The Nora Chronicles | Vol.24

分类: 密码学应用 / 协议逆向

阅读时间: 10分钟 | 字数: 约4000字

支付宝的加密"开关"——国密SM4可被远程关闭，RPC加密默认关闭

Innora.ai Lab | Penang, Malaysia

一句话结论: 支付宝的RPC通信内容加密默认关闭（硬编码"0"），国密SM4加密可被服务端一键远程禁用，且存在硬编码HTTP明文回退端点。
影响范围: 所有使用MTOP RPC通道的请求——包括支付、认证、用户数据传输。
证据等级: 代码级 (jadx反编译，精确到文件名和行号)

01 四个开关，决定你的数据裸不裸奔

核心发现：支付宝的传输加密层由4个配置开关控制，全部定义在同一个文件TransportConfigureItem.java中。

四个开关，四种加密保护，全部可以被服务端远程修改。其中RPC内容加密——保护你的支付数据、登录凭证和交易参数的那一层——默认就是关的。

02 硬编码的"0"：RPC内容加密从一开始就没开

核心发现：RPC内容加密的默认值在代码中被硬编码为"0"（关闭）。这不是配置错误，是写在Java源码里的字面量。

// TransportConfigureItem.java:187 — 默认值"0" = 关闭
public static final TransportConfigureItem RPC_CONTENT_ENCRYPT =
    new TransportConfigureItem("RPC_CONTENT_ENCRYPT", 151,
        "rcontent_encry", "0");
// "0" = 关闭, "1" = 开启

而在ContentEncryptUtils.java第163行，正是这个值决定了是否对RPC请求body进行加密：

// ContentEncryptUtils.java:163 — 读取配置决定是否加密
String val = TransportConfigureManager.getInstance()
    .getStringValue(RPC_CONTENT_ENCRYPT);
// val = "0" → 不加密请求body

有人可能会说：TLS不是已经加密了吗？是的，传输层有TLS保护。但对于一个处理10亿+用户支付数据的金融应用来说，应用层加密是纵深防御的基本要求。企业代理、TLS终止点、被吊销的CA——任何拿到TLS会话密钥的中间节点都可以直接读取未加密的RPC请求体。

值得注意的是：一个日均处理数十亿笔交易的金融应用，在应用层加密配置上选择了"默认关闭"。经反复核对代码上下文（TransportConfigureItem.java:187 → ContentEncryptUtils.java:163），这一默认值确认无误。

03 国密SM4：默认开着，但一条指令就能关掉

核心发现：SM4是中国的国家密码标准（GB/T 32907-2016），是金融行业的合规要求。支付宝确实默认开启了SM4加密（默认值"T"）。但问题是——这个开关可以被服务端远程修改。

// TransportConfigureItem.java:189 — SM4默认"T"(开启)
public static final TransportConfigureItem SM4_ENCRYPT =
    new TransportConfigureItem("SM4_ENCRYPT", 153,
        "sm4encrypt", "T");
// "T" = 开启, "F" = 关闭

// ConfigChangedEventManager.java:502 — 所有配置可被服务器覆盖
public void loadConfig(Context context) {
    loadConfig4ImportantConfig(context);  // 从服务器拉取
    loadConfig4NormalConfig(context);
}

通过ConfigChangedEventManager.loadConfig()，服务端可以将SM4_ENCRYPT从"T"改为"F"。这个过程：

- 没有用户提示
- 没有客户端UI指示加密状态变化
- 可以针对特定用户推送
- 用户无法察觉自己的加密保护被关闭了

这意味着合规审计时看到"SM4已启用"，运行时SM4可能已经被静默关闭。审计结论和运行时行为之间存在可控的鸿沟。

04 硬编码的HTTP：连HTTPS都可以不用

核心发现：代码中存在硬编码的HTTP明文URL，用于遥测数据上报。这不是配置问题——是写死在代码里的。

// MonitorState.java:40 — 硬编码HTTP URL
private static final String URL =
    "http://mdap.alipaylog.com/loggw/report_diangosis_upload_status.htm";
// 注意: 是http://不是https://

当PushUtil.canFixHttpToHttps()返回false时，遥测数据（包含设备IMEI、UTDID等标识信息）会通过这个明文HTTP端点上报。

同时，LogContext.java第79-80行还定义了两个配置键——LogUploadDisableHttps和LogUploadDisableHttpsTime——可以在运行时关闭日志上传的HTTPS保护。再加上ALLOW_DOWN_HTTPS配置（默认值"64"，位标志），形成了多条HTTPS降级路径。

05 全景：三层加密保护，全部可被远程控制

从技术角度，支付宝的传输安全本应是三层防护：

三层保护，没有一层是用户可以控制的。更关键的是，所有开关都通过同一个ConfigChangedEventManager.loadConfig()入口被服务端管理。如果再结合上期分析的PatchProxy机制（146,173个可远程替换方法），即使这些开关本身也可以被热修复替换。

这不是单个bug，是一种架构模式：加密保护作为可选项而非强制项存在。

Nora: "Encryption that can be switched off remotely is not encryption. It's a courtesy."
(可以被远程关掉的加密不是加密，是礼貌。)

// End of analysis. Three encryption layers, zero user control.
// Full evidence: github.com/sgInnora/alipay-securityguard-analysis
// "Default off is not defense in depth — it's defense in theory." -- Nora