|
徐州北大青鳥快訊：谷歌爆支付安全漏洞，各方表態(tài)不一 谷歌號(hào)稱其近場(chǎng)通訊（NFC）系統(tǒng)可以將手機(jī)轉(zhuǎn)變成信用卡，但據(jù)最新消息稱，只要遭到暴力破解型攻擊，這個(gè)系統(tǒng)就可以被攻破。這一消息引發(fā)了業(yè)界對(duì)谷歌錢包安全性的質(zhì)疑。 更為驚人的是安全廠商研究發(fā)現(xiàn)，谷歌的近場(chǎng)通訊支付系統(tǒng)中存在一個(gè)安全漏洞，可能會(huì)導(dǎo)致已經(jīng)root過權(quán)限的Android設(shè)備在遭到暴力破解型攻擊時(shí)泄露用戶谷歌錢包的PIN碼。安全廠商Zvelo已經(jīng)發(fā)現(xiàn)，網(wǎng)絡(luò)罪犯可以通過窮舉的碼搜索的方法獲得谷歌錢包的PIN碼，然后利用啟用了谷歌錢包功能的Android手機(jī)購物。Zvelo將這個(gè)問題報(bào)告給谷歌之后，谷歌已經(jīng)證實(shí)了這一漏洞的存在，并且同意迅速采取措施來解決它。谷歌錢包是美國市場(chǎng)上的第一個(gè)面向公眾開放的近場(chǎng)通訊付費(fèi)服務(wù)，但是只能在Sprint網(wǎng)絡(luò)上的三星Galaxy Nexus S 4G手機(jī)上使用。 用戶可以利用安裝了近場(chǎng)通訊支付系統(tǒng)的手機(jī)在實(shí)體店付費(fèi)，他們只需將手機(jī)對(duì)準(zhǔn)PayPass讀卡裝置即可完成支付。近場(chǎng)通訊并不僅限于智能手機(jī)，谷歌錢包與萬事達(dá)公司達(dá)成了協(xié)議，后者已經(jīng)在某些信用卡中安裝了近場(chǎng)通訊芯片，PayPass讀卡裝置也是由萬事達(dá)開發(fā)出來的。業(yè)界一直對(duì)近場(chǎng)通訊技術(shù)的安全性持質(zhì)疑態(tài)度，而且其他無線供應(yīng)商如AT&T、Verizon和T-Mobile目前都沒有允許谷歌錢包在它們的智能手機(jī)上使用。（但這可能是因?yàn)樗鼈冋陂_發(fā)自己的近場(chǎng)通訊支付系統(tǒng)。）然而，由于Verizon版三星Galaxy Nexus內(nèi)置了近場(chǎng)通訊技術(shù)，因此它也可以安裝谷歌錢包應(yīng)用軟件。至于安全性問題，由于谷歌錢包的PIN信息是保存在電話內(nèi)而不是近場(chǎng)通訊芯片上，因此這也不是一個(gè)特別可怕的安全問題。 Zvelo高級(jí)工程師喬舒亞魯賓（Joshua Rubin）在一篇博客文章中表示：“PIN只可能是一個(gè)4位碼，因此暴力破解法只需計(jì)算最多1萬種SHA256碼組合即可。”SHA指的是安全散列算法（Secure Hash Algorithm），它是一種密碼散列函數(shù)。魯賓稱，雖然谷歌錢包只允許用戶在輸入PIN碼時(shí)出5次錯(cuò)，超過5次就會(huì)自動(dòng)關(guān)閉手機(jī)，但是這種暴力破解法一次錯(cuò)都不用犯就可找到正確的PIN碼。據(jù)Zvelo稱，解決這個(gè)問題的唯一辦法是將PIN驗(yàn)證轉(zhuǎn)移到安全設(shè)備（SE）或近場(chǎng)通訊芯片上。原因是，這是一項(xiàng)重要業(yè)務(wù)，它可能要求由銀行而不是谷歌來負(fù)責(zé)PIN碼的安全性。 銀行們也許應(yīng)根據(jù)與ATM機(jī)PIN碼安全有關(guān)的政策規(guī)定接受大量的審查。 徐州北大青鳥認(rèn)為對(duì)于廣大用戶來說，只要沒有root過手機(jī)的權(quán)限，就不用擔(dān)心這個(gè)問題。即便用戶root過手機(jī)權(quán)限，只要采取一些其他的安全措施，包括設(shè)置鎖屏密碼、不要將手機(jī)丟失等，那就沒什么問題。
 |
