聲明：該文章由作者（ksbugs）發(fā)表，轉(zhuǎn)載此文章須經(jīng)作者同意并請(qǐng)附上出處(0XUCN)及本頁(yè)鏈接。。

每次我們使用信用卡/借記卡付款時(shí)，收款機(jī)都會(huì)使用EMV通信協(xié)議來(lái)處理付款。該協(xié)議由Europay，Mastercard和Visa等公司開(kāi)發(fā)，目前在全球超過(guò)90億張卡中使用。

最近，來(lái)自蘇黎世聯(lián)邦理工學(xué)院計(jì)算機(jī)科學(xué)系的3名研究人員，即David Basin，Ralf Sasse和Jorge Toro-Pozo發(fā)現(xiàn)了EMV協(xié)議中的漏洞，該漏洞使攻擊者可以實(shí)施中間人攻擊（MITM），進(jìn)行欺詐性交易。

通過(guò)一個(gè)模型來(lái)模擬商家機(jī)器、用戶(hù)卡和銀行的真實(shí)情況，研究人員找到2個(gè)主要漏洞。首先，他們開(kāi)發(fā)了一個(gè)Android應(yīng)用程序概念驗(yàn)證（POC）漏洞，當(dāng)用于非接觸式支付時(shí)，攻擊者可以在不使用任何PIN碼的情況下進(jìn)行攻擊。

該攻擊能夠得手的原因是持卡人驗(yàn)證方法中缺少身份驗(yàn)證和加密技術(shù)，攻擊者可以根據(jù)自己的需要修改設(shè)置。例如，研究人員還成功進(jìn)行了這樣的交易（下圖），價(jià)值190美元，可以使用自己的卡在真實(shí)商店中進(jìn)行了現(xiàn)場(chǎng)測(cè)試。

第二個(gè)漏洞使攻擊者誘使商家認(rèn)為現(xiàn)場(chǎng)的脫機(jī)非接觸式交易已成功，攻擊者離開(kāi)后才發(fā)現(xiàn)該交易已被拒絕。在他們的報(bào)告 [PDF]中，研究人員解釋說(shuō)：

…在使用Visa或舊的萬(wàn)事達(dá)卡進(jìn)行的離線非接觸式交易中，該卡不會(huì)向終端認(rèn)證應(yīng)用密碼（AC），這使犯罪分子可以欺騙終端以接受未經(jīng)認(rèn)證的離線交易。后來(lái)，當(dāng)收單行將交易數(shù)據(jù)作為清算記錄的一部分提交時(shí)，發(fā)卡行將檢測(cè)到錯(cuò)誤的密碼，但罪犯早已得手而去。

綜上所述，可以通過(guò)直接全局更新終端系統(tǒng)而不是EMV協(xié)議本身來(lái)修復(fù)這2個(gè)漏洞。但是，考慮到大約有1.61億個(gè)這樣的終端，其中許多位于技術(shù)落后的國(guó)家，可能需要花費(fèi)大量時(shí)間才能避免此類(lèi)漏洞被犯罪分子利用。

參考資料：

The EMV Standard：Break，F(xiàn)ix，Verify：https://arxiv.org/pdf/2006.08249.pdf

[超站]友情鏈接：

四季很好，只要有你，文娛排行榜：https://www.yaopaiming.com/
關(guān)注數(shù)據(jù)與安全，洞悉企業(yè)級(jí)服務(wù)市場(chǎng)：https://www.ijiandao.com/