移动端设备指纹：原理、应用、问题与提升

阿贾克斯的黎明

于 2024-10-20 19:57:34 发布

阅读量576

点赞数 3

分类专栏：网络安全文章标签： web安全

本文链接：https://blog.csdn.net/m0_57836225/article/details/143097648

版权

786 篇文章

订阅专栏

在当今数字化时代，移动端设备指纹技术正逐渐成为保障账户安全和实现精准营销的重要手段。本文将深入探讨移动端设备指纹的相关知识，包括其定义、用途、实现原理以及存在的问题和提升方法。

移动端设备指纹是指通过在网站或者移动端嵌入脚本或SDK来采集终端用户环境的非敏感设备特征细信息从而建立一套设备标识库，相当于为每一位互联网用户的访问设备分配了唯一的设备标识。它也可以理解为移动客户端鉴别用户操作设备唯一性的标识，是常见的设备绑定机制的识别信息。

账户安全保护
- 应用于比较敏感app客户端（如银行、钱包、理财）的设备激活上，当用户的明文密码不慎泄露，被异地、不同设备登录时，可作为二次保护校验，在一定程度上保护账号安全。
- 同一个账户登录设备指纹的新增、更换都会成为企业数据风控的重要指标。
企业数据掌握与产品定位
- 通过采集设备指纹，企业可以收集用户使用的设备信息，从而对用户群体的设备情况有一个“大数据”层次的掌握，例如了解有多少iphone土豪用户，多少小米大众用户等，便于更好地定位推介产品。
风险防控与异常检测
- 对于垃圾注册、刷单、羊毛党、刷投票、防撞库等行为，当发现同一设备进行某些操作的次数过多，或者操作时间在不正常的时段，可以发出警报，进入二次验证的过程。
精准广告推送
- 原始的线上广告投放是所有用户看到的都是同一个广告，存在资源浪费和影响用户体验的问题。通过设备指纹，可以搜集用户访问网站信息，分析用户需求，进行深度的营销推广，实现更精准的广告推送。

移动端设备指纹的实现首先要采集到用户设备的基本信息，比如在Android上可以是手机厂商、设备ID、手机卡信息、系统相关信息等。其基本原理是通过多个条件进行区分，使得所有条件的具体选择能直接具体到每一个人。

设备唯一性问题
- 问题：即便是收集了设备指纹的多个维度信息，也无法确保设备唯一性，特别是在Android手机上，山寨机共用一个IMEI、Mac地址的情况大有存在，模拟器设备信息更是可以各种伪造。
- 提升方法：尽可能地收集更多的相关信息和不常用但具有标识作用的信息，让伪造成为困难。
只识设备不识环境、不识人问题
- 问题：设备指纹只识设备不识环境、不识人。例如手机丢了，被别人捡到，在相差比较远的地点、不常用的Wifi环境下启动了具有自动登录功能的APP，单单依赖设备指纹就有问题。
- 提升方法：大厂开始采取“识人”措施，如面部识别、声音解锁、设备硬件指纹解锁等。
算法可伪造问题
- 问题：如果成功掌握了设备指纹所使用的算法，通过hook修改，可以伪造“指纹”。
- 提升方法：进行“识人”是一个必要的过程。