銀行方案搭配專家

Apple Pay 有可能被盜刷嗎？

原標題：Apple Pay 有可能被盜刷嗎？



Apple Pay 來啦。這麼簡單就能付款，真是讓人剁手的路上又少瞭一個障礙啊。根據嘗鮮的朋友體驗，用 Apple Pay 支付有一種“德芙”般絲滑的感覺。

咦，怎麼聽起來怕怕的？既然付錢這麼簡單，會不會存在安全隱憂呢？偷偷綁上別人的 Apple Pay，然後縱情享受土豪人生。這種人生夢想有沒有可能實現呢？



好吧，現在我們就來科普一下：偷偷盜用別人的 Apple Pay，總共分幾步。

首先是背景知識：

Apple Pay 的原理是把一張信用卡和一支手機硬件綁定。讓 iPhone 成為這張信用卡的替身，讓 Touch ID 成為信用卡密碼的替身。Apple Pay 把用戶的銀行卡號經過加密轉為一段代碼，名為“Token”。這個 Token 存在專門的安全芯片上，和你的 Touch ID 是鄰居。

現在，盜刷正式開始。



Plan A

先從最簡單的方法入手。是否可以透過木馬病毒盜取他人手機上的卡號（Token）呢？以往，在蘋果手機上安裝惡意軟件的事件時有發生，但是，不要認為在 iOS 上隨便安裝一款軟件是一件容易的事，它需要對系統的多個漏洞進行聯合利用。這種聯合利用的最高形式就是 iOS 的越獄。中國越獄大神盤古團隊的陳小波（DM557）曾對雷鋒網表示，最近幾年蘋果的系統版本每進行一次大的迭代，都會增加一重安全機制，對漏洞的挖掘需要越來越強的技術實力。

所以，想要安裝惡意軟件，一般需要對方的 iPhone 處於越獄狀態。但是這還遠遠不夠，因為 Apple Pay 的卡號資訊是儲存在安全芯片之中的。研究無線電安全的獨角獸團隊負責人楊卿告訴雷鋒網：

iPhone 的安全芯片自身是一個體系，有獨立的 iOS 和獨立的儲存區，所以即便獲取瞭手機系統的控制權，也未必能介入到安全芯片之中去取數據。



▲ 圖中亮處就是用於支付的安全芯片朋友借錢利息，它被放置在 NFC 芯片內。

也就是說，如果想要破解 Apple Pay，實際上要攻破兩套系統：

蘋果的 iOS 系統內置安全芯片的系統

然而，iOS 安全研究團隊涅盤的掌門人高雪峰告訴雷鋒網一個悲傷的事實：攻破安全芯片，需要的是硬件級別的漏洞，而自從 iPhone 4 之後，全世界的黑客就沒有在蘋果手機上找到硬件級別的漏洞。

所以，想要用“飛龍探雲手”把卡號偷出來的 Plan A 幾乎宣告破滅。更讓人泄氣的是：由於卡號資訊是以 Token 的形式儲存，即使拿到這串字符，也很難解密。



▲ Apple Pay 的 Token 驗證示意圖，反正很復雜就是瞭。

Plan B

看來拿到手機裡的信用卡號非常難，那不如我們直接把朋友的信用卡偷來，綁定到我的 iPhone 上吧。你可能會問，既然拿到瞭別人的信用卡，我直接用信用卡消費不就可以瞭嗎？其實並不是。在大多數情況下，信用卡消費是需要驗證密碼的。而在把信用卡和 iPhone 綁定的過程中，信用卡的密碼是不需要的。隻需要輸入“卡號”“信用卡 CVV 碼”和“綁定手機驗證碼”這 3 個隱私資訊。

前兩個資訊在卡片上都可以找到。但是問題仍然很嚴重，這綁定手機的驗證碼卻非常難得到。除非你同時拿到一個人相互匹配的手機和信用卡，才可以成功把這張卡和你 自己的 iPhone 綁定。想必能讓你這麼做的，隻有你的老公或老婆吧。與其這麼麻煩，還不如抓住他的衣服，逼他付帳來得痛快。



