<mark id="oztn4"></mark>
10
| 本文作者： qzqzqzqz | 2016-02-22 14:30 |
按：作者系安全公司資深安全人士。
2月20日凌晨，Apple Pay正式登陸中國(guó)，筆者馬上就綁了自己的銀行卡，雖然中途的綁定驗(yàn)證頗為曲折，但明眼人一看就明白，這和蘋(píng)果沒(méi)多大關(guān)系，關(guān)鍵的認(rèn)證步驟是銀聯(lián)的服務(wù)器撐不太住。到了中午，筆者去麥當(dāng)勞體驗(yàn)了把Apple Pay，第一次用有點(diǎn)生澀，不過(guò)感覺(jué)用戶習(xí)慣了后的體驗(yàn)肯定是秒殺各種支付應(yīng)用的。于是晚上，各路人士肯定是要對(duì)Apple Pay品評(píng)一番的，到這里咱也不能免俗，來(lái)說(shuō)兩句。
首先，筆者發(fā)現(xiàn)很多人拿Apple Pay和微信、支付寶等支付應(yīng)用去對(duì)標(biāo)，什么微信支付寶向左,銀聯(lián)Apple Pay向右 ，這么對(duì)標(biāo)顯然是愚蠢的，兩個(gè)東西完全不在一個(gè)維度。簡(jiǎn)單來(lái)說(shuō)，Apple Pay可以不用聯(lián)網(wǎng)進(jìn)行支付，從這一點(diǎn)出發(fā)，咱就不要把Apple Pay當(dāng)成一個(gè)支付應(yīng)用，因?yàn)樗衅渌Ц稇?yīng)用沒(méi)有的能力，它其實(shí)就是一張高科技銀行卡。
從銀行卡這個(gè)思路我們?nèi)シ治霭踩珪?huì)更容易理解，早期傳統(tǒng)的銀行卡是磁條卡，磁條卡并沒(méi)有太多的安全認(rèn)證，導(dǎo)致讀取到磁條中的數(shù)據(jù)就可以復(fù)制成一張新的銀行卡，于是我們經(jīng)常可以看見(jiàn)盜刷復(fù)制銀行卡的新聞，不法分子一般都是通過(guò)非法磁條卡讀寫(xiě)設(shè)備復(fù)制銀行卡。
于是銀行開(kāi)始推更安全的芯片卡，芯片可以存儲(chǔ)密鑰、數(shù)字證書(shū)、指紋等信息。筆者對(duì)這個(gè)領(lǐng)域并不熟悉，不過(guò)還是加勁解釋下，芯片卡能通過(guò)非對(duì)稱加密的方式，和POS機(jī)進(jìn)行雙向公私鑰驗(yàn)證，通俗說(shuō)就是銀行卡認(rèn)設(shè)備了，非法設(shè)備已經(jīng)無(wú)法復(fù)制銀行卡了。
回到Apple Pay上，Apple Pay能夠做到離線支付，那是不是銀行卡被復(fù)制到了蘋(píng)果手機(jī)中呢？并沒(méi)有，Apple Pay的綁定銀行卡過(guò)程，不是把銀行卡芯片中的密鑰和數(shù)據(jù)直接復(fù)制到手機(jī)上，實(shí)際上是把卡號(hào)和相關(guān)的密碼或者信用卡的CVV輸入到手機(jī)應(yīng)用里，然后Apple Pay和銀聯(lián)的服務(wù)器做一次設(shè)備認(rèn)證綁定。這個(gè)設(shè)備認(rèn)證的過(guò)程Apple Pay會(huì)生成一個(gè)唯一的設(shè)備賬號(hào)與之對(duì)應(yīng)，設(shè)備認(rèn)證綁定后，以后要和POS機(jī)進(jìn)行安全認(rèn)證的數(shù)據(jù)Token等存儲(chǔ)在iphone安全芯片中。
