回归最本质的信息安全

Apple Pay移动支付也不安全?交易可被窃听篡改

2017年8月4日发布

8,324
0
0

导语:在Blach Hat会议上,Positive Technologies的安全研究人员宣布,现在可以利用Apple Pay移动支付中存在的漏洞来发动攻击。Positive Technologies称已经发现了两个潜在的攻击媒介。

ApplePay.jpg

在Blach Hat会议上,Positive Technologies的安全研究人员宣布,现在可以利用Apple Pay移动支付中存在的漏洞来发动攻击。Positive Technologies称已经发现了两个潜在的攻击媒介。

银行技术业务安全负责人Timur Yunusov说,相比较而言,ApplePay的支付系统相对安全一些,因为它有一个单独的微处理器来完成支付,而且卡里的数据信息是也不会存储在设备上的,更不会在付款期间以明文的形式进行传输。

在测试期间,我发现了至少有两种方法可以使这些注意事项变得毫无价值。其中一种攻击方式是依赖于越狱设备,这个部分所占的比例大概约有20%。另一种攻击方式则是针对“完好”的设备,完全不需要越狱,攻击者就可以将被盗卡片里的详细信息注册到自己的iPhone帐户, 或者可以拦截和Apple服务器之间的SSL流量设备,这样就可以直接从受害者的手机来进行欺诈性付款。

越狱后风险更高

Yunusov在谈话中提到的第一个攻击方式是需要越狱设备来进行工作的,这就意味着攻击者首先必须通过恶意程序来感染越狱设备,一旦感染了越狱设备,攻击者就可以将支付数据拦截到Apple服务器上。 而一旦黑客成功地感染了具有root用户权限的恶意软件设备,他们就可以达到最终目标。

第二个攻击方式不要求越狱,攻击者就可以拦截并/或伪造SSL流量,篡改交易数据,比如修改交易金额、币种,还有商品投递细节信息。

攻击者可以将窃取到的卡片信息,注册到其iPhone账户中,并进行交易;通过拦截设备与苹果服务器间的SSL流量进行欺诈支付。

El Reg解释说“第二个攻击方式,它的第一步就是黑客从受害者的手机中窃取付款令牌。 比如他们会通过利用公共Wi-Fi,或提供自己的“假冒”Wi-Fi热点,要求用户创建个人资料。 仅凭这一点他们就可以窃取ApplePay密码(加密数据的关键).但Apple声明这样的密码只能使用一次。 然而,商家和支付网关通常被设置为允许密码被多次使用。”

由于交货信息是以明文方式发送的,故而不能检查其完整性,这样黑客就可以使用截取到的密码在同一网站上进行后续付款,然后受害人将被收取这些交易所产生费用。

专家们强调,这种攻击也存在一些缺陷,比如说非法交易发生后受害者也会收到通知。这意味着受害者可以立马中止交易。因此,研究人员建议用户不要通过公共WiFi网络来使用Apple Pay,特别是用在未使用HTTPS的站点购买商品,因为攻击者可以很容易地对流量进行窃听。

Yunusov补充说:“一如以往的建议就是一定要避免越狱”另外一个预防措施是让用户避免下载不必要的应用程序,以防止恶意软件被添加到设备中。“

技术安全负责人已经向苹果公布了其调查结果,但同时也表示说,由于对安全链的组件有着重大的影响,所以修补程序的开发也并不简单。

本文翻译自:http://securityaffairs.co/wordpress/61453/hacking/applepay-vulnerable-attacks.html ,如若转载,请注明来源于嘶吼: http://www.4hou.com/info/news/6966.html

点赞 0
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

Change

Change

嘶吼编辑

发私信

发表评论