某公司开发数字证书签名被非法滥用

最近在收集应用信息中，发现一个用于银行手机客户端签名的数字证书已经被个人非法利用。

1、 23款不同银行官方手机银行客户端经过该数字证书签名。

应用包名 应用名称 官方下载地址

com.rytong.pad.bankps 邮储银行HD http://**.**.**.**/ewpdl_1404207502/ebank/mobile/apad/psbcpad.apk

com.rytong.bankps 邮储银行 http://**.**.**.**/ewpdl_1404207263/ebank/mobile/android/android2.0/psbc.apk

com.rytong.bankps_bj 邮储便捷版 http://**.**.**.**/ewpdl_1404207321/ebank/mobile/android_j/psbc.apk

com.chinaCEB.cebActivity 瑶瑶缴费 http://**.**.**.**/static/s_upload/201308/123387655/app/yaoyaojiaofei.apk

com.cib.bankcib 兴业银行 http://**.**.**.**/userfiles/image/cli/CIBV2.1.1.apk

com.srcb.mbank 上海农商银行 http://**.**.**.**/mobile/android/bank_srcb.apk

com.rytong.bankqdnfc 青芯生活 http://**.**.**.**/survey/cnt_down.jsp?/fwzf/xzzx/rjxz/new/BQDAndroidNfc.apk

com.rytong.bankqd 青岛银行 http://**.**.**.**/survey/cnt_down.jsp?/fwzf/xzzx/rjxz/new/BQDAndroidBank.apk

com.rytong.bankqlb_pad 齐鲁银行HD http://**.**.**.**/ebank/mobile/androidpad/android2.1/QLBChina_pad.apk

com.rytong.bankql 齐鲁银行 http://**.**.**.**/ebank/mobile/android/android2.1/QLBChina.apk

com.rytong.bankbj 京彩生活 http://download.95526.mobi/sendMessage/downLoadFile/android/android1.5/bob.apk

com.bankcomm.mobile 交銀國際 http://**.**.**.**/tw/securities-futures/products-mobile.html

com.bankcommhd 交通银行 HD http://**.**.**.**/download/client/androidPad/lpc.apk

com.bankcomm 交通银行 http://**.**.**.**/download/client/android_2g/jtyh2g.apk

com.rytong.app.bankhxpad 华夏银行pad http://**.**.**.**/mobile/androidpad/HXB_AP_1.3.0.apk

com.rytong.app.bankhx 华夏银行 http://**.**.**.**/mobile/android/HXB_AM_1.3.0.apk

com.rytong.egbank 恒丰银行 http://**.**.**.**/upload/tools/Androidegb2.apk

com.rytong.bankbhb 河北银行 http://**.**.**.**/specialimg/zfb/bhb.apk

com.rytong.bankharbin 哈尔滨银行 http://**.**.**.**/app/11394910.html

com.bankcomm e动交行 http://**.**.**.**/download/client/android_2g/jtyh2g.apk

com.rytong.bankgdb 广发银行 http://**.**.**.**/Info/CMS5_G20306002Resource?info=12584404;res=1401854296884909191424;download=

com.bankcomm.university 校园通 https://**.**.**.**/store/apps/details?id=com.bankcomm.university

com.cebbank.bankebb 光大银行 http://**.**.**.**/static/s_upload/201201/71742264/app/ceb_prod_withmap.apk

以上不同银行的手机客户端应用都是外包给“北京融易通信息技术有限公司”开发的。

2、 目前应用市场发现存在6款个人开发的应用同时使用该数字证书签名。

应用包名 应用名称 下载地址

com.mynote.note e笔记 http://**.**.**.**//Product/App299042.html

com.book.reader 小说阅读 http://**.**.**.**/app_show_4620.html

com.myblue.assistant 蓝牙e聊 http://**.**.**.**/software/detail.htm?appId=396876

com.book.reader 易读书 http://**.**.**.**/app/com.book.reader/

com.androd.easytask 简单任务 http://**.**.**.**/apk/detail/28720

com.chengli.notelife 简单记事 http://**.**.**.**/detail/62219

这六款手机客户端为同一个人开发者。

推断该个人开发者应该为“北京融易通信息技术有限公司“员工，“不小心”用公司的证书签名了个人开发的小应用并发布到市场。

虽然该证书目前并未被恶意使用，但是还是存在很大的安全风险：

1、 不同银行的手机客户端使用完全相同的数字证书签名。匪夷所思！

2、 这么多家银行的手机银行客户端不用自家银行的数字签名，而是同时使用一个第三方外包公司的数字证书签名。更匪夷所思！

3、 一个这么重要的数字证书签名，第三方外包公司的员工可以随便拿来签发个人应用。如果真是这么容易后，感谢违法活动，结果更是匪夷所思！

厂商回应：

危害等级：高

漏洞Rank：13

确认时间：2014-07-07 09:14

厂商回复：

CNVD确认所述情况，但不认定为漏洞或已经存在的风险事件，对于所述数字签字存在滥用的情况，已经向相关银行以及银监会通报，由用户单位与开发方进行交涉。rank 13

最新状态：

暂无

100%

0%

0%

0%

0%

1. 2014-07-02 17:40 | 袋鼠妈妈 ( 普通白帽子 | Rank:449 漏洞数:61 | 故乡的原风景.MP3)

   2

   这个牛逼

   1#回复此人

2. 2014-07-02 17:45 | qiaoy ( 普通白帽子 | Rank:122 漏洞数:17 )

   1

   .

   2#回复此人

3. 2014-07-02 17:55 | zeracker ( 普通白帽子 | Rank:1077 漏洞数:139 | 爱吃小龙虾。)

   0

   牛逼。。。有银行清单吗

   3#回复此人

4. 2014-07-02 18:55 | LauRen ( 路人 | Rank:4 漏洞数:1 | 苦逼屌丝一枚。)

   0

   前排占位

   4#回复此人

5. 2014-07-02 21:01 | 无敌L.t.H ( 路人 | Rank:21 漏洞数:4 | ‮……肉肉捉活，亭长放解)

   0

   代码签名证书？

   5#回复此人

6. 2014-07-02 23:38 | 小火苗 ( 路人 | Rank:6 漏洞数:1 | 我是一只小火苗呀，春风吹又生呀...)

   0

   小学生前来围观！

   6#回复此人

7. 2014-07-03 15:07 | CplusHua ( 普通白帽子 | Rank:282 漏洞数:37 | 乌云奖金:-1)

   0

   debug？

   7#回复此人

8. 2014-07-28 09:39 | cunzhangok ( 路人 | Rank:4 漏洞数:4 | kail)

   0

   靠，这个找死的节奏哈

   8#回复此人

9. 2014-07-28 09:40 | cunzhangok ( 路人 | Rank:4 漏洞数:4 | kail)

   0

   这个我觉得可以给到100000 RANK

   9#回复此人