最新公告
  • 欢迎您光临悠哉网,本站秉承服务宗旨 履行“站长”责任,销售只是起点 服务永无止境!立即加入我们
  • 偷梁换柱:攻击者将万事达信用卡转换成Visa卡来盗取资金

    最近两天,网络安全研究人员披露了一种新的攻击方式,攻击者可以欺骗销售终端,让其把万事达非接触式卡误认为是Visa卡,从而进行交易。

    该研究报告是由苏黎世联邦理工学院的一群学者发表的,该研究报告是建立在去年9月进行的一项详细研究的基础上的,该研究涉及PIN绕过攻击,使攻击者可以利用受害者的被盗或丢失的基于EMV技术的信用卡来发起攻击,甚至欺骗终端接受未经认证的离线卡交易。你可以理解 EMV 是指支持 EMV 技术的卡和刷卡机,由于EMV 刷卡机总归要接入到商户的系统中( POS 机),其读取的卡信息会经过商户的系统( POS 机)最后(直接或间接)与银行通信。

    研究人员认为销售终端的这种误把万事达卡当做Visa卡的现象不但会造成信用卡管理的混乱,更会带来严重后果。例如,犯罪分子可以将其与先前对Visa的攻击结合使用,从而绕过万事达卡的PIN。目前,万事达卡被认为受PIN保护。另外一个原因是EMV是Europay(Europay后被并入MasterCard组织)、MasterCard、VISA三个信用卡国际组织联合制定的银行芯片卡借记/贷记应用的统一技术标准。

    苏黎世联邦理工学院的研究人员在负责任的披露后表示,万事达卡目前已在网络级别实施了防御机制,以阻止此类攻击。研究结果将在今年8月下旬举行的第30届USENIX安全研讨会上发表。

    信用卡品牌混淆攻击

    就像先前发生的Visa卡的攻击一样,最新研究也利用了之前广泛使用的EMV非接触式协议中的“严重”漏洞,只是这次的目标是万事达卡。

    从高层次上讲,这是通过使用Android应用程序实现的,该应用程序在中继攻击体系结构之上实现了中间人(MitM)攻击,从而使该应用程序不仅可以在两端(终端和卡),还会拦截和操纵NFC(或Wi-Fi)通信,从而恶意地在不同信用卡品牌和支付网络之间引入不匹配的情况。

    换句话说,如果发行的卡是Visa或Mastercard品牌的卡,则促进EMV交易所需的授权请求将路由到相应的支付网络。付款终端使用所谓的主要帐号(PAN,也称为卡号)和可唯一识别卡类型(例如万事达卡大师或Visa Electron)的应用程序标识符(AID)的组合来识别品牌,然后利用后者为交易激活特定的内核。

    EMV内核是一组函数,提供执行EMV接触或非接触事务所需的所有必要处理逻辑和数据。

    目前研究人员将该攻击称为“信用卡品牌混淆攻击(card brand mixup)”,该攻击利用了以下进程:这些AID并未通过支付终端进行身份验证,因此有可能欺骗终端以激活有缺陷的内核,进而扩展为处理付款的银行,代表商家接受通过指示不同信用卡品牌的PAN和AID进行的非接触式交易。

    然后,攻击者会同时在终端上执行Visa交易,并在卡上执行万事达卡的交易。

    但是,该攻击必须满足许多先决条件才能成功。比如要完成这样的攻击,攻击者首先必须能够访问受害者的卡,除了能够在将终端的命令和卡的响应发送给相应的接收者之前,对其进行修改。它不需要具有root权限或利用Android中的漏洞来使用概念验证(PoC)应用程序。

    不过研究人员指出,EMV非接触式协议的第二个漏洞可以使攻击者通过非Visa卡获得的响应中,构建Visa协议指定的所有必要响应,包括发卡机构授权交易所需的加密证明。

    苏黎世联邦理工学院的研究人员表示,使用PoC Android应用程序,他们能够绕过PIN验证,以进行万事达信用卡和借记卡的交易,包括两张Maestro借记卡和两张万事达信用卡,这些都是由不同的银行发行的。针对这个可能的交易,万事达信用卡增加了许多安全对策,包括要求金融机构在授权数据中包含AID,从而允许发卡机构根据PAN检查AID。

    此外,该支付网络还对授权请求中出现的其他数据点进行了检查,这些数据点可用于识别此类攻击,在一开始就拒绝欺诈性交易。

    本文翻译自:https://thehackernews.com/2021/02/new-hack-lets-attackers-bypass.html如若转载,请注明原文地址。

    【编辑推荐】

    1. 为什么你总是学不会Python,入门Python的4大陷阱
    2. 厌倦了默认系统字体?这是在Windows 10上进行更改的方法
    3. 5G手机热销之前,要先解决这些问题
    4. 手把手教你用Python爬取百度搜索结果并保存
    5. 揭秘登上2021春晚舞台的黑科技-XR技术
    1. 本站所有资源来源于用户上传和网络,如有侵权请邮件联系站长!
    2. 分享目的仅供大家学习和交流,您必须在下载后24小时内删除!
    3. 不得使用于非法商业用途,不得违反国家法律。否则后果自负!
    4. 本站提供的源码、模板、插件等等其他资源,都不包含技术服务请大家谅解!
    5. 如有链接无法下载、失效或广告,请联系管理员处理!
    6. 本站资源售价只是赞助,收取费用仅维持本站的日常运营所需!
    7. 如遇到加密压缩包,默认解压密码为"www.yoozai.net",如遇到无法解压的请联系管理员!
    悠哉网 » 偷梁换柱:攻击者将万事达信用卡转换成Visa卡来盗取资金

    常见问题FAQ

    免费下载或者VIP会员专享资源能否直接商用?
    本站所有资源版权均属于原作者所有,这里所提供资源均只能用于参考学习用,请勿直接商用。若由于商用引起版权纠纷,一切责任均由使用者承担。更多说明请参考 VIP介绍。
    提示下载完但解压或打开不了?
    最常见的情况是下载不完整: 可对比下载完压缩包的与网盘上的容量,若小于网盘提示的容量则是这个原因。这是浏览器下载的bug,建议用百度网盘软件或迅雷下载。若排除这种情况,可在对应资源底部留言,或 联络我们.。
    找不到素材资源介绍文章里的示例图片?
    对于PPT,KEY,Mockups,APP,网页模版等类型的素材,文章内用于介绍的图片通常并不包含在对应可供下载素材包内。这些相关商业图片需另外购买,且本站不负责(也没有办法)找到出处。 同样地一些字体文件也是这种情况,但部分素材会在素材包内有一份字体下载链接清单。
    悠哉网 WWW.YOOZAI.NET
    悠哉网,用户消费首选的网站,喜欢你就悠哉一下。

    发表评论

    • 940会员总数(位)
    • 39853资源总数(个)
    • 58本周发布(个)
    • 12 今日发布(个)
    • 331稳定运行(天)

    提供最优质的资源集合

    立即查看 了解详情