外媒：移动POS存在裂痕 小我私人书息有袒露风险

（原问题：外媒：移动POS存在裂痕 小我私人书息有袒露风险）

【举世网科技 记者 樊俊卿】克日，有驻华外媒颁发文章称，连年来在中国一般糊口中不绝呈现的在小型便携式名誉卡读卡器(凡是被称为移动POS机)存在着极大的安详隐患。

有动静表现，今朝，该规模的装备首要由四家公司所提供——Suqare、SumUp、iZettle和PayPal。跟着装备的遍及，其身上存在的安详裂痕也逐渐展现，在用户举办刷卡买卖营业时，非法分子可以通过这些裂痕偷取你的小我私人书息，乃至是盗刷你的银行卡。

来自安详公司Positive Technologies的Leigh-Anne Galloway和Tim Yunusov总共研究了七款移动贩卖点装备。他们发明的这些装备并不如宣传的那么美满：个中存在的裂痕，可以或许被他们行使蓝牙或移动应用来操纵呼吁，修改磁条刷卡买卖营业中的付出金额，乃至得到贩卖点装备的完全遥控。

“我们面对的一个很是简朴的题目是，一个本钱不到50美元的装备到底拥有几多安详性？”Galloway说。“思量到这一点，我们从两个供给商和两款读卡器开始研究，可是它很快成长成为一个更大的项目。”

全部四家制造商都在办理这个题目，虽然，并非全部型号都轻易受到这些裂痕的影响。以Square和PayPal为例，裂痕是在一家名为Miura的公司制造的第三方硬件中发明的。研究职员于本周四在黑帽安详集会会议上发布了他们的发明。

研究职员发明，他们可以操作蓝牙和移动应用毗连到装备的裂痕来拦截买卖营业或修改呼吁。这些裂痕也许应承进攻者禁用基于芯片的买卖营业，迫使顾主行使不太安详的磁条刷卡，使得更轻易窃取数据和克隆客户卡。

另外，混混商家可以让mPOS装备看起来是被拒绝买卖营业一样，从而让用户一再多次刷卡，可能将磁条买卖营业的总额变动为5万美元的上线。通过拦截流量并奥秘修改付款的数值，进攻者也许会让客户核准一项看起来正常的买卖营业，但这项买卖营业的金额会高得多。在这些范例的诓骗中，客户依赖他们的银行和名誉卡刊行商来保障他们的丧失，可是磁条卡是一个过期的协议，继承行使它的企业此刻必要包袱责任。

研究职员还陈诉了固件验证和降级方面的题目，这些题目也许应承进攻者安装旧的或受污染的固件版本，进一步袒露器件。

研究职员发明，在Miura M010读卡器中，他们可以操作毗连裂痕在读卡器中得到完备的长途代码执行和文件体系会见权。Galloway指出，第三方进攻者也许出格但愿行使此控件将PIN码的模式从加密变动为明文，即“呼吁模式”，从而用于调查和网络客户PIN码。

研究职员评估了美国和欧洲地域行使的账户和装备，由于它们在每个处所的设置有所差异。固然研究职员测试的全部终端都包括一些裂痕，但最糟糕的只限于个中几个罢了。

“Miura M010读卡器是第三方名誉卡芯片读卡器，我们最初提供它作为权宜之计，此刻只有几百个Square卖家行使。当我们察觉到存在一个影响Miura读卡器的裂痕时，我们加速了现有打算，放弃了对M010读卡器的支持，”一位Square讲话人暗示。“本日，在Square生态体系中不再也许行使Miura读卡器了。”

“SumUp可以证实，从未有人试图通过其终端行使本陈诉概述的基于磁条的要领举办诓骗，”一位SumUp讲话人暗示。“尽量云云，研究职员一接洽我们，我们的团队就乐成地解除了未来呈现这种诓骗阴谋的也许性。”

“我们熟悉到研究职员和我们的用户社区在辅佐保持PayPal安详方面施展的重要浸染，”一位讲话人在一份声明中暗示。“PayPal的体系没有受到影响，我们的团队已包办理了这些题目。”

iZettle没有回覆评述哀求，可是研究职员暗示，该公司也在修复这些裂痕。

Galloway和Yunusov对供给商的起劲回应感想满足。然而，他们但愿，他们的发明将进步人们对将安详性作为低本钱嵌入式装备成长优先事项这一更普及题目的熟悉。

“我们在这个市场基本上看到的题目可以更普及地应用于物联网，”Galloway说。“像读卡器这样的对象，作为斲丧者或企业全部者，你会对某种水平的安详性有所等候。可是个中很多公司存在的时刻并没有那么长，产物自己也不太成熟。安详性不必然会嵌入到开拓进程中。”

本文来历：举世时报-举世网 。更多出色，请登录举世网 http://www.huanqiu.com 责任编辑：姚立伟_NT6056

（编辑：湖南网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!