51信用卡到底安全嗎？這個從普通用戶角度除了看廠家的宣傳，其實很難理解。
讓我們從專業角度分析一下。
兩個存在安全隱患的地方，email導入賬單與網銀導入賬單。
郵箱導入賬單
用戶輸入郵箱與密碼
如果APP將郵箱與密碼發到後臺服務器上，並且保存起來（以便今後後臺可以自動抓取賬單），
那麼安全問題很明顯，因爲後臺實際保存了用戶密碼，一旦後臺被（內部或外部）非法侵入，
用戶郵箱密碼即告泄露。
這裏有一點需要注意，大多數網站，雖然有用戶註冊登錄系統，但後臺並沒有保存用戶密碼，
而僅僅保存了單向加密後的結果（比如md5），簡單說可以驗證密碼但無法獲得密碼。
因此即便這些網站被黑，也不會發生密碼泄露問題。至於早年CSDN直接保存用戶密碼導致泄露則純粹屬於技術實現問題。
所以從理論上，如果採用這種模式，就存在無法克服的固有安全缺陷。
如果要避免這個問題，則必須修改模式，有如下幾種方式：
1.後臺不能自主去讀取email，每次都必須由app發送密碼。
也就是要麼每次用戶輸入密碼，要麼將密碼保存在前端APP，總之不能保存在後臺。
如果保存在APP上，要保證手機丟失，手機被黑，郵箱密碼依然不泄露，
郵箱密碼保存因爲只能用雙向加密（必須還原成明文提交到後臺），
所以雙向加密的密鑰就必須至少部分由用戶掌握而非保存在手機裏，
那麼每次用戶必須輸入一個APP自身密碼，或者是一個手勢圖形密碼。
理論上，APP保證每次進入都獲得僅僅用戶所知的一個密鑰，
通過這個密鑰即可自動解開加密保存的郵箱密碼，然後通過安全通道發送給51信用卡後臺，
51信用卡後臺使用這個密碼去對應郵箱服務商獲取email賬單，使用後即丟棄。
這樣安全有保證了，唯一損失的就是無法自動抓取賬單了，用戶必須至少定期登錄一下APP。
2.email獲取完全不通過後臺
直接在APP去獲取email，獲得後可以將email發送給後臺解析。
這種模式的好處是，51信用卡完全不會觸碰到用戶的郵箱密碼了。
當然同樣，APP也需要用戶登錄纔可能自動解開保存的郵箱密碼，然後去自動抓取email。
3.改進模式
不需要用戶輸入APP密碼或手勢。
手機APP首先獲得一個隨機的key1，保存在本地，並與郵箱口令明文一起發送給後臺，
後臺再隨機生成一個key2，使用key1+key2來對稱加密郵箱口令，保存後臺。
這樣，今後要且只要手機APP將key1發送給後臺，後臺就可以解出郵箱密碼明文。
注意：這裏key1無需加密即可保存在手機上。
黑客要同時拿到手機端的key1與後臺的key2，纔可以解開郵箱密碼。
相比原來，51信用卡內賊實際是無法防範的，現在內賊必須先設法獲得用戶手機上的key1。
而黑客攻破用戶手機後，也必須再攻破51信用卡後臺。
當然理論上安全性，還是不如依賴只有用戶知道的密碼，因爲至少在理論上，
只要用戶APP密碼足夠複雜，經過對稱加密的郵箱密碼是無法破解的，即便把用戶手機與51信用卡的服務器送給黑客。
但是實際環境中，這個用戶設置的APP密碼強度本身能有多高呢？
因爲每次要用戶輸入一遍，顯然大多數人不會設置很複雜了。
所以也許這種模式相對更簡便安全一些。
key1和key2還可以定期不定期的更換，進一步加強安全性。
4.將銀行賬單email，改成或轉發到51信用提供的郵箱
銀行將賬單直接發給51信用卡後臺，完全不存在用戶告知其他郵箱密碼的風險了。
其實這本是51信用卡這類應用的正途，但是顯然因爲大衆要便捷性（其實是對安全的無知），
加上前期技術難度，這種最安全的模式並沒有創業者選擇。
無法知道51信用卡的實現細節，也許還有類似csdn那樣直接密碼保存明文呢？
作爲對普通用戶的忠告，你非要用，最好選這種方式。
記住一點：那裏的密碼只能告訴那裏，其他地方絕對不要輸入。
51信用卡使用網銀密碼的安全問題
http://blog.csdn.net/qq_16414307/article/details/48493003
版權聲明：本文爲博主原創文章，未經博主允許不得轉載。
