三星支付存在漏洞可导致黑客进行交易劫持

西班牙安全研究员Salvador Mendoza发现了Samsung Pay的安全漏洞，这个漏洞一旦被利用，黑客将可以利用另一个设备来对受害者进行交易劫持。

基于非接触式的支付系统，是许多较新的三星手机的标配，工作原理是将信用卡信息转化成为Token，使黑客不能从设备中盗取信用卡。

但是，这些Token并没有人们想象中的那么安全。

Salvador Mendoza发现Token的转化程度有限，而且Token的序列是可预测的，在8月4日拉斯维加斯的黑帽大会上，他解释道，在支持Samsung Pay的应用程序第一次生成Token的时候，Token转化的安全性就大大地降低了，也就是说，接下来生成的Token将会很大程度地被预测到。

这些Token是可以被盗取的，而且搭配其他的硬件就可以发起欺诈性的交易了，且漏洞的利用不存在任何的限制。

Salvador Mendoza说，攻击者可以从三星设备中盗取Token，然后无限制地利用，他把自己的Token发送给了一个远在墨西哥的朋友，然后这个墨西哥的朋友搭配欺诈硬件成功购买到了商品，即使Samsung Pay根本还没支持墨西哥的用户。

在我看来，说了那么多，最大的问题就是，如何从三星设备中盗取Token，然而Salvador Mendoza表示，这非常简单。

利用过程

Salvador Mendoza弄了一个小东西绑在了自己的手臂上，利用无线劫持MST（磁力安全传输），然后当他拿起了任何人的三星手机，这台手机的Token就会通过电子邮件发送到Salvador Mendoza的收件箱。所以，你可以将这个小东西集成到另一台手机上去，当然，你也可以将这个硬件隐藏在一个普通的读卡器当中，比如说那些商店的信用卡刷卡器。

你也可以把Token写进一个开源的无线磁场劫持装置MagSpoof里面，就是这么简单，你也可以购买这个设备来玩玩。

Salvador Mendoza说，所有的信用卡、借记卡和预付卡的附属银行都会受到这类劫持攻击的影响，但是他也表示，gift cards将不会受到影响，因为Samsung Pay是提供一个条形码来进行扫描的，而不是发送出信号。

三星官方并没有直接表示他们要修复这个缺陷，三星的官方发言人表示：“Samsung Pay内置最先进的安全功能，保证所有的交易都会进行加密和妥善保存，并结合了三星的Knox安全平台。在任何时刻发现了潜在的漏洞，我们都将迅速采取行动，调查和解决问题。”

来自FreeBuf

三星支付存在漏洞可导致黑客进行交易劫持相关推荐

McAfee Agent漏洞可导致黑客以Windows 系统权限运行代码
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士 McAfee Enterprise(现更名为 Trellix)修复了McAfee Agent 软件 Windows 版中的一个漏洞(CVE-20 ...
LibreOffice、OpenOffice 漏洞可导致黑客欺骗已签名文档
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士 LibreOffice 和 OpenOffice 推出更新,修复了一个漏洞,它可导致攻击者操纵看似由可信来源签名的文档. 尽管该漏洞被评级为中危 ...
严重漏洞可导致 Juniper 设备遭劫持或破坏
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码安全卫士网络和网络安全解决方案提供商 Juniper Networks 最近修复了一个严重漏洞,可导致攻击者远程劫持或破坏受影响设备. 该漏洞 ...
全球最大的NFC 交易平台OpenSea严重漏洞可使黑客窃取钱包密币
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士全球最大的不可替代令牌 (NFT) 市场 OpenSea 修复了一个严重漏洞.攻击者发送一个特殊构造的令牌就能够窃空受害者的密币,从而打开了新的 ...
iPhone 12 mini大幅砍单苹果可能又要因为屏幕而向三星支付违约金
3月24消息,据国外媒体报道,在此前的报道中,外媒曾提到,苹果削减了上半年iPhone的生产订单,由9600万部削减到了7500万部,主要是因为iPhone 12系列中iPhone 12 mini的销 ...
CPU漏洞可导致RSA被攻击
[赛迪网讯]消息,据国外媒体报道,以色列魏兹曼科学院教授Adi Shamir近日表示,PC处理器在理论上存在的数学漏洞将导致RSA加密算法遭到攻击,从而使全球电子商务陷入灾难. 目前,RSA算法被广泛 ...
多个Wyze 摄像头漏洞可导致攻击者接管设备并访问视频
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士热门 Wyze Cam 设备中存在三个漏洞,可导致恶意人员执行任意代码.访问摄像头并越权读取SD卡,而距离漏洞初次发现近3年后,越权读取SD卡的 ...
多个漏洞可导致施耐德电气继电器遭重启或设备遭接管
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士施耐德电气公司的某些 Easergy 继电器中存在多个漏洞,可导致黑客禁用电网络的防护措施.该公司已发布补丁. Easergy 中压防护继电器中 ...
多个高危漏洞可导致 Chrome 浏览器被黑
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队谷歌更新 Chrome Web 浏览器,共修复了8个漏洞,其中4个事高危级别:3个是释放后使用漏洞,可导致攻击者在浏览器内存中生成错误 ...

三星支付存在漏洞可导致黑客进行交易劫持

利用过程

三星支付存在漏洞可导致黑客进行交易劫持相关推荐

最新文章

热门文章