Баги Apple Pay, Samsung Pay и Google Pay позволяют тратить деньги жертв

Баги Apple Pay, Samsung Pay и Google Pay позволяют тратить деньги жертв

Баги Apple Pay, Samsung Pay и Google Pay позволяют тратить деньги жертв

На знаменитой конференции Black Hat Europe специалисты компании Positive Technologies рассказали о выявленных уязвимостях в системах мобильных платежей Apple Pay, Samsung Pay и Google Pay. По словам Тимура Юнусова, бреши позволяют тратить неограниченное количество средств с помощью украденных смартфонов.

Есть одно условие, на которое обращают внимание эксперты, — на устройствах должны быть активированы режимы оплаты общественного транспорта, при использовании которых не требуется разблокировка девайсов.

Речь идёт о функции public transport schemes или «режим транспортной экспресс-карты». До введения этого режима в эксплуатацию Apple Pay и Samsung Pay не позволяли оплачивать услуги без разблокировки смартфона.

Как отметил Тимур Юнусов из Positive Technologies, активация транспортной карты подразумевает использование смартфона для оплаты без аутентификации и, что ещё важнее, в любом регионе. Другими словами, украденный девайс не будет привязан к конкретной местности и не потребует для оплаты разблокировки.

Исследователи провели тесты, в ходе которых последовательно увеличивалась сумма единоразового списания. Зафиксированный потолок — 101 фунт стерлинга. Тем не менее банки, как правило, не накладывают ограничений на списания с помощью Apple Pay и Samsung Pay, поэтому суммы могут быть существенно больше.

В Positive Technologies отметили одну особенность смартфонов iPhone: эти устройства позволяют оплачивать услуги даже разряженными. Эксперты порекомендовали разработчикам уделить больше внимания проблемам аутентификации и проверке правильности полей.

Основными недостатками Тимур Юнусов назвал путаницу в криптограммах AAC/ARQC, отсутствие проверки поля суммы для схем общественного транспорта, а также отсутствие проверок целостности поля MCC.

Напомним, что в конце сентября специалисты университетов Бирмингема и Суррея выяснили, что злоумышленник может осуществлять несанкционированные платежи с помощью Apple Pay, если пользователь привязал карту Visa.

Android 17 закручивает гайки: после 20 ошибок ПИН-код уже не перебрать

Google решила всерьез осложнить жизнь тем, кто пытается подобрать ПИН-код к чужому смартфону. В Android 17 компания радикально ужесточила защиту экрана блокировки, сократив допустимое число неверных попыток ввода практически в 90 раз.

В старых версиях системы злоумышленник теоретически мог сделать до 1800 попыток ввода ПИН-кода или пароля в течение пяти лет.

В Android 17 этот лимит сократили всего до 20 попыток. После двадцатой ошибки система полностью перестанет принимать новые варианты.

Ограничения начинают действовать практически сразу. Теперь в первую минуту разрешено лишь шесть неверных попыток, в течение шести минут — семь, за 25 минут — восемь, а за сутки — всего двенадцать.

По мнению Google, прежние лимиты оставляли слишком много пространства для атак. Многие пользователи выбирают простые ПИН-коды, связанные с датой рождения, годовщиной или другими легко угадываемыми комбинациями. Если злоумышленник знает подобную информацию, вероятность успешного подбора заметно возрастает.

Впрочем, о забывчивых владельцах смартфонов тоже подумали. Если пользователь несколько раз подряд случайно вводит один и тот же неправильный ПИН-код, Android 17 не будет считать такие ошибки отдельными попытками. Система распознает повторение и сообщит, что одинаковые неверные комбинации не засчитываются в общий лимит.

Google также немного переработала интерфейс блокировки. Вместо длинных таймеров вроде «Попробуйте снова через 1800 секунд» теперь будут отображаться привычные сообщения наподобие «Попробуйте снова через 30 минут».

Кроме того, на экране блокировки появится кнопка быстрого перехода к восстановлению доступа, чтобы пользователь мог быстрее найти инструкции по восстановлению учетной записи с другого устройства.

Для обычных пользователей изменения будут почти незаметны, а вот любителям подбирать чужие ПИН-коды станет значительно сложнее.

RSS: Новости на портале Anti-Malware.ru