网络通信的安全风险

（一）通信信道的风险

从移动终端发出请求，经过运营商网络或互联网，到达防火墙，在这样的一个过程中，信息在多个不同的组织和节点中传输，如接入点、ISP的路由器、交换机、骨干网络等，如果采用普通的HTTP 协议，当不怀好意的用户侵入这其中任何一个节点时，都有可能窃取、修改传输的数据。

（二）https 嗅探劫持

为保证网络通信信道安全，业界通用的做法是采用标准的https 协议。但是，国内某机构网络安全中心在日常终端安全审计中发现，在Android 平台中使用 https 通信的APP 绝大多数都没有安全地使用 Google 提供的API，直接导致 https 通信中的敏感信息泄漏甚至远程代码执行。

究其原因，开发者在使用代码开发测试自己产品的https 功能时，会因无法通过 Google API的https 证书合法性而发生多种类型的https 异常。为解决上述异常，开发者通常会采用覆盖 Google 默认的证书检查机制的方式，为信息泄露埋下隐患。黑客可通过流量劫持，截获 https 握手时下发的证书，替换为伪造的假证书。随后，全部的https 数据都在监控之下，可随意篡改数据包的内容。