Android应用内第三方支付协议的形式化分析

摘要

应用内第三方支付具有便捷实用的特点,使得众多的移动应用选择嵌入第三方支付功能,但其安全性缺乏系统全面的分析,导致支付安全难以保证.为此,对基于Android平台的五种第三方支付协议的协议流程、安全假设和安全目标进行形式化建模,并采用ProVerif对协议进行分析,分析结果表明,协议在Android平台上的实现难以抵御订单篡改、订单替换和通知伪造等攻击;其次,在测试了210个采用应用内第三方支付的App后,发现近13.8%的App均能被成功攻击;最后,为抵御上述攻击,对第三方支付协议的实现提出了具体的建议.