Forscher haben einen Fehler in der Funktion der Express-Transit-Funktion von Apple mit Visa-Zahlungskarten entdeckt, die es Hackern ermöglichen könnte, Ihre in Apple Pay eingerichteten Visa-Konten mit Geld zu belasten, selbst wenn Ihr iPhone gesperrt ist.
Laut BBC konnten Forscher der Informatikabteilungen der Universitäten Birmingham und Surrey eine kontaktlose Visa-Zahlung in Höhe von 1.000 £ von ein gesperrtes iPhone, ohne dass eine Autorisierung des Gerätebesitzers erforderlich ist.
Das Problem, das speziell bei Visa-Karten aufzutreten scheint, hat mit Apple Pay Express Transit zu tun, einer Funktion, die Apple in iOS 12 vorgestellt hat und mit der Sie schnell kontaktlos von einem iPhone oder einem Apple bezahlen können Sehen Sie zu, ohne Ihr Gerät zu entsperren oder sogar manuell eine bestimmte Zahlungskarte aufzurufen.
Stattdessen legen Benutzer in ihren iPhone Wallet-und Apple Pay-Einstellungen eine ihrer Zahlungsmethoden fest, die speziell für Express Transit verwendet werden sollen. Wenn ein iPhone oder eine Apple Watch in der Nähe eines Zahlungsterminals für öffentliche Verkehrsmittel geschwenkt wird, wird der entsprechende Fahrpreis automatisch ohne Autorisierung von dieser Zahlungskarte abgezogen.
Dies ist verständlicherweise eine sehr nützliche Funktion für vielbeschäftigte Pendler, und es war schon in Städten von London bis New York eingeführt, wo iPhone-und Apple Watch-Nutzer einfach schnell und einfach auf ihre Geräte tippen können, um ihre Fahrpreise zu bezahlen, und dann sofort weiterfahren.
Für Express Transit ist keine Genehmigung erforderlich für Zahlungen soll das System auch nur für kleinere Transaktionen genutzt werden, die für einen Transittarif typisch wären. Leider scheint sich Apple auf die Zahlungsabwickler zu verlassen, um die notwendigen Maßnahmen zur Betrugsbekämpfung bereitzustellen, und es sieht so aus, als wäre Visa der Herausforderung nicht gewachsen.
‘Ein Problem mit einem Visa-System’
Laut dem BBC-Bericht rollte ein Apple-Sprecher das Problem wieder auf Visas Schultern und sagte, es handele sich um”ein Problem mit einem Visa-System, “ und nicht wirklich Apples Problem.
Obwohl Sie vielleicht denken, dass Apple eine gewisse Verantwortung für die Durchsetzung von Zahlungslimits für Funktionen wie Express Transit übernehmen sollte, ist es auch fair zu sagen, dass dies in diesem Zusammenhang nicht wirklich seine Aufgabe ist Tatsächlich können seine Vereinbarungen mit Visa, Mastercard und anderen Apple sogar daran hindern, an der Autorisierung von Transaktionen beteiligt zu sein, da dies ausschließlich in ihrer Verantwortung liegt.
Die Rolle von Apple besteht einfach darin, die Informationen an das Zahlungsnetzwerk weiterzugeben und diese damit umgehen zu lassen.
Da dieses Problem spezifisch für Visa ist – Forscher testete das gleiche Szenario mit Mastercard, stellte jedoch fest, dass die Art und Weise, wie die Sicherheit funktioniert, den Angriff verhinderte, und andere Quellen haben darauf hingewiesen, dass andere Zahlungsnetzwerke wie American Express ähnliche Schutzmaßnahmen haben.
Die Forscher stellten auch fest, dass sie hat sich vor fast einem Jahr mit diesen Bedenken an Apple und Visa gewandt, und obwohl sie „nützliche“ Gespräche führten, bleibt das Problem ungelöst.
Als von der BBC kontaktiert, spielte Visa das Problem herunter und sagte, dieser Angriff sei „unpraktisch“, da es eine etwas spezielle Ausrüstung und einen sehr engen Kontakt zum iPhone oder zur Apple Watch eines potenziellen Opfers erfordert.
Visa-Karten, die mit Apple Pay Express Transit verbunden sind, sind sicher und Karteninhaber sollten sie weiterhin vertrauensvoll verwenden. Variationen von kontaktlosen Betrugsversuchen werden seit mehr als einem Jahrzehnt in Laborumgebungen untersucht und haben sich in der realen Welt als unpraktisch erwiesen.
Visa
Ein Apple-Sprecher schlug im Grunde vor, dass es Es liegt wirklich an Visa, zu entscheiden, ob dies ein Problem ist oder nicht, und fügt hinzu, dass die Null-Haftungs-Politik des Unternehmens seine Karteninhaber sowieso vor solchen nicht autorisierten Zahlungen schützen würde.
