90亿信用卡曝出协议漏洞：黑客无需密码即可盗刷-低调大师

90亿信用卡曝出协议漏洞：黑客无需密码即可盗刷

2020-09-01 671

每次我们使用信用卡/借记卡付款时，收款机都会使用EMV通信协议来处理付款。该协议由Europay、Mastercard和Visa等公司开发，目前在全球超过90亿张卡中使用。

最近，来自苏黎世联邦理工学院计算机科学系的3名研究人员，即David Basin、Ralf Sasse和Jorge Toro-Pozo发现了EMV协议中的漏洞，该漏洞使攻击者可以实施中间人攻击(MITM)，进行欺诈性交易。

通过一个模型来模拟商家机器、用户卡和银行的真实情况，研究人员找到2个主要漏洞。首先，他们开发了一个Android应用程序概念验证(POC)漏洞，当用于非接触式支付时，攻击者可以在不使用任何PIN码的情况下进行攻击。

该攻击能够得手的原因是持卡人验证方法中缺少身份验证和加密技术，攻击者可以根据自己的需要修改设置。例如，研究人员还成功进行了这样的交易(下图)，价值190美元，可以使用自己的卡在真实商店中进行了现场测试。

第二个漏洞使攻击者诱使商家认为现场的脱机非接触式交易已成功，攻击者离开后才发现该交易已被拒绝。在他们的报告PDF中，研究人员解释说：

在使用Visa或旧的万事达卡进行的离线非接触式交易中，该卡不会向终端认证应用密码(AC)，这使犯罪分子可以欺骗终端以接受未经认证的离线交易。后来，当收单行将交易数据作为清算记录的一部分提交时，发卡行将检测到错误的密码，但罪犯早已得手而去。

综上所述，可以通过直接全局更新终端系统而不是EMV协议本身来修复这2个漏洞。但是，考虑到大约有1.61亿个这样的终端，其中许多位于技术落后的国家，可能需要花费大量时间才能避免此类漏洞被犯罪分子利用。

【本文是51CTO专栏作者“安全牛”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】

戳这里，看该作者更多好文

【责任编辑：赵宁宁 TEL：（010）68476606】

微信关注我们

原文链接：http://zhuanlan.51cto.com/art/202009/625156.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

网络安全策略管理技术（NSPM）探秘

企业的网络安全能力更多的是一种管理能力，面对疫情和数字化云端转型带来的新挑战：攻击面增长、IT复杂化、碎片化、影子化，企业网络安全部门面临的最大挑战就是对动态风险的集中化有效管控。而网络安全策略管理技术则好比企业的空中和地面一体化交通指挥系统，协调管理本地和云端安全策略，为安全团队、网络IT团队和云计算运营团队提供一个统一的，对应用、网络、负载和设备高可视化的安全管理平台，让IT与安全无缝协同，其重要性不言而喻。本文从网络安全与风险管理现状、需求出发，深入介绍了NSPM的概念、构成、格局、优缺点、风险以及采购需知。网络安全策略管理工具可以帮助安全管理者，通过跨混合网络实现安全策略的集中可见与控制、风险分析、实时合规和应用程序映射功能，来满足多种多样的使用场景。一、概述主要发现：尽管网络防火墙运维团队提供了多个防火墙集中管理解决方案，但仍存在许多问题。企业还没有准备好在混合云环境中展示与内网相同级别的安全策略一致性。使用自助IaaS的开发人员通常使用云提供商的内置功能，网络安全团队不具备可见性和控制权。网络和安全团队通常难以了解数字业务和微分段工作中关键应用程序的连通性。 ...

2020-09-01

582

近日，Pure Storage “以全闪存技术优化VDI的用户体验”在线研讨会成功举办。本次会议我们邀请了Pure Storage两位具有丰富VDI规划及部署经验的资深架构师，同与会者探讨VDI部署所面临的技术挑战，以及Pure Storage如何以全闪存技术助力用户弥补这些短板，交付超乎企业和最终用户期望值的VDI使用体验。下面不妨让我们一同回顾两位专家在会上的精彩发言。 VDI的成功关键随着疫情的延续，远程办公已经成为常态。《时代》周刊更是宣布当前正进行着“世界上最大规模的居家办公实验”。 VDI为远程办公提供了IT基础设施支持。而随之而来的困扰也日益凸显：数据安全性、可预测的性能、复杂性、扩展性、集成性以及高可用性，都会使企业面临风险，令用户怨声载道。关于后疫情时代的VDI的成功关键Pure Storage亚太及日本区FlashStack 解决方案架构师汪建光先生提出：任何VDI项目成功的最关键指标就是用户体验。用户体验分为两个维度: 运行体验– 虚拟桌面开机需要多长时间?应用的响应速度如何?无论哪一类用户，他们都期望虚拟桌面性能和响应速度即便不比物理桌面的表现好，也不要...

2020-09-01

690

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。