当地时间2月23日,瑞士苏黎世联邦理工学院表示,在去年9月发现了VISA信用卡安全漏洞,他们发现万事达卡也存在类似安全漏洞。
本质是中间人攻击
无PIN码支付,就是无密码支付,对于每个常用银行卡的人来说都不陌生。无论是在国内还是国外,使用信用卡进行小额支付时,都可以选择无密码支付,国内叫做小额免密免签支付,当进行大额支付时,为保证资金安全则需要使用密码进行支付。
这样的策略是再均衡了便捷和安全性得到的,哪怕持卡人丢失了信用卡,也不会蒙受重大损失。但是瑞士苏黎世联邦理工学院的研究人员发现的安全漏洞,让这个安全策略失效了。
研究人员称,成功攻击需要4个部分:2个安卓手机、一个特殊的App和一个VISA非接支付卡。安卓App需要安装在2个智能手机上,分别进行卡和POS机的模拟。
攻击的主要思路是POS机模拟器要求卡进行支付、修改交易细节,然后通过WiFi发送修改后的数据到第二个智能手机,进行无需提供PIN码的大额支付。因为攻击者已经修改了交易数据,所以无需输入PIN码。
研究人员分析称,攻击能够成功的原因是VISA无接触支付协议和EMV标准中的设计漏洞。攻击者利用这些漏洞可以对无接触支付交易中的数据进行修改,包括控制交易详情的域和卡所有者是否经过验证。
交易中的卡持有者验证方法既没有经过认证,也没有进行加密保护。攻击过程中会对卡的数据对象Card Transaction Qualifiers进行修改。
为什么漏洞会影响万事达卡?
据研究人表示,VISA信用卡漏洞是基于EMV标准的信用卡来发起攻击。EMV三个字母分别代表Europay、MasterCard与VISA,是制定该标准最初的三家公司,是国际金融业界对于智能支付卡与可使用芯片卡的POS终端机及自动柜员机(ATM)等所制定的标准。
也就是说,只要使用了这套标准的信用卡几乎都会受到这个漏洞的影响,但是在具体的攻击手段上有所区别。
针对万事达卡的攻击同样利用EMV标准里的安全漏洞,但是在攻击时,多加了一道步骤:混淆信用卡品牌。
在正常的信用卡使用过程中,终端除了会识别信用卡卡号之外,还会根据唯一可识别标识符来确定信用卡的品牌,然后接入到相应的清算网络当中,然后进行正常交易。
在攻击过程中,攻击者同样使用两台手机分别做POS机模拟和卡模拟。与VISA卡攻击不同在于,攻击者会通过程序操纵NFC(或Wi-Fi)通讯,混淆唯一可识别标识符,让模拟POS机的终端误认为是在进行VISA卡交易。
这样就形成了POS机终端执行VISA交易,而卡本身执行万事达卡交易,完成攻击。研究人员证实,有四家银行发行的信用卡和借记卡被攻破。
这样的攻击并不能轻易的做到,研究人员表示,在攻击前,攻击者必须能够访问被攻击的信用卡,在数据响应发送前对数据进行修改。
展开全文
- 移动支付网 | 2022/8/31 14:40:46
- 移动支付网 | 2022/8/29 17:42:55
- 东方日报 | 2022/8/26 17:53:53
- 人民日报 | 2022/8/22 11:15:49
- 移动支付网 | 2022/8/15 18:20:12
- 移动支付网 | 2022/8/10 11:53:05
- 移动支付网 | 2022/8/4 9:36:47
- 金融虎 | 2022/8/2 12:10:32
- 移动支付网 | 2022/7/27 16:42:23
- 柬埔寨圈儿 | 2022/7/4 14:37:13
- 金色财经 | 2022/8/24 17:50:59
- MoneyDJ新闻 | 2022/8/2 9:29:29
- 移动支付网 | 2022/6/22 10:10:28
- cnBeta | 2022/6/20 10:00:02
- 移动支付网 | 2022/6/13 10:48:49