您的数字资产钱包安全吗__6页_548kb
报告摘要
数字资产钱包安全总结
核心内容
普华永道中国发布了一套数字资产钱包安全评分体系，从App安全、服务端安全和业务安全三个方面对钱包进行评估，采用扣分制计算各方面的安全评分，初始分值为100分，最低分值为0分。
主要观点
-
评分体系结构：
评分体系将每个安全方面划分为若干评分项，评估每个评分项的漏洞等级和可能性，计算出风险分值，最终从初始分值中扣除风险分值得出总分。 -
漏洞等级分类：
漏洞分为四个等级：严重（Critical）、高（High）、中（Moderate）、低（Low），分别对应50分、20分、10分、5分的风险分值。 -
可能性计算：
可能性由四个因素决定：被触发的条件、被利用的难易程度、受影响的群体大小、被发现的难易程度，占比如下：- 被触发的条件：30%
- 被利用的难易程度：30%
- 受影响的群体大小：30%
- 被发现的难易程度：10%
-
风险分值计算：
风险分值 = 漏洞等级 × 可能性。总分 = 100 - ∑（风险分值）。
关键信息
评分项示例
| 安全方面 | 评分项 | 漏洞等级 | 是否存在 | 可能性 | 风险分值 |
|---|---|---|---|---|---|
| App安全 | 私钥安全：私钥的生成算法是否采用可预测的加密因子 | 严重 | 不存在 | ||
| 助记词安全：助记词生成过程中是否会以明文形式进行网络传输 | 高 | 存在 | 0.5 | 10 | |
| 密码安全：交易密码输入过程中是否可以被复制/粘贴 | 中 | 存在 | 0.3 | 3 | |
| Keystore安全：Keystore是否明文存储在客户端本地缓存 | 中 | 不存在 | |||
| 客户端自身安全：应用进入后台时是否删除视图中的敏感数据 | 低 | 不存在 | |||
| 本地数据存储安全：是否会将钱包登录密码/手势密码明文保存至本地缓存 | 低 | 不存在 | |||
| 服务端安全 | 输入安全：是否存在CSRF跨站请求伪造 | 高 | 存在 | ||
| 配置安全：是否存在弱口令 | 高 | 存在 | |||
| 网络传输安全：是否采用不安全的SSL2.0加密传输协议 | 高 | 存在 | |||
| 网络架构安全：应用所有组件可以被识别且确实需要 | 中 | 存在 | |||
| 业务安全 | 业务逻辑安全：钱包的登陆密码/手势密码是否可以被绕过 | 高 | 存在 | ||
| 功能设计缺陷：验证创建钱包时需要单独设置密码 | 中 | 存在 |
评分结果
| 操作系统 | 钱包名称 | App安全总分 | 安全优势 | 待改进项 |
|---|---|---|---|---|
| Android | 钱包A | 88 | 代码加固、反调试、代码注入保护 | 助记词安全、密码安全 |
| 钱包B | 61 | 无私钥和Keystore导入导出功能，密码错误次数限制 | 助记词安全、密码安全、客户端自身安全 | |
| 钱包C | 73 | 助记词输入采用自主研发软键盘 | 客户端自身安全 | |
| 钱包D | 70 | 助记词用星号代替，降低截屏风险 | 客户端自身安全 | |
| 钱包E | 41.5 | 锁屏密码设置，后台切换需重新输入 | 私钥安全、助记词安全 | |
| 钱包F | 62.5 | 调用系统锁屏机制 | 私钥安全、客户端自身安全 | |
| iOS | 钱包A | 78 | 增加指纹登录功能 | 助记词安全、密码安全 |
| 钱包C | 86.5 | 助记词输入提示，降低键盘记录、截屏风险 | 客户端自身安全 | |
| 钱包D | 80 | 助记词输入提示，降低键盘记录、截屏风险 | 客户端自身安全 | |
| 钱包E | 63 | 锁屏密码错误次数限制、越狱检测 | 私钥安全、助记词安全 | |
| 钱包F | 77 | 取消助记词备份恢复功能 | 私钥安全、客户端自身安全 |
安全问题分布
测试中发现的数字资产钱包安全问题主要集中在以下几个方面：
- 助记词保护不足：多数钱包未有效防止助记词在输入、传输过程中被记录或截屏。
- 静态密钥解密私钥：部分钱包使用静态密钥解密Keystore文件，存在私钥泄露风险。
- 代码未进行混淆加固：许多Android钱包未对源代码进行保护，容易被反编译。
- 无密码转账：部分钱包在转账时不需要输入交易密码，增加了资产被盗风险。
- Keystore本地明文存储：某些钱包将Keystore文件明文存储，泄露后等同于私钥泄露。
安全建议
- 助记词安全：由于涉及用户操作，助记词保护较为复杂，需加强输入防护、传输加密、存储安全等。
- 客户端自身安全：需优化后台数据清理机制，防止敏感信息泄露。
- 密码安全：应避免交易密码被复制/粘贴，防止中间人攻击。
- 代码加固：建议对Android客户端进行混淆加固，防止源代码被轻易反编译。
- 私钥保护：应避免使用静态密钥解密Keystore，采用动态加密方式。
后续计划
普华永道中国计划在后续文章中发布关于网页钱包、硬件钱包的安全性分析，并介绍其自主研发的数字资产钱包安全在线检测平台。
联系我们
如需进一步咨询或获取安全评估服务，请联系以下人员：
-
韦坚信 (Andrew Watkins)
普华永道中国内地及香港首席科技与颠覆技术官
+852 2289 2716
andrew.watkins@hk.pwc.com -
洗嘉乐
普华永道中国风险及控制服务合伙人
+86 (10) 6533 2937
samuel.sinn@cn.pwc.com -
李睿
普华永道中国网络安全和隐私保护合伙人
+86 (10) 6533 2312
lisa.ra.li@cn.pwc.com -
张俊贤
普华永道中国风险及控制服务合伙人
+86 (21) 2323 3927
chun.yin.cheung@cn.pwc.com -
莫威廉 (Ramesh Moosa)
普华永道中国网络安全和隐私保护，咨询服务主管合伙人
+86 (21) 2323 8688
ramesh.moosa@cn.pwc.com -
黄景深
普华永道中国网络安全和隐私保护风险及控制服务主管合伙人
+86 (21) 2323 3927
kenneth.ks.wong@hk.pwc.com -
颜国定
普华永道中国网络安全和隐私保护合伙人
+852 2289 1935
kok.t.gan@hk.pwc.com
试读结束，高清完整版pdf/doc/ppt,请点下载
