您如何防止移动应用中的网络钓鱼？

Question

想象一下，您的移动设备上安装的游戏X想要从社交网络Y访问您的帐户信息。假设Y公开了一些API，并具有“使用Y登录”等功能。在桌面PC X上可以弹出新的浏览器窗口，在地址栏中清楚地显示Y的域，带有明确指示SSL连接的挂锁图标，在此弹出窗口中，社交网络Y会要求用户提供登录，密码和协议以传递一些信息（如名称） ，avatar，电子邮件）到应用程序X.例如OAuth 2使用这种方法。

在我看来，在移动设备上情况有所不同，因为应用程序X可以控制整个屏幕。特别是它可以在设备的屏幕上绘制与真实浏览器无法区分的东西，并劫持用户提供的登录和密码。

如何打击覆盖整个屏幕并伪装成浏览器的恶意应用程序，甚至操作系统的设置窗口等？

Answer 1

即使在桌面上也没有针对此的技术防御。模仿浏览器的外观并将绿色SSL锁绘制到虚假地址栏中是微不足道的。或者，您只需在应用程序中包含一个密钥记录器，即可在同一系统上的任何应用程序中输入密码。

对于移动应用程序，包括键盘记录器更难。绘制令人信服的假浏览器窗口很容易。另一个防御是应用商店的审核流程。官方应用程序商店作为受信任应用程序的唯一来源，可在一定程度上缓解此类问题。虽然恶意应用程序可以通过任何审核流程，但一旦发现它们就可以删除。

Answer 2

如何：双击主页按钮以查看应用程序名称？

Answer 3

您还可以运行任务管理器以查看应用程序的名称f.e. com.android.chrome。我认为谷歌不会在市场上允许两个同名的应用程序。