在去年首次发现某些信用卡中的漏洞之后，ETH研究人员现在找到了一种使其他支付卡的PIN码更智能的方法。

使用信用卡或借记卡进行非接触式付款非常容易，并且在当前的大流行中被证明特别有用。为了提高安全性，用户必须输入一定数量以上的PIN码（瑞士通常为80瑞士法郎），至少这是理论。正如苏黎世联邦理工学院信息安全小组的三位研究人员所能证明的那样，某些卡可以绕开这些安全措施。

研究人员首次能够在2020年夏天使用Visa卡来记录如何在不使用PIN码的情况下使用信用卡。该团队现已披露，使用其他类型的支付卡（即万事达卡和Maestro）可以进行另一种绕行。

研究人员使用的方法基于“中间人”原则，其中攻击者利用两个通信伙伴（在这种情况下为卡和卡终端）之间交换的数据。为了复制这种效果，研究人员使用了他们创建的Android应用程序和两部支持NFC的手机。

该应用程序错误地向卡终端发出信号，指示不需要PIN即可授权付款，并且卡所有者的身份已得到验证。最初，该方法仅适用于VISA卡，因为其他提供商使用了不同的协议（协议控制数据传输）。

信用：苏黎世联邦理工学院

在两个方面，安全措施不如人意

乍一看，绕过PIN码验证步骤的第二个想法看起来很简单：“我们的方法使终端机误以为万事达卡是VISA卡，”信息安全小组工作的Jorge Toro解释说，他是研究论文的作者。

Toro进一步补充说，现实要比听起来复杂得多，必须同时运行两个会话才能使它正常工作：卡终端执行VISA交易，而卡本身执行万事达卡交易。研究人员在由四家不同银行发行的两张万事达信用卡和两张Maestro借记卡上使用了这些方法。

研究人员发现发现后立即通知万事达卡。他们能够通过实验确认万事达卡实施的防御措施是有效的。“与公司合作，这既令人愉快又令人兴奋，” Toro解释道。万事达卡更新了相关的保护措施，并要求研究人员再次尝试以相同的方式攻击支付过程，但这次失败了。研究人员将在八月的USENIX Security '21研讨会上向他们的论文介绍该方法的完整概述。

EMV标准是错误的根源

非接触式支付卡中发现的安全漏洞主要归因于EMV，EMV是适用于此类卡的国际协议标准。这套规则中的逻辑错误很难检测到，特别是考虑到该标准的长度超过2,000页。ETH研究人员在他们的项目网站上强调，由于对人类来说过程太复杂，因此必须越来越多地自动审查此类系统。