类似于知识库，使用Atlassian公司的团队工作共享系统Confluence创建。数据之间有明显的组织索引关系，可以使用模板对多个资料进行管理。很多资料有历史改动的存档，7818份资料中除去存档共有1136个最新数据。943个附件基本上都可以在资料中找到对应的链接，属于其内容的一部分。具体而言，这些资料可以分为如下几类：

1.CIA部门资料，包括部门的介绍，部门相关的黑客项目，以及部门内部的信息分享。

2.黑客项目资料，包括一些不属于特定部门的黑客工具、辅助项目等，其中有项目的介绍，使用说明以及一些技术细节。

3.操作系统资料，包括iOS、MacOS、Android、Linux、虚拟机等系统的信息和知识。

4.工具和开发资料，包括CIA内部用到的Git等开发工具。

5.员工资料，包括员工的个人信息，以及员工自己创建的一些内容。

6.知识库，这里面分门别类地存放了大量技术知识以及攻击手段。其中比较重要的是关于Windows操作系统的技术细节和各种漏洞，以及对于常见的个人安全产品（PersonalSecurityProducts）的绕过手段，包括诺顿、卡巴斯基、赛门铁克、微软杀毒以及瑞星等安全产品。

总的来看，这些数据虽然有组织关系，但是作为工作平台而言，并没有形成严格的规范，很多文件都是随意放置的，甚至还包括asdf这样的测试文件，更像是一个内部的知识共享平台。

典型兵器

在这次公布的数据中，一些比较值得注意的兵器项目如下：

WeepingAngel

WeepingAngel(哭泣的天使)是一款由CIAEmbeddedDevicesBranch(嵌入式设备组)和英国MI5共同开发的针对三星智能电视的窃听软件。三星智能电视使用的是Android操作系统，该窃听软件感染智能电视后，会劫持电视的关机操作，保持程序的后台运行，让用户误以为已经关机了。它会启动麦克风，开启录音功能，然后将录音内容回传到CIA的后台服务器中。考虑到三星智能电视使用的是Android操作系统，推测该恶意软件具备感染Android手机的能力。韩国和美国是三星智能电视的最主要消费国家。

HIVE

HIVE(蜂巢)是CIA开发的远程控制后台项目，该项目负责多个平台的后台控制工作。从泄漏的文件来看，HIVE系统在2010年10月26日发布了第一版，直到2014年1月13日一共更新到2.6.2版本。作为间谍软件最重要的部分，Command&ControlServer就由该项目负责。整体上，植入目标机器中的间谍软件，通过HTTPS协议同后台C&C服务器进行交互，整个通信过程使用了，数据加密，身份鉴权等诸多信息安全高级技术。同时在异常处理和服务器隐藏等关键模块的设计上，也体现出国家队的技术水平。

从架构设计上分析，HIVE分为两层，第一层直接与间谍软件连接，部署在商用的VPS(VritualPrivateServer)上。第一层将所有流量通过VPN加密转发到第二层。转发策略是如果流量经过身份鉴权，确认是目标机器，就会向代号为”Honeycomb”的服务器集群转发，这里会对收集到的信息进行存贮和分析，如果鉴权失败，就会向一个无害的网站转发，达到重要服务器不被暴露的目的。

UMBRAGE

UMBRAGE(朦胧的外表)取自英语古语，有朦胧虚无的意思。该项目主要目的是隐藏攻击手段，对抗调查取证。现实世界中，每一个案件，背后无论多么扑溯迷离，在现场一定会留下线索，如果是惯犯，凶手会有一定的作案模式。在网络世界中也是一样的，每一次发动的网络攻击，都会和之前的攻击有着千丝万缕的联系，都能提取出一定的攻击模式。

CIA的RemoteDevicesBranch(远程设备组)，收集维护了一个网络攻击模式库，该模式库总结了之前使用过的攻击方式和技术，例如包含HackingTeam泄漏出的代码和俄罗斯使用的技术。拥有了庞大数量的模式库之后，对于新发起的网络攻击，可以采取模仿，混淆等多种战术，达到迷惑敌人，隐藏自己的目的。UMBRAGE项目包含了恶意软件大部分功能模块，例如：键盘记录器，密码收集器，摄像头控制，数据销毁，提权，反杀毒软件等等。

FineDining和Improvise(JQJIMPROVISE)

"FineDining"（美食大餐）提供了标准化的调查问卷，CIA的OSB(OperationalSupportBranch)部门会使用该调查问卷，用于将办案人员的请求转换为针对特定操作的黑客攻击的技术要求。问卷可以帮助OSB在现有的攻击工具集中选择合适的攻击工具，并将选好的攻击工具清单传递给CIA的负责配置攻击工具的运营人员。OSB在这里充当了CIA运营运营人员和相关技术支持人员的接口人的角色。