目前這類安全支付的安全攻防的落點(diǎn)都在硬件安全體系上，蘋(píng)果是以Secure Boot Chain、Secure Element、Secure Enclave、Touch ID、NFC Controller為支柱的硬件安全體系，安卓陣營(yíng)則是以ARM的TrustZone技術(shù)為安全標(biāo)準(zhǔn)，這些安全標(biāo)準(zhǔn)一般人都太難以理解，這里我們不深入解釋，筆者在這個(gè)領(lǐng)域不太熟悉，憑自己的經(jīng)驗(yàn)和認(rèn)識(shí)來(lái)來(lái)談?wù)?/span>Apple Pay和安全相關(guān)多個(gè)攻擊面：
第一個(gè)攻擊面，Apple Pay的NFC近場(chǎng)通信是否有安全隱患，比如說(shuō)通信協(xié)議的重放，咱是不是可以脫離手機(jī)設(shè)備無(wú)限制地重復(fù)支付同一個(gè)交易，這個(gè)肯定想都不用想，在架構(gòu)設(shè)計(jì)上蘋(píng)果肯定會(huì)杜絕這種低級(jí)錯(cuò)誤。
不過(guò)NFC攻擊可是千變?nèi)f化，比如2013年DEFCON-20上曾有一個(gè)“NFC Hacking: The Easy Way ”的議題，提到了NFC跳板攻擊，議題放出過(guò)一個(gè)概念性的攻擊例子，利用兩個(gè)NFC手機(jī)做跳板，釣魚(yú)欺騙你的銀行卡支付遠(yuǎn)端的一個(gè)POS機(jī)，其中的攻擊原理把這張銀行卡換成Apple Pay手機(jī)，應(yīng)該也一樣能攻擊成功，不過(guò)筆者覺(jué)得在小額度支付的場(chǎng)景，實(shí)施這樣的釣魚(yú)攻擊成本太高，黑客始終還是無(wú)法無(wú)限制地盜刷支付。
第二個(gè)攻擊面，來(lái)自Apple Pay業(yè)務(wù)層次的安全，現(xiàn)在蘋(píng)果手機(jī)已經(jīng)變成銀行卡了，而這個(gè)銀行卡的密碼不再是銀行密碼了，而是你的鎖屏密碼和指紋。
所以如果手機(jī)丟失了，你來(lái)不及鎖定注銷Apple Pay，那不法分子使用你的鎖屏密碼或指紋可能刷爆你的卡。這里的鎖屏密碼也能支付估計(jì)很多人都沒(méi)體驗(yàn)到，只需要使用錯(cuò)誤的指紋幾次就會(huì)進(jìn)入鎖屏密碼支付流程。當(dāng)然這也是一個(gè)偽命題，前幾天FBI還在求助庫(kù)克給iPhone的鎖屏密碼開(kāi)個(gè)后門，因?yàn)樘O(píng)果的Touch ID與密碼中有一項(xiàng)安全選項(xiàng)，連續(xù)輸入10次錯(cuò)誤密碼就抹掉手機(jī)的所有數(shù)據(jù)！當(dāng)然這一功能明顯不適用于普通消費(fèi)者，如果你的手機(jī)落在親戚小孩手上，情況可想而知。
第三個(gè)，Apple Pay軟硬件層次的攻防。
這部分烏云的文章：《Apple Pay 來(lái)了，但是它安全么？》已經(jīng)做了很詳細(xì)的科普，現(xiàn)在黑客攻防的落點(diǎn)是挑戰(zhàn)硬件安全體系，去年已經(jīng)有黑客攻破了部分安卓手機(jī)廠商的TrustZone安全支付方案，蘋(píng)果的Apple Pay至今還沒(méi)有人攻破。試想黑客如果能夠做到破解蘋(píng)果安全芯片的加密數(shù)據(jù)，將Apple Pay的設(shè)備克隆，在世界的另外一個(gè)角落盜刷你的銀行卡，我覺(jué)得這會(huì)是本年度最轟動(dòng)的安全事件。
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。
