张建珍

摘 要：针对微信系统在智能手机平台上存在的安全问题，以OWASP（Open Web Application Security Project）发布的2016年十大移动易攻击分类为依据，分析微信系统在Android和iOS两大主流智能手机平台上的安全性，研究发现存在“不安全的数据存储”、“不安全的通信”、“不安全的认证”、“不安全的授权”、“加密不足”等影响用户信息安全的五种情形。从微信系统用户登录设计和用户数据存储两方面，提出通过修改微信默认登录设置、添加数据噪音和改变聊天数据表索引的建议，以提高微信系统安全性。

关键词：移动应用程序； 微信； 隐私保护； 登录安全； 存储安全； 关联分析

Abstract： Regarding the security problems of WeChat system on the smartphone platform， this paper analyzes the security of WeChat App on both Android and iOS platforms， based on the 2016 top 10 mobile vulnerabilities category of OWASP （Open Web Application Security Project）-i.e. "Insecure Data Storage"， "Insecure Communication"， "Insecure Authentication"， "Insufficient Cryptography"， "Insecure Authorization" are found existing on both of Android and iOS platforms . Finally， based on the findings， this paper presents two recommendations on securing the App （i.e. enhancing the default login settings， the noise data and the index of chat table）.

Key words： mobile application； WeChat； privacy protection； login security； storage security； relevant analysis

引言

根据企鹅智酷数据，截止2016年12月，微信与WeChat合并用户达到8.89亿，用户覆盖200多个国家和地区。2017微信数据报告显示，仅2017年9月，微信日均登录用户达到9.02亿，微信正成为除facebook 和Twitter外，最为流行的社交软件之一。

微信主要应用包括：即时通信、朋友圈、微信支付、查看附近的人、漂流瓶、公众号及应用小程序。微信应用支持的平台包括Android、iOS、Windows、Blueberry等，其中以Android和iOS版用户最多。当微信逐渐成为一种生活方式的同时，微信中包含的个人信息的安全性便受到人们的普遍关注。

OWASP是一个开放、非盈利的国际安全组织，致力于应用程序的设计、开发、运行等领域的安全性研究[1]，被视为Web应用安全领域的权威参考[2]。针对移动应用程序的安全，OWASP公布了“Mobile Top 10 2016”[3]，从10个方面讨论了影响因素，根据这10项影响移动应用程序安全的因素，开发人员可以评估移动应用程序的安全性进而改进设计。

本文主要研究以下两个问题：