Wir nehmen jede Bedrohung der Sicherheit der Benutzer sehr Ernsthaft. Dies ist bei einem Visa-System ein Problem, aber Visa glaubt nicht, dass diese Art von Betrug in der realen Welt aufgrund der mehreren Sicherheitsebenen wahrscheinlich ist. Für den unwahrscheinlichen Fall, dass eine nicht autorisierte Zahlung erfolgt, hat Visa klargestellt, dass seine Karteninhaber durch die Null-Haftungs-Politik von Visa geschützt sind.
Apple
Funktionsweise
Die Ein Forscherteam demonstrierte den Angriff, indem es Geld von ihren eigenen Konten abnahm, indem sie speziell modifizierte Geräte benutzten, die dem iPhone vorgaukeln, es spreche mit einem Zahlungssystem für öffentliche Verkehrsmittel.
Die Gruppe ging natürlich nicht auf Einzelheiten ein, sagte jedoch, dass alles, was benötigt wird, ein”kleines im Handel erhältliches Funkgerät”und ein Android-Telefon mit einer benutzerdefinierten Anwendung ist.
Das Android-Smartphone leitet die Informationen vom iPhone an ein anderes kontaktloses Zahlungsterminal weiter, das sich in jedem Einzelhandelsgeschäft befinden kann oder das die Kriminellen selbst kontrollieren.
Im Wesentlichen passiert hier, dass das iPhone die Visa-Anmeldeinformationen aufgibt, ohne entsperrt zu werden, da es glaubt, mit einem legitimen Transit-Zahlungsterminal zu kommunizieren. Diese Informationen werden erfasst und in ein legitimes Zahlungsterminal „wiedergegeben“, das so eingestellt werden kann, dass es jeden Betrag berechnet, den die Angreifer festlegen.
Das Telefon und das Zahlungsterminal des Angreifers, die zur Autorisierung der Transaktion verwendet werden, müssen sich auch nicht in der Nähe des iPhones des Opfers befinden, was es möglicherweise viel schwieriger macht, die Quelle des Angriffs aufzuspüren.
Es kann vom iPhone aus auf einem anderen Kontinent sein, solange eine Internetverbindung besteht.
Dr. Ioana Boureanu, University of Surrey
Trotz Visas Beharren darauf, dass die Angriff ist unpraktisch, sagt die leitende Forscherin Dr. Andreea Radu, dass komplexe Angriffe, die im Labor funktionieren, am Ende von Kriminellen verwendet werden, insbesondere wenn es eine große Auszahlung gibt.
Es hat eine gewisse technische Komplexität – aber ich denke, die Belohnungen für den Angriff sind ziemlich hoch. In ein paar Jahren könnten diese zu einem echten Problem werden.
Dr. Andreea Radu, University of Birmingham
So schützen Sie sich
Um das klarzustellen, die Forscher haben diesen Angriff nur in einer Laborumgebung demonstriert, und es gibt keine Beweise dafür, dass es wird derzeit von niemandem ausgenutzt.
Das ist nicht viel anders als die kontaktlosen Kreditkartenangriffe, die seit über einem Jahrzehnt allgemein bekannt sind, außer natürlich, dass eines der Verkaufsargumente von Apple Pay ist, dass sie sicherer sein soll.
Außerdem kann eine physische kontaktlose Karte in eine RFID-geschützte Brieftasche, aber das ist nicht wirklich eine Option für ein iPhone oder eine Apple Watch, die beide auch eher im Freien verwendet werden, als in der Tasche oder Handtasche versteckt.
Wenn Sie befürchten, dass Sie dem zum Opfer fallen könnten, gibt es eine sehr einfache Möglichkeit, sich zu schützen. Vermeiden Sie einfach die Verwendung einer Visa-Karte für Express Transit. So können Sie dies überprüfen:
Öffnen Sie die App Einstellungen auf Ihrem iPhone.Scrollen Sie nach unten und tippen Sie auf Wallet & Apple Pay. Tippen Sie unter ÖPNV-Karten auf Express ÖPNV-Karte. Neben der Karte, die Sie derzeit für Express Transit verwenden, wird ein Kontrollkästchen angezeigt. Tippen Sie auf , um entweder eine alternative Karte auszuwählen, oder tippen Sie auf Keine, um Express Transit vollständig zu deaktivieren.
Wenn Sie eine Apple Watch besitzen, müssen Sie dies ebenfalls überprüfen, da es nicht an die Express-ÖPNV-Einstellung auf Ihrem iPhone gebunden ist:
Öffnen Sie die Watch-App auf Ihrem iPhone.Scrollen Sie nach unten und tippen Sie auf Wallet & Apple Pay. Tippen Sie unter ÖPNV-Karten auf Express-ÖPNV-Karte. Neben der Karte, die Sie derzeit für Express Transit verwenden, wird ein Kontrollkästchen angezeigt. Tippen Sie auf , um entweder eine alternative Karte auszuwählen, oder tippen Sie auf Keine, um Express Transit vollständig zu deaktivieren.
Es besteht auch keine Notwendigkeit, Express Transit aktiviert zu haben, es sei denn, Sie leben in einer Stadt, in der es verfügbar ist, und nutzen regelmäßig das Transitsystem dieser Stadt. In diesem Fall ist die Auswahl von „Keine“ die sicherste Option.
