正在阅读: 外媒:移动POS存在漏洞 个人信息有暴露风险
科技频道> 网事 > 正文

外媒:移动POS存在漏洞 个人信息有暴露风险

2018-08-13 09:04来源:环球网

  近日,有驻华外媒发表文章称,近年来在中国日常生活中不断出现的在小型便携式信用卡读卡器(通常被称为移动POS机)存在着极大的安全隐患。

  有消息显示,目前,该领域的设备主要由四家公司所提供——Suqare、SumUp、iZettle和PayPal。随着设备的普及,其身上存在的安全漏洞也逐渐显现,在用户进行刷卡交易时,不法分子可以通过这些漏洞盗取你的个人信息,甚至是盗刷你的银行卡。

  来自安全公司Positive Technologies的Leigh-Anne Galloway和Tim Yunusov总共研究了七款移动销售点设备。他们发现的这些设备并不如宣传的那么完美:其中存在的漏洞,能够被他们使用蓝牙或移动应用来操作命令,修改磁条刷卡交易中的支付金额,甚至获得销售点设备的完全遥控。

  “我们面临的一个非常简单的问题是,一个成本不到50美元的设备到底拥有多少安全性?”Galloway说。“考虑到这一点,我们从两个供应商和两款读卡器开始研究,但是它很快发展成为一个更大的项目。”

  所有四家制造商都在解决这个问题,当然,并非所有型号都容易受到这些漏洞的影响。以Square和PayPal为例,漏洞是在一家名为Miura的公司制造的第三方硬件中发现的。研究人员于本周四在黑帽安全会议上公布了他们的发现。

  研究人员发现,他们可以利用蓝牙和移动应用连接到设备的漏洞来拦截交易或修改命令。这些漏洞可能允许攻击者禁用基于芯片的交易,迫使顾客使用不太安全的磁条刷卡,使得更容易窃取数据和克隆客户卡。

  此外,流氓商家可以让mPOS设备看起来是被拒绝交易一样,从而让用户重复多次刷卡,或者将磁条交易的总额更改为5万美元的上线。通过拦截流量并秘密修改付款的数值,攻击者可能会让客户批准一项看起来正常的交易,但这项交易的金额会高得多。在这些类型的欺诈中,客户依靠他们的银行和信用卡发行商来保障他们的损失,但是磁条卡是一个过时的协议,继续使用它的企业现在需要承担责任。

  研究人员还报告了固件验证和降级方面的问题,这些问题可能允许攻击者安装旧的或受污染的固件版本,进一步暴露器件。

  研究人员发现,在Miura M010读卡器中,他们可以利用连接漏洞在读卡器中获得完整的远程代码执行和文件系统访问权。Galloway指出,第三方攻击者可能特别希望使用此控件将PIN码的模式从加密更改为明文,即“命令模式”,从而用于观察和收集客户PIN码。

  研究人员评估了美国和欧洲地区使用的账户和设备,因为它们在每个地方的配置有所不同。虽然研究人员测试的所有终端都包含一些漏洞,但最糟糕的只限于其中几个而已。

  “Miura M010读卡器是第三方信用卡芯片读卡器,我们最初提供它作为权宜之计,现在只有几百个Square卖家使用。当我们察觉到存在一个影响Miura读卡器的漏洞时,我们加快了现有计划,放弃了对M010读卡器的支持,”一位Square发言人表示。“今天,在Square生态系统中不再可能使用Miura读卡器了。”

  “SumUp可以证实,从未有人试图通过其终端使用本报告概述的基于磁条的方法进行欺诈,”一位SumUp发言人表示。“尽管如此,研究人员一联系我们,我们的团队就成功地排除了将来出现这种欺诈企图的可能性。”

  “我们认识到研究人员和我们的用户社区在帮助保持PayPal安全方面发挥的重要作用,”一位发言人在一份声明中表示。“PayPal的系统没有受到影响,我们的团队已经解决了这些问题。”

  iZettle没有回复评论请求,但是研究人员表示,该公司也在修复这些漏洞。

  Galloway和Yunusov对供应商的积极回应感到满意。然而,他们希望,他们的发现将提高人们对将安全性作为低成本嵌入式设备发展优先事项这一更广泛问题的认识。

  “我们在这个市场基础上看到的问题可以更广泛地应用于物联网,”Galloway说。“像读卡器这样的东西,作为消费者或企业所有者,你会对某种程度的安全性有所期待。但是其中许多公司存在的时间并没有那么长,产品本身也不太成熟。安全性不一定会嵌入到开发过程中。”樊俊卿

[责编:赵清建]

