[5.jpg]

‍ ‍ 蘋果支付的安全評估

‍ ‍ 按道理來說，NFC支付應該更安全。不同于傳統的信用卡，NFC支付針對每次購買都會產生一串新的數字，而不是發送用戶的信用卡信息。安全元件使黑客難以利用盜取的數字串用于任何其他的目的。在傳統模型中，商家必須要接收信用卡信息，即使是已加密過。商家必須承擔保存和處理信用卡號的責任。然而，NFC系統讓使用現有的黑客技術難以截獲信用卡信息。因為交易過程不需要刷卡，分離器沒有機會來獲取磁性信用卡數據。此外，這也緩解了來自內存抓取（memory-scraping）惡意軟件的威脅，例如BlackPOS 或 Dexter。

可能在未來的某個時刻，一個小型天線放置在NFC讀卡器旁邊，也許能夠捕獲NFC讀卡器和手機之間的通信。但是，因為黑客只能捕獲結合了交易碼的設備賬戶號碼，把竊聽的通信再次用于惡意目的幾乎不可能。這個過程也可以阻止黑客從商家尋找信用卡，因為他們僅使用基于NFC支付系統來處理設備賬戶號碼和安全交易信息，而不是信用卡號。即使黑客能夠訪問零售商的網絡，交易信息具有僅使用一次的特性，這讓黑客的計劃落空了。目前，尚不清楚零售商是否會存儲這類信息。當然，我們預料到終有一天黑客們會像傳統基于磁條的卡片中的數據使用基于NFC支付系統中的數據。 ‍ ‍ ‍ ‍ ‍

【Freebuf科普】‍‍
‍‍1.【ATM分類器（ATMSkimmers）】直譯過來為 ATM 分離器，是一種依附在正常自動提款機上的硬件設備，通常覆蓋在鍵盤、銀行卡插槽上，偽裝成正常的鍵盤和銀行卡插槽，并且與原設備嚴絲合縫，基本上普通用戶很難區別出來假的鍵盤、銀行卡插槽，用來竊取用戶輸入的密碼以及銀行卡數據的一種電子硬件設備。

‍ ‍ 未來方向

‍ ‍ 展望未來，移動支付安全會依賴于三個組件：用戶身份認證、移動應用程序的驗證、第三方支付執行機構（third payment processor）。

第一個是身份認證。蘋果支付使用生物特征用于身份認證。然而，iPhone5S僅發布兩天后，黑客就成功了繞過了iPhone5S的指紋識別系統Touch ID，由此表明這仍是一項新型的技術。數據的匯聚是關鍵，也是這種新型金融形式所帶來的主要風險。當我們著眼于個人組件、漏洞，以及他們帶來的風險，我們必須將這個過程視為一個整體。

第二點，我們必須考慮第三方APP和惡意程序是如何影響Apple Pay。當蘋果還沒有向第三方APP開發接口時，我們早已在幾乎每個移動環境觀察到了惡意程序。在這種情況下，信用卡號在錄入到移動終端時可能存在被盜取的風險。信用卡信息通過對信用卡拍照或手動輸入等方式錄入到Passbook中。這是數據最脆弱的時候，因為惡意程序可能嘗試截獲信用卡的照片或手動輸入的信用卡信息。

最后，支付的基礎設施服務。考慮到要通過這些服務處理大量的資金，因此這些服務通常擁有比較強的安全性。隨著POS系統逐漸轉向了NFC支付，商家網絡中基于磁條的卡憑證數據會越來越少。黑客們當然不會輕易放棄自己的事業，而是把精力投放到下一個最薄弱點。 ‍ ‍

‍ ‍ 最后的思考

消費欺詐是一個巨大的市場。我們必須想到那些實施網上欺詐的家伙們一定會挖空心思尋找這個新技術的空隙來維持他們的收入來源。隨著智能設備上的購物和銀行服務不斷普及，你可以清楚預見到未來犯罪所關注的焦點，即能否在衍化的新環境中重現傳統的欺詐手段或挖掘出新的漏洞或機會。

此刻，盡管看起來蘋果支付和其他NFC移動支付系統提供了增強的安全性，防止傳統零售業的信用卡泄露事件發生。由于移動支付能夠為人們提供極大的便利和效率，隨著消費者不斷增加對虛擬的錢包、支付以及賬戶的依賴，信用卡很有可能將會不斷演進。隨著消費行為的轉變，我們預料到罪犯也會緊跟趨勢，不斷創新，否則就被市場淘汰了。