▲ 信用卡背面的這 3 個數字就是 CVV 碼。個人小額借貸

Plan C

以上計劃都不成功，看來我們需要使出最後的殺手鐧——把別人的 iPhone 偷到手。這樣的計劃也適用於你撿到一支 iPhone。

用撿到的 iPhone 去超市買東西，同樣會遇到一個致命的問題：即使隻花一分錢，也需要手機主人的指紋。這個指紋其實就存在手機裡，而你就是沒辦法拿到它。 指紋資訊儲存於蘋果引以為傲的安全芯片中，多年以來黑客們多次嘗試攻破安全芯片，結論是：想要拿到安全芯片裡的資訊，對一般黑客來說代價高到不用嘗試。有人做瞭如下有趣的比方：

iPhone 的 CPU 裡住瞭很多工人，他們共同計算和處理用戶給予的任務，但指紋、密碼等資訊卻是由一個啞巴工人來看管。當用戶在支付時，其他工人就需要對指紋資訊進行辨識比對，這時候隻能去問啞巴工人，但由於他不會說話， 隻能用搖頭或點頭來表示“是”與“否”。所以想要讓啞巴告訴你他看守的指紋究竟是什麼，簡直比登天還難。

在黑客找到破解 Touch ID 的辦法之前，你隻能望機興嘆。

Plan D

你都已經拿到瞭別人的 iPhone，還是沒辦法用他的錢愉快地購物，這個事實還真讓人沮喪。不過，讓我們把自己想像得再幸運一些，你撿到一個沒有設置 Touch ID 的 iPhone。這個台南信貸 試算 表時候使用 Apple Pay 的話，就會要求你輸入信用卡的支付密碼。至於怎麼搞到這張卡的密碼，就是另一個故事瞭。

其實在這種情況下，還有一種“賊不走空”的解決方案：你不妨去找找手機裡的微信支付和支付寶。因為大多數的微信支付和支付寶都是小額免密碼的，這也算是對手機主人不設置 Touch ID 這種行為的小小懲罰吧。



結論

說瞭這麼多，其實沒有一個完美的盜刷計劃，可以看出蘋果在 Apple Pay 的安全方面，確實是花瞭心思的。

Apple Pay 在國外推出這麼久，還沒有黑客對它成功破解。而對於 Apple Pay 在中國的落地，相對脆弱的部分應該是蘋果手機和銀聯、銀行之間的支付協議。目前中國的眾多安全團隊正在開足馬力，對 Apple Pay 的支付協議進行代碼層面的分析，相信不久就會有詳細的分析報告出爐。



（本文由 雷鋒網授權轉載；首圖來源：Flickr/Scott LewisCC BY 2.0）



微信掃描二維碼或者搜索微信公眾號（TechNews科技新報）關註我們。關鍵字: Apple Pay, iOS, Token, Touch ID, 信用卡, 安全芯片, 盜刷, 黑客

回響留下回響發佈日期2016 年 02 月 19 日 08:05 分類Apple, 支付方案, 資訊安全分享返回搜狐，查看更多

責任編輯：

聲明：本文由入駐搜狐號的作者撰寫，除搜狐官方賬號外，觀點僅代表作者本人，不代表搜狐立場。

閱讀 ()


