每次我們使用信用卡/借記卡付款時(shí)，收款機(jī)都會(huì)使用EMV通信協(xié)議來處理付款。該協(xié)議由Europay、Mastercard和Visa等公司開發(fā)，目前在全球超過90億張卡中使用。

[[340259]]

最近，來自蘇黎世聯(lián)邦理工學(xué)院計(jì)算機(jī)科學(xué)系的3名研究人員，即David Basin、Ralf Sasse和Jorge Toro-Pozo發(fā)現(xiàn)了EMV協(xié)議中的漏洞，該漏洞使攻擊者可以實(shí)施中間人攻擊(MITM)，進(jìn)行欺詐性交易。

通過一個(gè)模型來模擬商家機(jī)器、用戶卡和銀行的真實(shí)情況，研究人員找到2個(gè)主要漏洞。首先，他們開發(fā)了一個(gè)Android應(yīng)用程序概念驗(yàn)證(POC)漏洞，當(dāng)用于非接觸式支付時(shí)，攻擊者可以在不使用任何PIN碼的情況下進(jìn)行攻擊。

該攻擊能夠得手的原因是持卡人驗(yàn)證方法中缺少身份驗(yàn)證和加密技術(shù)，攻擊者可以根據(jù)自己的需要修改設(shè)置。例如，研究人員還成功進(jìn)行了這樣的交易(下圖)，價(jià)值190美元，可以使用自己的卡在真實(shí)商店中進(jìn)行了現(xiàn)場測試。

第二個(gè)漏洞使攻擊者誘使商家認(rèn)為現(xiàn)場的脫機(jī)非接觸式交易已成功，攻擊者離開后才發(fā)現(xiàn)該交易已被拒絕。在他們的報(bào)告PDF中，研究人員解釋說：

在使用Visa或舊的萬事達(dá)卡進(jìn)行的離線非接觸式交易中，該卡不會(huì)向終端認(rèn)證應(yīng)用密碼(AC)，這使犯罪分子可以欺騙終端以接受未經(jīng)認(rèn)證的離線交易。后來，當(dāng)收單行將交易數(shù)據(jù)作為清算記錄的一部分提交時(shí)，發(fā)卡行將檢測到錯(cuò)誤的密碼，但罪犯早已得手而去。

綜上所述，可以通過直接全局更新終端系統(tǒng)而不是EMV協(xié)議本身來修復(fù)這2個(gè)漏洞。但是，考慮到大約有1.61億個(gè)這樣的終端，其中許多位于技術(shù)落后的國家，可能需要花費(fèi)大量時(shí)間才能避免此類漏洞被犯罪分子利用。

【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】

戳這里，看該作者更多好文