苹果和谷歌（尤其是 Visa）上周给了我们又一个例子，说明安全性和便利性如何经常相互矛盾。 看起来他们选择了方便。
最新一期仅针对一部分 iPhone 和 Android 用户——特别是那些使用手机进行公共交通支付的用户。 如果你想一想地铁在大城市的运行方式（我将以纽约市为例），它们需要极快的速度。 在付款上地铁之前使用面部识别或输入 PIN 码会大大减慢队伍的速度。
Apple、Google 和 Visa 没有让身份验证更早地发生——比如，可能在交易后五分钟内——或将过程加速到瞬间，苹果、谷歌和 Visa 显然选择放弃任何有意义的身份验证。 （注意：我主要关注 Visa，因为它的漏洞仍然存在。万事达卡和其他公司已经修补了这个漏洞。）
[通过 Computerworld 的时事通讯了解最新的 IT 思想领导力、见解、操作方法和分析。 ]
Positive Technologies 的安全研究人员测试了这些手机并发现了问题。
Positive 在一份声明中说：“这些漏洞允许攻击者使用被盗的智能手机进行无限制的购买，这些智能手机具有启用的快速传输方案，不需要解锁设备即可进行支付。” “在 2021 年 6 月之前，可以在任何 PoS 终端进行购买，而不仅仅是在公共交通工具上。 在 iPhone 上，即使手机电池没电也可以进行支付。 在 2019 年之前，Apple Pay 和 Samsung Pay 不允许付款，除非手机使用指纹、面部 ID 或 PIN 码解锁。 但今天，通过使用公共交通方案或 Apple 的 Express Transit 模式，这已成为可能。”
Positive 研究员 Timur Yunosov 在接受采访时表示，风险仍然存在，但根据支付卡品牌（Visa、MasterCard、American Express 等）和设备类型的组合而有所不同。
“如果你在 Apple Pay 上使用 Visa 卡，任何人都可以拿着你的手机——甚至是没充电的——去奢侈品店用你的手机买东西。 在 2021 年 6 月之前，Samsung Pay/万事达卡对也可能发生同样的情况，”上周在欧洲黑帽大会上发表讲话的尤诺索夫说。 “但在某些时候，他们默默地解决了这个问题。 Google Pay 面临的风险最大。 如果启用了 NFC，有人甚至可以在短时间内克隆您的 MasterCard 卡，并在以后使用它购买商品。 即使在万事达卡做出所有更改之后，仍然存在针对丢失的移动钱包（苹果、三星、Visa、万事达卡、美国运通卡）进行欺诈的可能性，尽管它需要特殊设备，例如修改后的 POS 或直接访问交易流。 “
鉴于这涉及被盗设备，这就提出了一个棘手的 IT 问题。 对于许多企业来说，当设备被标记为“可能被盗”时，标准 IT 协议是远程擦除它，理论上消除任何进一步的风险。 但如果手机未连接到互联网、关机或电池没电，这可能不起作用。
“如果手机没有充电，仍然可以用它来进行身份识别。 所以信息不会从设备上擦除。 它还取决于擦除机制是否包括从安全系统中删除记录（例如，属于员工的设备数据库），这将是安全的，”尤诺索夫说。 “否则，它可能会使整个系统处于危险之中。 在我们看到这些系统在大公司中实施之前，这一切都只是猜测。”
有一些好消息——尽管理论上是暂时的。 手机上的其他敏感数据不应受到威胁。 如果是，假设可以建立正确的远程擦除连接，远程擦除应该可以解决问题。
但是，正如 Yunosov 指出的那样，这个缺陷可能会变得更糟。 Apple 正在准备一系列新的“增值服务”，例如进入安全建筑物的方式。 为了速度和方便，它也可能使用相同的流程进行交通支付。 这增加了潜在受害者的范围。
另一个关键问题：如果小偷确实使用手机进行了欺诈性购买，会发生什么情况？ 证明这些指控是欺诈性的可能很棘手。 “要向你的发卡银行证明你没有为这些东西付款，而且手机没有用你的指纹或 PIN 码解锁，将是极其困难的，”尤诺索夫说。
如果有安全摄像头拍摄购买者的照片，或者受害者可以证明盗窃时他们在其他地方，一些受害者可能会很幸运。
Apple 似乎可以在这里利用 Apple Watch。 如果您的 Apple Watch 不断记录它与 iPhone 的距离怎么办？ 如果在预定距离处，手表允许用户暂时或永久关闭手机，会怎样？ 给用户暂时禁用的选项很重要； 这就是丢失手机和被盗手机之间的区别所在。
手表还可以告诉用户手机的确切位置——或者至少是最后一次检测到手机的位置。 该信息将帮助用户确定手机是简单地放错了地方还是可能被盗了。
至少苹果、谷歌和金融机构需要记住，便利不应以安全为代价。 因为放慢地铁线路可能不方便，但处理欺诈和盗窃更糟糕。