调查问卷会让填写者填写诸如目标计算机使用的操作系统、网络连接情况、安装的杀毒软件等信息，随后会由"Improvise"（即兴演出）处理。"Improvise"是一个用于配置、后处理、payload设置和executionvector选择的工具集，可支持所有主流操作系统。"Improvise"的配置工具如Margarita允许NOC（NetworkOperationCenter）根据"FineDining"问卷的要求来定制工具。

"FineDnining"用于收集攻击需求，而"Improvise"用于将攻击需求转化为攻击工具，这两个工具相互配合使用，可以准备、快速的对任何特定目标实施攻击。可见，CIA已经实现了对指定目标的攻击实现了高度的定制和高效的配置。

后续

此次公开的数据庞大，并且还有部分数据未公布。腾讯电脑管家反病毒实验室会持续关注该事件，跟进最新进展；同时继续深入分析现有内容，挖掘其中涉及的安全漏洞、入侵手法和攻击工具，第一时间披露更加具体的细节信息。

同时也在这里提醒广大用户，此次公布的数据中包含大量漏洞信息和攻击工具，可能被不怀好意的人利用，成为他们手中新的武器。希望广大用户最近提高警惕，留心关注最新的安全新闻，注意及时更新电脑、手机上的安全防范措施，避免遭受此次事件的负面影响。

相关新闻

2017-03-15

2017-05-16

2017-05-31

2017-06-06

2017-08-10

　苹果公司的ApplePay移动支付服务在2016年2月18日来到了中国大陆，在国内的iPhone用户中掀起了一阵热潮，甚至有很多果粉不惜等待更长的队伍而体验科技带来的“便利”。

三星在去年8月也推出了移动支付服务“三星智付(SamsungPay)”，并于同年在韩国本土以及美国上市。并于今年2月24日证实在国内公测。

那么三星智付的体验如何？与ApplePay又有什么区别？新浪科技本文将为你带来大概是最全的三星智付讲解。

支持设备

在公测阶段，仅国行版GalaxyS6edgePlus和Note5两款手机支持，主要限制在于手机硬件。

由于三星智付支持基于NFC(近场通讯)和MST(磁力安全传输)两种不同技术的零售交易，所以可运行三星智付的手机必须同时内置了NFC和MST两款芯片。

目前三星手机中，只有以上两款手机同时内置这两款芯片，国行版GalaxyS6和S6edge已阉割MST芯片，故目前仅两款产品可用。

是否支持非国行版手机？

三星方面表示，国内的三星智付并非仅仅是韩国、美国的汉化版，三星中国在原版的基础上进行了一些代码以及用户体验的优化。只有国行版的手机才能收到带有三星智付的系统更新推送。

以上是软件层面的，在硬件层面，国行版S6和S6edge被阉割了MST芯片。所以这两款设备无望接入三星智付。

其他地区版的S6以及S6edge是支持MST芯片的，硬件层面理论上是支持的，是否会适配就要期待三星或者民间大神移植了。

绑卡流程

在绑卡之前，需要完成两个准备工作：

1。确定手机已经录入了指纹信息、

2。已经注册三星账户(没有的可以去三星官网注册下)。

这两步完成后可选择右上方的“添加银行卡”，可选择摄像头识别和手动输入两种方式。按照提示输入信息，绑定就完成了。

绑定完成后系统会下载一些配置文件，所以这个环节还是建议在WiFi环境下完成。

支持银行

本次三星智付也是由银联牵头达成合作的，所以与ApplePay相同，只有接入银联系统的卡才能绑定，像单VISA或Master卡是不能用的。同时支持和银联机构的卡绑定后将仅能支持银联系统支付。

