交易|90亿信用卡曝出协议漏洞：黑客无需密码即可盗刷
文章图片
【交易|90亿信用卡曝出协议漏洞：黑客无需密码即可盗刷】
每次我们使用信用卡/借记卡付款时 ， 收款机都会使用EMV通信协议来处理付款 。 该协议由Europay、Mastercard和Visa等公司开发 ， 目前在全球超过90亿张卡中使用 。
最近 ， 来自苏黎世联邦理工学院计算机科学系的3名研究人员 ， 即David Basin、Ralf Sasse和Jorge Toro-Pozo发现了EMV协议中的漏洞 ， 该漏洞使攻击者可以实施中间人攻击（MITM） ， 进行欺诈性交易 。
通过一个模型来模拟商家机器、用户卡和银行的真实情况 ， 研究人员找到2个主要漏洞 。 首先 ， 他们开发了一个Android应用程序概念验证（POC）漏洞 ， 当用于非接触式支付时 ， 攻击者可以在不使用任何PIN码的情况下进行攻击 。
该攻击能够得手的原因是持卡人验证方法中缺少身份验证和加密技术 ， 攻击者可以根据自己的需要修改设置 。 例如 ， 研究人员还成功进行了这样的交易（下图） ， 价值190美元 ， 可以使用自己的卡在真实商店中进行了现场测试 。
第二个漏洞使攻击者诱使商家认为现场的脱机非接触式交易已成功 ， 攻击者离开后才发现该交易已被拒绝 。 在他们的报告PDF中 ， 研究人员解释说：
在使用Visa或旧的万事达卡进行的离线非接触式交易中 ， 该卡不会向终端认证应用密码（AC） ， 这使犯罪分子可以欺骗终端以接受未经认证的离线交易 。 后来 ， 当收单行将交易数据作为清算记录的一部分提交时 ， 发卡行将检测到错误的密码 ， 但罪犯早已得手而去 。
综上所述 ， 可以通过直接全局更新终端系统而不是EMV协议本身来修复这2个漏洞 。 但是 ， 考虑到大约有1.61亿个这样的终端 ， 其中许多位于技术落后的国家 ， 可能需要花费大量时间才能避免此类漏洞被犯罪分子利用 。
参考资料
The EMV Standard：Break、Fix、Verify：
推荐阅读
- 数学|股票交易不是“赌博”
- 怎样让交易事业走得更长更远？
- 篮网三巨头要来了？哈登想离开火箭，希望通过交易加入篮网
- 火箭对挽留哈登彻底死心！交易诉求曝光，携手杜兰特欧文希望不大
- 先2换1，又3换0，海沃德跳出合同！湖人遇难题，勇士启动交易
- 黄金|纽约黄金期价19日比前一交易日下跌12.4美元
- 债券|永煤事件再发酵！交易商协会对多家金融机构启动自律调查
- 经济日报|国际铜期货合约上市交易 中国迈向全球铜定价中心
- 11月18日外汇交易提醒
- 金融|《规范产权交易机构开展金融企业国有产权交易管理暂行规定》印发