领取POS机:如何应对被315曝光的智能POS安全风险?

如何应对被315曝光的智能POS安全风险?

来源:移动支付网 2016-3-23 14:32:01

领取POS机:如何应对被315曝光的智能POS安全风险?拉卡拉电签POS机

315晚会曝光的某款“智能POS”成了盗卡神器,消费者的银行卡一旦在该刷卡器上消费过一次之后,不法分子从此就能轻松地伪造交易,不断从这张卡上消费扣款。

智能POS是近年POS行业的明星产品,就像iPhone等智能手机颠覆传统手机改变了消费者的生活方式,智能POS也将颠覆传统POS,改变商家未来做生意的方式。在智能POS进入爆发式增长的前夜,央视曝光的“智能POS”安全漏洞到底是怎么回事?将会对智能POS行业产生什么样的影响?未来如何防范? 我们来听一听智能POS行业领导厂商上海慧银的创始人朱凯申对此如何解读。

安全风险智能手机和刷卡器

首先要分清市面上的两种智能POS模式,一种是分离式的,由一台普通的智能手机和一台名片大小的刷卡器组成;一种是一体式的,看起来和传统POS机一样专业,有集成的POS机安装刷卡槽、小票打印机等,只是屏幕变得更大,是大家熟悉的智能手机操作界面,更加时尚。

从视频上看,央视曝光的智能POS属于前一类,而且攻击者所使用的刷卡器是知名厂商的产品,并通过了银联检测,那么问题出在哪个环节?朱凯申认为,智能手机和刷卡器两个环节都出现了安全风险。

智能手机不安全

收银员或老板的智能手机上需要安装一个APP才能和刷卡器一起完成交易。而收银员的手机一旦开始受理银行卡交易,它立刻将成为黑客眼里的肥羊,这比攻击剁手一族的手机的经济价值大几十上百倍。

黑 客在这个app中嵌入后门甚至控制整个手机之后,所有操作的收银操作都可以被截取,显示内容也可以被篡改,此时收银员如同被蒙住眼睛、缚住手脚,他所输入 的付款金额、看到的打印小票都可能是黑客程序制造的假象,真正送到刷卡器的操作指令到底是查询还是扣款,送到银行后台的交易指令是10.00元还是 1000元,甚至有些数据是不是被悄悄送到了黑客的服务器等等,都细思极恐。

在这种分离式的智能POS的工作模式中,即使刷卡器通过了银联认证,但是它和收银员之间永远站着一个黑客,整个交易不仅在裸奔,而且是一个裸奔的木偶,收银员好像是戴上了被黑客控制的VR头盔和手套,他感觉到的是一个正常的刷卡交易,实际却是在配合黑客完成盗刷流程。这个环节是该模式天生的技术缺陷,无法克服。

刷卡器助纣为虐

由 于是分离式的产品模式,即使刷卡器本身通过了银联认证并且足够安全,但是它不能对完整的交易流程进行控制,只能保护其中的一段,盔甲只带了一半。并且,刷 卡器是一个哑终端,大部分用户交互界面还是在不安全的智能手机上完成的,它不光没有尽到保护者的职责,本身也成为手机安全漏洞的受害者,被黑客程序欺骗和 操弄,乖乖地提供银行卡数据和加密服务,帮助黑客顺利完成虚构交易。

虽然在中国银联相关规范中,对如何使用刷卡器有明确的指导,比如交易报文只能在刷卡器中打包,不可以由手机中的app来打包。如果完全遵循这些指导原则,安 全风险会大大缓解,但是迫于市场竞争的压力和支付创新产品快速迭代的需求,这些指导原则在实际应用中很难被一一遵守,导致形同虚设,城门大开。

而且这种模式打着符合银联认证的旗号,增加了对普通商家和消费者的欺骗性,使得黑客行为更加容易得手。刷卡器环节本身是无辜的,主要是使用和管理上的漏洞,但由于监管困难,导致它反而为虚假交易提供了合法性掩护。

行业影响一体式和安全防护

那么此次315晚会暴露出的问题对智能POS行业的健康发展有什么影响?

一体式智能POS模式成为主流

其实,一体式智能POS和基于刷卡器的分离式智能POS都是2012年前后几乎同期开始发展的。刷卡器模式由于其短平快的产品特点,更早投入市场应用,但是由于上述的天生缺陷和安全管理难度,迟迟不能进入主流的支付市场。

相反,一体式智能POS存在基础性研发工作门槛高、起步投资大,生态链成长周期慢等等问题,在初期一直不被各方面看好。

然而,慧银在确立智能POS方向的第一时间就深刻地认识到这才是未来正确的模式。当时迎难而上选择这个方向,既是基于多年前沿性行业研发带来的判断力,也是基于团队多年核心技术积淀和投资人信任带来的信心,更是基于抓住智能POS的变革机遇颠覆国际厂商的雄心。经过3年卧薪尝胆,已经攻克所有的技术难题,得到国内和国际银行卡组织最高级别的双重安全认证,大量的真实交易运行稳定,产品系列完整。而且随着出货量的稳步上升,性价比快速提升,为大批量替代数千万传统POS做好了准备。

为智能POS的规范管理给予前车之鉴

警 示行业在推进主流智能POS产业时,不能重演刷卡器模式所暴露出的安全风险。就如上述分析,安全漏洞的根本性源头在于智能手机的操作系统是不安全的,如果 仅仅把普通智能手机模块和刷卡器安全模块集成到一个壳子里面,那么从安全的角度来讲,它和分离式的刷卡器是一样的。所有环节的风险仍然存在,黑客仍然可以 肆无忌惮,甚至由于外形的一体化和专业化,对普通收银员和消费者的欺骗性更大。

所以真正的智能POS应该有整体的安全防护设计。即使产品内部可以划分成多个功能模块和不同安全区域,比如智能手机模块、安全模块和读卡模块等等,但是不能把安全等同于其中某一个模块的安全。而整机安全,特别是操作系统的安全,是最基本的防线。构建一个完整连续的防线,做到没有任何缝隙给黑客攻击以落脚之处,才能让大家安心地使用,才能保障整个行业的健康发展。

拉卡拉支付 POS机申请 卡拉合伙人

拉卡拉POS机免费申请,免费办理,卡拉合伙人,添加QQ/微信:191506129  备注:POS机

本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容, 请发送邮件至191506129@qq.com 举报,一经查实,本站将立刻删除。
如若转载,请注明出处:https://www.hhhrkala.com/13697.html