科技新報-科技業界最新最熱的爆點

TechNews科技新報-手機、電動車、無人機、人工智雲林借錢管道能、AR/VR等泛科技類新聞一網打盡


Trendforce玉山銀行小額信貸集邦專業的行業研究機構

集邦科技是中國市場研究報告行業的領導者，研究范圍有內閃存、SSD、面板、新能源等

• 真實案例講解:被貸款了怎麼辦?什麼是“被貸款”？基隆小額借錢 我想申請50萬個人信貸利息是多少被貸款是指被他人假冒自己的名義在銀行辦理了貸款。基隆小額借錢 我想申請50萬個人信貸利息是多少一些人在遭遇此類事件時，往往忍氣吞聲，不知該如何應對。事實上，被貸款了怎麼辦這個問題很好解決，只看你有沒有勇氣拿起武器捍衛自己的合法權益？有權要求認定合同無效【案例一】　2011年10月5日，熊妍購買了一套商品房，當她交完首付，來到銀行辦理按揭手續時，卻遭到拒絕。理由是她曾辦理過三筆貸款，累計金額已達90萬元，基隆小額借錢 我想申請50萬個人信貸利息是多少不能再貸款了。銀行提供的查詢證明顯示，基隆小額借錢 我想申請50萬個人信貸利息是多少熊妍於2009年及2010年，在鄰縣一家銀行的確有著貸款記錄，每筆均為30萬元。“我根本就沒有在你們銀行貸過款，基隆小額借錢 我想申請50萬個人信貸利息是多少怎麼會有如此巨額的貸款記錄？”面對熊妍的質詢，基隆小額借錢 我想申請50萬個人信貸利息是多少鄰縣銀行卻無動於衷，因為他們知道，這只不過是領導親屬利用私自獲取的熊妍身份資訊辦理的貸款。基隆小額借錢 我想申請50萬個人信貸利息是多少熊妍有權訴請法院確認三筆貸款合同無效。本案中，銀行領導為了自己親屬的利益，弄虛作假、串通一氣地連續三次利用私自獲取的熊妍身份資訊辦理貸款，基隆小額借錢 我想申請50萬個人信貸利息是多少客觀上也確已損害熊妍的利益，無疑當屬惡意串通。而《合同法》第五十二條規定：“有下列情形之一的，合同無效：……(二)惡意串通，損害國家、集體或者第三人利益基隆小額借錢 我想申請50萬個人信貸利息是多少；……”《民法通則》第五十八條也已規定“惡意串通，損害國家、集體或者第三人利益的”民事行為無效。即銀行與真正貸款人的行為，基隆小額借錢 我想申請50萬個人信貸利息是多少從開始起就對熊妍沒有法律約束力。
• 基隆小額借錢 我想申請50萬個人信貸利息是多少
• 真實案例講解:被貸款了怎麼辦?什麼是“被貸款”？台中借錢 急用錢可是不知道信貸利率計算方式被貸款是指被他人假冒自己的名義在銀行辦理了貸款。台中借錢 急用錢可是不知道信貸利率計算方式一些人在遭遇此類事件時，往往忍氣吞聲，不知該如何應對。事實上，被貸款了怎麼辦這個問題很好解決，只看你有沒有勇氣拿起武器捍衛自己的合法權益？有權要求認定合同無效【案例一】　2011年10月5日，熊妍購買了一套商品房，當她交完首付，來到銀行辦理按揭手續時，卻遭到拒絕。理由是她曾辦理過三筆貸款，累計金額已達90萬元，台中借錢 急用錢可是不知道信貸利率計算方式不能再貸款了。銀行提供的查詢證明顯示，台中借錢 急用錢可是不知道信貸利率計算方式熊妍於2009年及2010年，在鄰縣一家銀行的確有著貸款記錄，每筆均為30萬元。“我根本就沒有在你們銀行貸過款，台中借錢 急用錢可是不知道信貸利率計算方式怎麼會有如此巨額的貸款記錄？”面對熊妍的質詢，台中借錢 急用錢可是不知道信貸利率計算方式鄰縣銀行卻無動於衷，因為他們知道，這只不過是領導親屬利用私自獲取的熊妍身份資訊辦理的貸款。