کشف یک آسیب‌پذیری مربوط به سوءاستفاده از کارت‌های نقدی در سامانه Samsung Pay‌

سالوادور مندوزا، یکی از کارشناسان حوزه امنیت طی اقداماتی نشان داد که می‌توان با سرقت توکن‌های سامانه Samsung Pay، از آن‌ها برای خریدهای کلاهبردارانه سوءاستفاده کرد.

این محقق حوزه امنیت یک اشکال را در سامانه Samsung Pay کشف کرده است که نفوذگران می‌توانند با بهره‌برداری از آن، از راه دور کارت‌های نقدی را بررسی و اطلاعات آن را مورد سوءاستفاده قرار دهند. نفوذگران همچنین می‌توانند با سرقت توکن‌های Samsung Pay، از آن‌ها در یک دستگاه دیگر استفاده کرده و به این ترتیب نقل و انتقالات پولی جعلی را انجام داده و اقدام به کلاه‌برداری کنند.

Samsung Pay یک سامانه پرداخت پول بدون تماس است که در بسیاری از تلفن‌های هوشمند سامسونگ وجود دارد. این سامانه از توکن‌هایی استفاده می‌کند که به صورت امنیتی طراحی شده‌اند و اطلاعات کارت‌های نقدی را در خود دارند.

اشکال کشف‌شده توسط مندوزا در اصل فرآیند توکن‌سازی این سامانه را تحت شعاع قرار می‌دهد و نفوذگران با استفاده از این اشکال می‌توانند توالی توکن‌ها را پیش‌بینی کنند.

نفوذگران علاوه بر این اقدام، می‌توانند با سرقت توکن‌ها، از آن‌ها در یک سخت‌افزار دیگر استفاده کرده و بدون هیچ‌گونه محدودیتی، نقل و انتقالات پولی را انجام داده و از این طریق سوءاستفاده و کلاه‌برداری کنند.

مندوزا در یک اثبات ‌مفهومی، یکی از توکن‌ها را به یکی از دوستان خود در مکزیکو ارسال کرد و از وی خواست که با استفاده از این توکن‌ها در سخت‌افزار مغناطیسی جعلی، اقدام به خرید کند. مندوزا در این خصوص توضیح داد که دزدی و سوءاستفاده از این سامانه سامسونگ بسیار آسان است.

زاک ویت‌تیکر در مکاتبه‌ای با مجله Zero Day در خصوص اقدامات مندوزا بیان کرد: «مندوزا با طراحی یک بخش جدید که بسیار به وی در این فرآیند کمک کرده است، پس از وارد کردن یک شماره تلفن، به صورت بی‌سیم اقدام به سرقت اطلاعات انتقال مغناطیسی امن کرد. وی سپس با ارسال توکن‌ها به رایانامه صاحب شماره تلفن، اقدام به ارسال توکن‌ها به یک تلفن دیگر کرد. همچنین می‌توان با مخفی کردن یک سخت‌افزار در یک ماشین کارت‌خوان، آن را به همان صورت که در یک دستگاه سوءاستفاده از کارت قرار می‌دهید، قرار داده و از این طریق سوءاستفاده کنید.»

مندوزا در اثبات‌ مفهومی خود، یک توکن را در دستگاه MagSpoof قرار داد. MagSpoof یک دستگاه ریز است که می‌تواند هرگونه بخش مغناطیسی یا کارت نقدی را شناسایی و از آن نمونه بسازد. این ابزار توسط سامی کامکار ، یکی از نفوذگران معروف این حوزه با نام عملیاتی @SamyKamkar طراحی شد. این دستگاه می‌تواند به صورت بی‌سیم و یا حتی در کارت‌خوان‌ها مورد استفاده قرار گیرد.

این ابزار ریز به عبارت دیگر یک دستگاه سوءاستفاده از کارت‌های نقدی یا هر وسیله مغناطیسی است که می‌توان از آن در پایانه‌های پرداخت غیر بی‌سیم استفاده کرد. این دستگاه از ریزکنترل‌گر، راه‌انداز موتوری، سیم، مقاومت الکتریکی، کلید، صفحه‌نمایش LED و یک باتری تشکیل می‌شود.

مندوزا در بخشی از اطلاعات خود تائید کرد که هر کارت نقدی، کارت پرداخت بدهی یا کارت پرداخت از پیش در مقابل این نوع از حمله آسیب‌پذیر است و در عین حال، کارت‌های هدیه از این حملات مصون هستند، زیرا بخش Samsung Pay به جای سیگنال مخابره شده، از بارکد اسکن شده استفاده می‌کند.

در همین حال، سخنگوی شرکت سامسونگ در این خصوص اذعان کرد: «بخش Samsung Pay با پیشرفته‌ترین بخش‌های امنیتی ممکن طراحی شده است و تمامی اطلاعات پرداخت در آن رمزنگاری‌شده و امن هستند. همچنین در این بخش از بستر امنیتی Samsung Knox نیز استفاده شده است. شایان ‌ذکر است که شرکت سامسونگ در صورت مشاهده هرگونه آسیب‌پذیری احتمالی در هر زمان، به سرعت موضوع را بررسی کرده و آن را رفع خواهد کرد.»

طراحان این سامانه همچنین در روز هفتم اوت، طی یک اطلاعیه در این خصوص، مطالبی را درباره این سامانه اعلام کردند که در زیر می‌خوانید:

«اطلاعیه‌ای در خصوص مسائل مطرح‌شده در مورد امنیت بخش Samsung Pay: بدین‌وسیله در تاریخ هفتم اوت ۲۰۱۶ اعلام می‌شود که امنیت اطلاعات پرداخت موجود در بخش Samsung Pay، از اولویت‌های طراحان این بخش است و به همین دلیل است که این سامانه به پیشرفته‌ترین بخش‌های امنیتی موجود مجهز شده است. شایان‌ذکر است که سامانه Samsung Pay بر خلاف مطالب مطرح‌شده در همایش Black Hat، از هیچ‌گونه الگوریتمی برای رمزنگاری اطلاعات پرداخت کاربران و یا ایجاد نویسه‌های رمزنگاری استفاده نکرده است.

سامانه Samsung Pay از کارت‌های نقدی امن‌تر به نظر می‌رسد و دلیل این ادعا این است که این سامانه برای انتقال مبالغ تنها یک بار از اطلاعات استفاده می‌کند. این روش در بیشتر نقل و انتقالاتی که پایانه‌های پرداخت هوشمند ندارند، مورد استفاده قرار می‌گیرد. کاربران با استفاده از این سامانه دیگر نیازی به پاک‌سازی کارت‌های مغناطیسی ندارند.»

منبع: asis

درباره نماد امنیت وب

“نماد امنیت وب” به عنوان یکی از شرکت های پیشتاز در زمینه امنیت نرم افزار و سرویس های تحت وب، با ارائه سرویس های امنیتی برای تمامی کسب و کار ها و دارای نمایندگی شرکت Acunetix (اکوانتیکس) بعنوان محبوب ترین اسکنر امنیتی black box در دنیا، ایمنی وب سایت شما را در مقابل حمله هکر ها تضمین می کند.