Eksperci ds. Bezpieczeństwa ostrzegają przed włamaniem do Apple Pay Express Transit, które umożliwia duże nieautoryzowane płatności Visa z zablokowanych iPhone'ów

Naukowcy z Wielkiej Brytanii wykazali, jak duże nieautoryzowane płatności zbliżeniowe mogą być dokonywane na zablokowanych iPhone'ach poprzez wykorzystanie Apple Pay 's Express Transit po skonfigurowaniu z Visa.

Express Transit to usługa ‌Apple Pay‌ funkcja umożliwiająca dokonywanie płatności metodą „dotknij i idź” przy barierkach biletowych, eliminując potrzebę uwierzytelniania za pomocą Face ID, Touch ID lub kodu dostępu. Aby korzystać z usługi Express Transit, nie trzeba wybudzać ani odblokowywać urządzenia.

Badacze informatyki z uniwersytetów w Birmingham i Surrey pokazali BBC jak działa atak, wykorzystując słabość systemu zbliżeniowego Visa poprzez użycie niewielkiego elementu dostępnego na rynku sprzętu radiowego, który jest umieszczony w pobliżu telefonu i maskuje barierę biletową.

Telefon z Androidem, na którym uruchomiono aplikację opracowaną przez naukowców, służy do przekazywania sygnałów z sieci iPhone do terminala płatności zbliżeniowych i modyfikuje komunikację tak, aby zachowywał się tak, jakby ‌iPhone‌ została odblokowana, a płatność autoryzowana.

Demonstrując atak, badacze dokonali płatności zbliżeniowej Visa w wysokości 1000 funtów z zablokowanego ‌iPhone‌. Naukowcy pobierali pieniądze tylko z własnych kont. Badacze stwierdzili, że używany telefon z Androidem i terminal płatniczy nie muszą znajdować się w pobliżu ‌iPhone‌ tak długo, jak istnieje połączenie z internetem.

Apple powiedział BBC sprawa dotyczyła systemu wizowego.

jak uzyskać nowy identyfikator jabłka?

„Bardzo poważnie traktujemy każde zagrożenie dla bezpieczeństwa użytkowników” – powiedział Apple. „Jest to problem związany z systemem Visa, ale Visa nie wierzy, że tego rodzaju oszustwa mogą mieć miejsce w prawdziwym świecie, biorąc pod uwagę wiele warstw zabezpieczeń. W mało prawdopodobnym przypadku, gdy dojdzie do nieautoryzowanej płatności, Visa dała jasno do zrozumienia, że ​​posiadacze ich kart są chronieni polityką zerowej odpowiedzialności Visa”.

Naukowcy stwierdzili, że najłatwiej będzie przeprowadzić atak na skradziony iPhone‌, chociaż nie ma dowodów na to, że haker był używany w środowisku naturalnym. Visa twierdzi, że płatności są bezpieczne, a tego typu ataki poza laboratorium były niepraktyczne.

czym jest cyfrowa korona zegarka Apple?

„Karty Visa połączone z Apple Pay Express Transit są bezpieczne, a posiadacze kart powinni nadal z nich bezpiecznie korzystać” – powiedział rzecznik Visa. 'Odmiany schematów oszustw zbliżeniowych były badane w warunkach laboratoryjnych od ponad dziesięciu lat i okazały się niepraktyczne w realizacji na dużą skalę w rzeczywistym świecie.'

Naukowcy powiedzieli: BBC po raz pierwszy zwrócili się do Apple i Visa ze swoimi obawami prawie rok temu, ale pomimo „użytecznych” rozmów problem nie został jeszcze rozwiązany. Badacze przetestowali również Express Transit z kartą Mastercard, ale odkryli, że sposób, w jaki działa jej bezpieczeństwo, zapobiegł atakowi.

'Ma pewną złożoność techniczną' - powiedziała dr Andreea Radu z Uniwersytetu w Birmingham, która kierowała badaniami. „Ale czuję, że korzyści z ataku są dość wysokie. Za kilka lat może to stać się prawdziwym problemem”.

Dr Tom Chothia, również z University of Birmingham, doradzał ‌iPhone‌ użytkowników, aby sprawdzić, czy mają kartę Visa skonfigurowaną do korzystania z usługi Express Transit, a jeśli tak, wyłączyć ją. 'Nie ma potrzeby korzystania z ‌Apple Pay‌ użytkownicy są w niebezpieczeństwie, ale dopóki Apple lub Visa tego nie naprawią – powiedział.