Samsung

Black Hat 黑帽大會研究員指出 Samsung Pay 有漏洞, Samsung 嚴詞否認

每年 Black Hat 黑帽大會上,都有針對不同公共服務進行安全性分析的會議。一名研究員就針對 Samsung 的 POS 行動支付服務,也就是人稱 Samsung Pay 的這項服務中,其演算法有著被駭客入侵的風險。而 Samsung 則透過部落格撰文反駁,指出他們的演算法與安全性報告中指出的並不同。

160810-A0

Samsung Pay 主要運作方式有點像在刷卡,把手機在終端機上滑過、並透過雙方同步,獲得一個並非由帳戶連結銀行戶頭有關的「令牌」號碼。這個號碼在每次交易都會被改變,與傳統磁卡只有一組 6 位數字的號碼不一樣。為了順利收款,在交易「令牌」與銀行帳戶間就有了一套演算法。而演算法主要就是一個產生臨時號碼的程式,理論上,這組程式必須要有足夠的複雜性,以抵擋駭客破解。然而 Black Hat 中的研究員 Salvador Mendoza 認為這個演算法的運作中有漏洞,教出了三個駭客可以用以入侵的方法。方法分別是利用磁卡來欺騙系統產生令牌,然後阻礙交易逼迫系統產生另一個令牌,駭客就可以利用第一組令牌及特製工具,擷取新的令牌,破解了系統運作。

Samsung 於部落格撰文否認 Mendoza 描述其演算法的運作,並在指出他們已經在 FAQ 頁面上解釋了系統是如何抵擋駭客入侵。Samsung Pay 是利用 Knox 軟體和硬體認證,再輔以 TrustZone 處理器結構來運算這些敏感資料。之後,Samsung 再補充指其行動支付服務是由多層安全系統保護著,再由與合作夥伴一起開發安全系統來偵測危險。

不過在 FAQ 頁面上,沒有對應訊息被干擾和「撤銷」未用的令牌的情況作解釋。而 Mendoza 所建議的方法需要駭客與目標人物非常靠近,才能在後者付款被收納之前及時把訊號阻擋。不過此時,Samsung Pay 使用者應該會有所警覺發現交易有問題,而且也因為每次交易過程都會涉及到 Samsung 和銀行的欺詐分析算法,所以有關的入侵並不太可能發生。

消息來源

臉書留言 Comments

Previous post

進化遇瓶頸 Galaxy Note7顯示幕仍破紀錄

Next post

Qualcomm 高通晶片出漏洞,9 億 Android 手機遇到麻煩

The Author

Amola

Amola

XFastest 採訪編輯,目前負責粉絲團管理,產品評測等職務,歡迎大家一起討論科技。