台中借錢 急用錢可是不知道信貸利率計算方式熊妍有權訴請法院確認三筆貸款合同無效。本案中，銀行領導為了自己親屬的利益，弄虛作假、串通一氣地連續三次利用私自獲取的熊妍身份資訊辦理貸款，台中借錢 急用錢可是不知道信貸利率計算方式客觀上也確已損害熊妍的利益，無疑當屬惡意串通。而《合同法》第五十二條規定：“有下列情形之一的，合同無效：……(二)惡意串通，損害國家、集體或者第三人利益台中借錢 急用錢可是不知道信貸利率計算方式；……”《民法通則》第五十八條也已規定“惡意串通，損害國家、集體或者第三人利益的”民事行為無效。即銀行與真正貸款人的行為，台中借錢 急用錢可是不知道信貸利率計算方式從開始起就對熊妍沒有法律約束力。
• 台中借錢 急用錢可是不知道信貸利率計算方式
• 真實案例講解:被貸款了怎麼辦?什麼是“被貸款”？嘉義借錢 玉山銀行信貸利率比較專家，這家銀行真的適合你嗎？被貸款是指被他人假冒自己的名義在銀行辦理了貸款。嘉義借錢 玉山銀行信貸利率比較專家，這家銀行真的適合你嗎？一些人在遭遇此類事件時，往往忍氣吞聲，不知該如何應對。事實上，被貸款了怎麼辦這個問題很好解決，只看你有沒有勇氣拿起武器捍衛自己的合法權益？有權要求認定合同無效【案例一】　2011年10月5日，熊妍購買了一套商品房，當她交完首付，來到銀行辦理按揭手續時，卻遭到拒絕。理由是她曾辦理過三筆貸款，累計金額已達90萬元，嘉義借錢 玉山銀行信貸利率比較專家，這家銀行真的適合你嗎？不能再貸款了。銀行提供的查詢證明顯示，嘉義借錢 玉山銀行信貸利率比較專家，這家銀行真的適合你嗎？熊妍於2009年及2010年，在鄰縣一家銀行的確有著貸款記錄，每筆均為30萬元。“我根本就沒有在你們銀行貸過款，嘉義借錢 玉山銀行信貸利率比較專家，這家銀行真的適合你嗎？怎麼會有如此巨額的貸款記錄？”面對熊妍的質詢，嘉義借錢 玉山銀行信貸利率比較專家，這家銀行真的適合你嗎？鄰縣銀行卻無動於衷，因為他們知道，這只不過是領導親屬利用私自獲取的熊妍身份資訊辦理的貸款。嘉義借錢 玉山銀行信貸利率比較專家，這家銀行真的適合你嗎？熊妍有權訴請法院確認三筆貸款合同無效。本案中，銀行領導為了自己親屬的利益，弄虛作假、串通一氣地連續三次利用私自獲取的熊妍身份資訊辦理貸款，嘉義借錢 玉山銀行信貸利率比較專家，這家銀行真的適合你嗎？客觀上也確已損害熊妍的利益，無疑當屬惡意串通。而《合同法》第五十二條規定：“有下列情形之一的，合同無效：……(二)惡意串通，損害國家、集體或者第三人利益嘉義借錢 玉山銀行信貸利率比較專家，這家銀行真的適合你嗎？；……”《民法通則》第五十八條也已規定“惡意串通，損害國家、集體或者第三人利益的”民事行為無效。即銀行與真正貸款人的行為，嘉義借錢 玉山銀行信貸利率比較專家，這家銀行真的適合你嗎？從開始起就對熊妍沒有法律約束力。
• 嘉義借錢 玉山銀行信貸利率比較專家，這家銀行真的適合你嗎？

• 銀行小額信貸
• 玉山銀行個人信貸
• 桃園小額借貸

台灣電動床工廠 電動床

台灣電動床工廠 電動床

AUGI SPORTS｜重機車靴｜重機車靴推薦｜重機專用車靴｜重機防摔鞋｜重機防摔鞋推薦｜重機防摔鞋

AUGI SPORTS｜augisports｜racing boots｜urban boots｜motorcycle boots
A0F79458C6B9EDD4