阅读剩余全文(

相关阅读

您此时的心情

新闻表情排行 /
  • 开心
     
    0
  • 难过
     
    0
  • 点赞
     
    0
  • 飘过
     
    0

视觉焦点

  • 中国改革开放40年的全球意义

  • 河南汝阳:党建引领扶贫 畜牧助推增收

独家策划

推荐阅读
日前有新闻爆出,英国南极调查局一个科研联合团队使用机载冰雷达观测了南极点附近约5000平方公里区域,发现南极点冰盖底部冰层正在融化,并推测融化现象可能是由于异常地热引发。最新研究发现的导致南极冰盖底部融化的异常地热来源,仍是待解的谜题。
2018-12-14 09:04
“如果异种移植能从基础研究推广到临床研究,乃在未来大规模临床应用,则可能让数以百万计的病人有希望重获新生。只有在特殊环境下喂养的“无指定病原体猪”,才能成为异种器官移植的主要研究目标。
2018-12-14 09:03
近日,上海交通大学党委书记、中国高等教育学会副会长姜斯宪教授发表文章讨论新高考背景下的选才、育人问题,在谈及高中物理受重视程度下降时他认为可以将物理与数学合并为数理基础科目,加大赋分权重。这一观点受到许多人关注。
2018-12-14 09:02
“一体、双核、多点”之下,之江试验室组建了人工智能研究院、未来网络计算研究院以及人工智能算法研究中心等交叉研究中心,作为实验室开展基础研究的条件支撑。”在浙江省自然基金委员会办公室主任吴正光看来,在超常规力度的支持和社会力量的参与下,基础研究在浙江已迎来春天。
2018-12-14 09:02
“每一个工业产品都有一个生命周期,就像人的生命周期是‘从摇篮到坟墓’一样。宝钢湛江钢铁有限公司董事长盛更红向科技日报记者表示,拓宽经济增长和改善环境是钢铁产业的双赢之路。
2018-12-14 09:01
到2017年底,中国海油共荣获国家级科技奖励21项,其中,“超深水半潜式钻井平台研发与应用”荣获2014年国家科技进步特等奖;获专利授权5500余件;流花11-1油田在水深300米以下,而当时的中国海油没有建造深水工程装备的经验,但中国海油从来不缺学习的热情。
2018-12-14 09:01
12月13日,2018年度黑龙江省科学技术奖结果新鲜出炉。哈工大从哈佛大学引进回来的高层次人才黄志伟,成为黑龙江历史上首位凭一篇论文斩获省自然科学一等奖的科研人员。“黄志伟此次获奖,正是国家在人才评价制度中倡导的‘四不唯’的具体体现。
2018-12-14 09:00
“通过技术挖掘可把一些有用的信息,从科技创新信息中有效挖掘出来。”日前,在浙江乌镇举行的2018“国际技术挖掘会议”上,美国佐治亚理工大学教授艾伦·波特通过视频,录制了其报告。
2018-12-14 08:59
“全球60亿人口的动物蛋白摄入,15%以上来源于水产品。”近日,在华夏对虾种业创新联盟在北京举办的“2018国际水产种业科技创新论坛”上,世界水产学会前主席、比利时根特大学教授帕垂克·索格罗斯说。
2018-12-14 08:58
主办的“科学大满贯”活动揭幕,并就中欧科研与创新合作,与中国媒体面对面展开深入探讨。
2018-12-14 08:58
“科研体系将持续对‘从牧场到餐桌’全产业链建设起到支撑作用。5年前在北京成立的中荷奶业发展中心,是中国和荷兰在农业领域开展国际合作的重要平台。
2018-12-14 08:58

2015年,英国《自然》发表的一篇论文报告称,曾有8名病人接受了被朊病毒污染的尸源性人类生长激素(c-hGH)治疗,之后死于克雅氏病(CJD),其中4名病人的脑内检查出了β淀粉样蛋白的病理特征。当时c-hGH被认为有可能是这一变化的来源。

2018-12-14 08:57
在实验室内利用干细胞制作小鼠和人类胚胎模型正在快速向前发展,与此同时也带来了深刻的法律问题和伦理问题。此次发表的文章属于《自然》期刊内的评论,而非经过同行评议的《自然》研究论文,这一类评论文章是关于科学研究及其影响的权威性时评。
2018-12-14 08:55
在计量学的故事中,对于科学家们而言情节总是相当的简单:无非就是保证各项计量标准得到持续不断地改进。分析主义者们往往会避开实践问题,而实用主义者们恰恰把注意力放在了测量实践以及实践如何作用于科学难题的解决上。
2018-12-14 08:54
时间回到两年前,2016年8月16日凌晨,中国在酒泉卫星发射中心用长征二号丁运载火箭成功发射世界首颗量子科学实验卫星“墨子号”。量子通信原理上可以提供一种不能破解、不能窃听的安全信息传输方式,量子信息技术甚至被比作和平年代的“核武器”。
2018-12-14 08:54
作为一种对人体有害的重金属,地球上的汞是如何循环分布的?日前,天津大学地科院孙若愚副教授与哈佛大学、法国科学院图卢兹地球环境研究所、南京大学等团队合作,历时5年,建成了全球第一个动态、全耦合、可拓展的全球汞同位素箱体模型。
2018-12-14 08:53
国家卫生健康委医政医管局副局长周长强提供了一组数字,足以可见我国献血制度的快速发展:1998年,我国启动实施《献血法》的当年,自愿无偿献血人次仅为32万;2018年,我国自愿无偿献血人次将超过1500万。周长强介绍说,每年都会对各地血液安全和血液保障情况进行随机抽查,及时向全国通报核查情况,督促各地加强血液质量安全管理。
2018-12-13 19:08
13日,以“小·有大智”为主题的百度智能小程序公开课在北京首讲,百度副总裁沈抖解读了百度为扶持小程序开发者创新创业而打造的“共筑计划”。沈抖表示,小程序如今被视作互联网经济时代非常有潜力的创业方向,而在行业生态中,平台的技术能力、技术理念与开发者的想象力,共同决定了小程序连接服务的边界。
2018-12-13 19:08
根据2015年至2017年的科研产出情况,北京大学、清华大学、南京大学、中国科学技术大学、浙江大学、复旦大学、中国科学院大学、中国科学院化学研究所、南开大学和苏州大学被列为自然指数中国十大科研机构。
2018-12-13 19:11
对天文学家而言,流星雨整个活跃期都值得观测,并非只有达到极大的流星雨才有意义。“早期,天文学家观测流星雨,主要目的是研究母彗星,通过母彗星反过来研究太阳系的起源。
2018-12-13 09:12
加载更多