银联POS机：如何应对被315曝光的智能POS安全风险？

如何应对被315曝光的智能POS安全风险？

来源：移动支付网 2016-3-23 14:32:01

315晚会曝光的某款“智能POS”成了盗卡神器，消费者的银行卡一旦在该刷卡器上消费过一次之后，不法分子从此就能轻松地伪造交易，不断从这张卡上消费扣款。

智能POS机

智能POS是近年POS行业的明星产品，就像iPhone等智能手机颠覆传统手机改变了消费者的生活方式，智能POS也将颠覆传统POS，改变商家未来做生意的方式。在智能POS进入爆发式增长的前夜，央视曝光的“智能POS”安全漏洞到底是怎么回事?将会对智能POS行业产生什么样的影响?未来如何防范? 我们来听一听智能POS行业领导厂商上海慧银的创始人朱凯申对此如何解读。

安全风险智能手机和刷卡器

首先要分清市面上的两种智能POS模式，一种是分离式的，由一台普通的智能手机和一台名片大小的刷卡器组成;一种是一体式的，看起来和传统POS机一样专业，有集成的刷卡槽、小票打印机等，只是屏幕变得更大，是大家熟悉的智能手机操作界面，更加时尚。

从视频上看，央视曝光的智能POS属于前一类，而且攻击者所使用的刷卡器是知名厂商的产品，并通过了银联检测，那么问题出在哪个环节?朱凯申认为，智能手机和刷卡器两个环节都出现了安全风险。

智能手机不安全

收银员或老板的智能手机上需要安装一个APP才能和刷卡器一起完成交易。而收银员的手机一旦开始受理银行卡交易，它立刻将成为黑客眼里的肥羊，这比攻击剁手一族的手机的经济价值大几十上百倍。

黑客在这个app中嵌入后门甚至控制整个手机之后，所有操作的收银操作都可以被截取，显示内容也可以被篡改，此时收银员如同被蒙住眼睛、缚住手脚，他所输入的付款金额、看到的打印小票都可能是黑客程序制造的假象，真正送POS机领取到刷卡器的操作指令到底是查询还是扣款，送到银行后台的交易指令是10.00元还是 1000元，甚至有些数据是不是被悄悄送到了黑客的服务器等等，都细思极恐。

在这种分离式的智能POS的工作模式中，即使刷卡器通过了银联认证，但是它和收银员之间永远站着一个黑客，整个交易不仅在裸奔，而且是一个裸奔的木偶，收银员好像是戴上了被黑客控制的VR头盔和手套，他感觉到的是一个正常的刷卡交易，实际却是在配合黑客完成盗刷流程。这个环节是该模式天生的技术缺陷，无法克服。

刷卡器助纣为虐

由于是分离式的产品模式，即使刷卡器本身通过了银联认证并且足够安全，但是它不能对完整的交易流程进行控制，只能保护其中的一段，盔甲只带了一半。并且，刷卡器是一个哑终端，大部分用户交互界面还是在不安全的智能手机上完成的，它不光没有尽到保护者的职责，本身也成为手机安全漏洞的受害者，被黑客程序欺骗和操弄，乖乖地提供银行卡数据和加密服务，帮助黑客顺利完成虚构交易。

虽然在中国银联相关规范中，对如何使用刷卡器有明确的指导，比如交易报文只能在刷卡器中打包，不可以由手机中的app来打包。如果完全遵循这些指导原则，安全风险会大大缓解，但是迫于市场竞争的压力和支付创新产品快速迭代的需求，这些指导原则在实际应用中很难被一一遵守，导致形同虚设，城门大开。

而且这种模式打着符合银联认证的旗号，增加了对普通商家和消费者的欺骗性，使得黑客行为更加容易得手。刷卡器环节本身是无辜的，主要是使用和管理上的漏洞，但由于监管困难，导致它反而为虚假交易提供了合法性掩护。

个人POS机行业影响一体式和安全防护

那么此次315晚会暴露出的问题对智能POS行业的健康发展有什么影响?

一体式智能POS模式成为主流

其实，一体式智能POS和基于刷卡器的分离式智能POS都是2012年前后几乎同期开始发展的。刷卡器模式由于其短平快的产品特点，更早投入市场应用，但是由于上述的天生缺陷和安全管理难度，迟迟不能进入主流的支付市场。

相反，一体式智能POS存在基础性研发工作门槛高、起步投资大，生态链成长周期慢等等问题，在初期一直不被各方面看好。

然而，慧银在确立智能POS方向的第一时间就深刻地认识到这才是未来正确的模式。当时迎难而上选择这个方向，既是基于多年前沿性行业研发带来的判断力，也是基于团队多年核心技术积淀和投资人信任带来的信心，更是基于抓住智能POS的变革机遇颠覆国际厂商的雄心。经过3年卧薪尝胆，已经攻克所有的技术难题，得到国内和国际银行卡组织最高级别的双重安全认证，大量的真实交易运行稳定，产品系列完整。而且随着出货量的稳步上升，性价比快速提升，为大批量替代数千万传统POS做好了准备。

为智能POS的规范管理给予前车之鉴

警示行业在推进主流智能POS产业时，不能重演刷卡器模式所暴露出的安全风险。就如上述分析，安全漏洞的根本性源头在于智能手机的操作系统是不安全的，如果仅仅把普通智能手机模块和刷卡器安全模块集成到一个壳子里面，那么从安全的角度来讲，它和分离式的刷卡器是一样的。所有环节的风险仍然存在，黑客仍然可以肆无忌惮，甚至由于外形的一体化和专业化，对普通收银员和消费者的欺骗性更大。

所以真正的智能POS应该有整体的安全防护设计。即使产品内部可以划分成多个功能模块和不同安全区域，比如智能手机模块、安全模块和读卡模块等等，但是不能把安全等同于其中某一个模块的安全。而整机安全，特别是操作系统的安全，是最基本的防线。构建一个完整连续的防线，做到没有任何缝隙给黑客攻击以落脚之处，才能让大家安心地使用，才能保障整个行业的健康发展。

卡拉合伙人免费代理 pos机怎么用一清POS机

拉卡拉POS机免费申请，免费办理，卡拉合伙人，添加QQ/微信：191506129 备注：POS机！

本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，请发送邮件至191506129@qq.com 举报，一经查实，本站将立刻删除。
如若转载，请注明出处：https://www.hhrkala.cn/48027.html

银联POS机：如何应对被315曝光的智能POS安全风险？

相关推荐