中国天使投资人学院:“几维安全”获宽带资本Pre-A轮融资,在移动安全上另辟蹊径



36氪独家获悉,“几维安全”已于2017年5月获得1000万Pre-A轮融资,由宽带资本投资。几维安全定位为中小企业提供简单高效的移动安全产品,此前于2015年4月获得了北京掌上云集科技有限公司的250万天使轮投资。

截止至2016年6月30日,累计上传到App Store的应用总数已达2187260,中国区新增应用总数约29.3万,较去年上半年同比增长约29.6%,其中游戏类别占比最大,占21.39%(数量332531),排名之后是商业、教育、生活类应用。

拿游戏APP举例,通常情况下,开发者写出代码,再经由发行商上架产品压缩包,如果没有进行加密加固的话,任何人都能够轻易下载并解压缩,篡改内部逻辑,从而破解游戏降低关卡难度,例如把人物设置跳的更高、跑的更快。若不法者再进行二次打包上传其他渠道,新下载的玩家其实使用的就是盗版,并且会降低付费意愿,不仅对企业来说是一大损失,用户的操作安全也很难得到保障。

之后,安全厂商开始从压缩包着手,在包外加一层“壳”,防止程序被破解。但这样可能存在一些问题,对系统层改动越多,就需要越多的监控,会影响兼容性,出现黑屏、崩溃等问题。

所以,“几维安全”的解决方案是,基于白盒加密,从开发阶段就引入加密机制,把安全技术下沉到代码层,不会干预应用内部的运行流程。例如,开发者写出代码A版本,经过几维,插入了一些混淆代码,变成更复杂的B版本,不法者获得后,会把伪指令当作真实代码,反编译的成本就大大增加,而对于手机终端来说,只需要识别外围属性,这时候的B版本=A版本,即用户安装和之前一样。相比APK压缩包的后期加密,几维安全从代码层入手就是前期加密,这样一来,能避免版本迭代后的兼容问题,也就减少了开发者后期的维护成本。

在白盒加密的基础上,几维安全又推出了国内首个移动代码虚拟化方案“KiwiVM”。在操作层面,几维安全提供的简单工具,开发者集成到开发平台后,跟之前一样的编写程序,就能自动生成加密代码。其实,一款产品中关键代码只占比10%-20%,开发者可以调节关键部分加密强度高,其余部分低强度,从而达到最优比。

几维安全CEO范俊伟强调,KiwiVM代码虚拟化技术是基于编译器中间层的技术实现,而其他代码虚拟化厂家都是基于二进制实现。问及难点,范俊伟告知:“虚拟化在代码加密是最难的技术,CTO刘柏江是资深白帽黑客,全球首个移动平台调试器GikDbg、深度代码混淆KiwiVM独立开发者,对编译调试一套体系非常了解,因为这不是堆人做出来的项目,需要一个人对全流程有透彻的了解。”

具体到产品上:

首先,几维安全有一款免费APP检测平台,提供了各应用市场接口,C端用户可以直接搜索APP,开发者可以一键提交压缩包,之后平台就会出现安全评测报告,报告是基于APP的读取权限、可篡改性、动态攻防、静态代码、漏洞扫描五大方面分析出结果。该免费平台对几维的意义是,扩大用户量,让普通用户都能体验加密方式。

其次,几维安全提供收费的企业级加密加固服务,主要是以离线工具的形式提供,开发者不需要把包到上传到几维的服务器,从而强度、安全、服务等方面都比免费在线平台要高。

此外,几维还有部分收入来自KiwiVM代码混淆高级定制服务。通用情况下,几维的离线工具是通过自己的算法库来加密,标准化产品基本可以满足80%的企业场景。但总有企业想要用算法库之外的算法,所以几维还提供定制服务。

据了解,几维安全的免费平台已经有接近1000家企业注册使用,并产生了大量付费转化,付费增长率在50%,由于几维主打标准化产品,相对成本较低,客单价可以到几千元-几万元。而此赛道上的其他玩家,像梆梆安全、爱加密等,都是定位大型客户,收费高达几十万到上百万,服务较重。相比之下,范俊伟认为,先用标准化产品服务付费能力低的中小企业是不错的思路。同时,几维对大客户也有策略,就是把核心技术能力输出给集成商或者传统安全厂商合作,由他们来负责获客销售。

团队方面,除CTO刘柏江是资深白帽黑客外,CEO范俊伟在游戏漏洞挖掘、渗透测试和逆向分析领域也有较长时间的经验。公司成立于2014年,现在有9人,2015年-2016年负责产品研发,2016年10月份测试版产品上线,之后,与千万级流水手游“风之旅团”成都白银时代科技有限公司的合作,并为索乐网络科技(上海)有限公司出海手游提供了多语言编译器加密服务,等等。而本轮融资将主要用于投入研发和市场营销,预计年底扩张到20人,实现200家企业付费。