在本次公测阶段，目前只支持7家银行的信用卡和两家银行的借记卡，分别是

信用卡：中国工商银行、中国建设银行、广发银行、中信银行、中国光大银行、中国民生银行、平安银行

借记卡：中国建设银行、中信银行

三星方面表示，发卡量较大的招商银行目前正在洽谈中，将于近日上线。其他银行也将陆续登陆三星智付。

使用场景

主要应用场景包括国内外绝大多数银联POS机、公交地铁和应用内支付。

三星智付由于加入了MST技术(模拟磁条)，理论上可以兼容市面上绝大多数POS机产品，无论POS是否带NFC功能。不像苹果只支持带有云闪付技术的POS机，

值得一提的是，经三星测试，不仅限于大陆，在全球范围内银联POS机上基本都可以使用。

国内公共交通支付系统也是基于MST技术的，所以刷三星手机也可以乘坐公交、地铁等交通工具的。不过目前这一功能还未上线，官方预计在今年第二季度登陆国内市场。

为什么三星能兼容绝大多POS机ApplePay不行

这就要从三星智付的原理说起了。

简单来说NFC是近几年飞利浦、诺基亚、索尼联合研发的一种通信标准，需要单独的接收、发送芯片来进行数据传输。而MST磁力安全传输技术是另外一种传输方式，这种通信方式可兼容POS机侧边的刷卡槽。ApplePay只支持前者，而三星智付支持全部两种通信方式。

目前市面上的POS机产品，大多想对较老，仅支持侧边磁条刷卡，并没有内置NFC芯片。这就造成了同样是POS机，ApplePay不能哪里都能用的原因。

而三星通过支付公司LoopPay从而获得MST技术，可完美兼容老式POS机的侧边刷卡槽通信，从而可以实现绝大多数设备的兼容。

使用流程

介绍三星之前我们先来回顾下支付宝/微信和ApplePay的体验。

支付宝/微信：点亮手机——解锁——进入应用——点付款——输入密码(或指纹)——确认付费。同时全程需要联网。

ApplePay：手机碰一下刷卡器——输入指纹(或密码)。不需联网。

三星智付：在黑屏待机/锁屏/主界面状态下从Home键向上滑动屏幕——输入指纹(或密码)——手机放在POS机附近。不需联网。

要提示的是使用NFC支付时需要把手机放倒POS机附近，而实用MST方式则需要把手机放在刷卡磁条附近。

三星的工程师认为，从用户体验出发，相比熄屏直接支付，加入一个呼出虚拟卡片的过程能给用户带来心理层面的安全感，让用户觉得什么时候支付可以受到掌控，减少误操作的几率。

除了指纹需要在POS机输入密码么？

密码这部分需要分NFC和MST两部分讲。NFC方式支付和ApplePay一样，输入完指纹后是否需要在POS机上输密码，取决于绑定的银行卡刷卡时是否需要输入密码。

大多数国人的借记卡和信用卡在交易时候都是需要输入密码的，而只有部分银行卡是可以支持小额免密码“闪付”快捷支付的。而至于小额闪付是否需要输入密码，这也和店家也有关。

而使用MST方式的话，只要银行卡有密码，那么就一定要在POS机输入密码了。

手机套影响支付么？

只要背部手机套不是金属的都没有影响，已实测塑料、硅胶以及皮质手机壳，均不影响两种方式支付。

手表能使用三星智付么？

不能。官方并未解释原因，也未透露上线日期。

安全性如何保障

MST确实是模拟磁卡的技术，磁卡也是可以被复制，但这并不意味着三星的MST技术就不安全。这要从软硬两部分来解答。

硬件方面三星智付采用了类似苹果的机制，所有记录的银行卡信息将单独纪录在独立芯片中，且只有SamsungPay的应用可以调用该芯片的数据。

此外，银行卡号并非直接存储在芯片中，而是经过了两层加密。

首先不同通信方式会有不同的算法进行加密，也就是说一个银行卡账号在通过NFC支付时候是一个虚拟号码，通过MST支付时候是另外一个虚拟号码。这只是第一层。

三星智付与苹果相同同样使用了token加密。储存账户信息的独立芯片内部有实时简单应用，根据实时算法在不同时刻加密出不同结果。由于帐号是动态的，即便有人窃取了这一时刻的虚拟帐号，也很难盗取资金。

在软件方面，三星曾经于2013年MWC上推出了KNOX系统，这是一款基于Android平台的安全解决方案。简单来说可以把KNOX理解成一个安全容器、在硬盘上隔离出一块独立的区域，使得系统其他程序都不可见更无法访问。三星智付正好就在这个容器里面。

KNOX系统还可依靠软硬件可检测手机是否会被root，如果被root，手机将无法启动knox，保证内部信息的绝对安全。

假设你的手机不小心遗失了，在别人破解你的指纹或备用密码之前，你也有充足的时间来用FineMyMobile远程清除手机上的内容。

三星智付有什么折扣或者优惠么？

三星官方表示这个目前还不便透露具体相关信息，但正式上线后会有很多宣传活动。

按照以往三星死磕苹果的经历，为了赶超苹果，三星在营销上的支出从未手软过。不过与支付宝、微信这种大金主相比，三星的优惠力度还是要看上市以后的具体规则了。

最后用一张表格来对比SamsungPay和ApplePay的区别