现在位置 > 首页 > 百度新闻
银联闪付被隔空盗刷,是不是简单的BUG?
来源:百度开户|北京百度开户|百度竞价开户|QQ3030250005    时间:2019-3-16 16:20:40    浏览:48  次

今年央视“3.15”曝光了银联闪付卡默认开通,存在被盗刷的风险,此前也有有闪付卡被“隔空”、“隔物”盗刷的案例。

分析银联卡的闪付功能,初看明显存在BUG。

先看微信、支付宝的支付功能,有三个特点:

一是不经意间就完成了安全确认。手机机主掏出手机,点开付款码,这就是一个支付意愿的确认过程(排除手机被盗、机主被控制)。

二是完全基于图像识别。扫码确认,除了光学上的联系,收付双方没有任何信息交流。

三是支付码是一次性。即便不法分子拍下一个支付码,这个码再次出现的概率极低。围棋棋盘是19×19,不考虑围棋规则的可能变化数是361的阶乘,算出来的数字大概后面挂着六、七百的零;最简单的二维码是21×21点阵,而且还可以再扩大,还可以加上用户预设的特征码(指纹、头像,等等),所以,重复的概率极低。

对比之下,银联闪付卡就明显存在BUG:

一是没有基于图像识别。按照百度搜索的介绍,POS机应该识别银联卡的闪付标志后,才能启动闪付功能。但是,从试验的情况看,这一点似乎完全没有用到。

二是闪付功能跳过了芯片加密。银联芯片卡在使用时,需要插卡、读卡,那个芯片应该有加密、解密的功能。其加密、解密功能的实现,按照我的理解不是简单存储、输出一个密匙,而是把芯片作为信息流上的一扇安全转换门。闪付卡的感应支付功能,明显是跳过了芯片的加密保护功能。

三是还是依赖磁感应。除了磁感应,我想不出银联闪付卡如何向外释放信息;而磁条卡的不安全,已经不用多说了。

基于上述三点,银联闪付卡被“隔空”、“隔物”盗刷,一点也不奇怪了。

上述问题看起来简单,例如,强调POS机确认银联卡的闪付标志,是不是就解决问题了?非也!

闪付标志是一个非常简单的图像,各个银行的都一样,只要不法分子改动POS机的运行机制(例如,改动闪付标志是否读取的判读代码),或者直接在扫描窗口前加个闪付标志,就可以绕过这一限制;进而,跳过芯片加密功能,最终利用磁感应对卡进行操作。

那么,把闪付标志做得更复杂,例如,在银联卡上加上条码、二维码、头像、指纹,在强调POS机的读取、确认,如何?这个应该有效果,但成本很高,需要大量的更换银行卡、POS机;银联在移动支付上踯躅前行,就是因为长期形成的用户过于庞大,升级代价太高。

更重要的是,从安全的角度看,银行卡存在硬伤:一是所有的信息(无论是否加密),都是以固定的形式保存在卡上的,无法改变;二是无法摆脱对磁感应的依赖,也就是时时在向外界释放本卡的信息;三是必须在便捷和芯片加密之间做出选择。

从根本上看,银联卡的困境,就在于其芯片+磁感应+闪付标志的支付模式,比其二维码太落后了,再怎么折腾也不行!解决之道只有一个,把微信钱包、支付宝等第三方支付都给收了!要啥网联啊?只有银联!

方法也很简单,而且也在实施。例如,第三方支付的备付金不再赚利息,这招够狠!断了第三方支付很大的一条财路。其实,还可以更狠。现在,很多第三方支付都用两种选择,一是第三方的钱包,二是直接挂银行卡、信用卡,如果对第三方支付托管的备付金收取管理费,这招足以令“二马”放弃在移动支付上的投入,从而导致第三方的钱包逐步缩小,直接挂卡成为主流。这样一来,银联大功告成,神马“云闪付”都可以不搞了。