NFC非接触型決済セキュリティ
これは本当に私を悩ませています。
最近まで、電子チップを搭載したデビットカードがポーランドで利用できる最も一般的な電子決済方法でした（私は他のヨーロッパ諸国でも同様に賭けていました）。それもかなり安全に思えます-（ATMからまたは店で）あらゆる種類の購入を行うために、ユーザーはPINコードを提供する必要があります。言われた間PINは特に長くはありませんが、追加のセキュリティレベルを提供するためにあります。最初のカード自体です。
最近、PayPass（または類似の）カードが人気を博しており、銀行がこれらのカードを一般に押し出しているようです。これらのカードは、上記の通常のデビットカードと同じように機能しますが、NFCを使用して支払いを行うこともできます。
NFCを通じて支払いを行う場合、ユーザーはPINを入力する必要がありません。
このようなワイヤレステクノロジーでは、PINはテクノロジーが特に安全ではないと感じるため、明確な要件である必要があります。これの1つの例は、プロキシ攻撃です。携帯電話を持っている人は店でいくつかのアイテムを受け取り、支払いに行きますが、携帯電話を持っている別の人は（混雑した電車/バス/駅などで）読み取るPayPassカードを探します。使用されているテクノロジーにより、これらのカードはかなり離れた場所からでも読み取ることができます。
これにより、PINの問題に戻ることができます... NFCを使用して支払うとき、PINが常に要件ではないのはなぜですか？
編集：
私はNFC=を使用して支払うことができる金額が限られていることを理解しています。ただし、利便性に関しては（カードを入れる/ウォレットをスワイプする必要はありません）私たちはセキュリティといくつかの便利さを交換しているようです...もう少し便利です。
つまり、カードをスワイプするだけで細かいことを支払うことができます。すごい。しかし、スワイプ後に4桁のピンを入力することは、それほど大したことではないはずですよね？そして、あなたが支払うことができる金額を制限する必要はありません。あなたはまだカードを財布に入れておくことができ、全体は同じくらい速くなります。実際には、理想的には、現在のように「PINなし」の制限を設けることができますが、NFCその金額を超えるトランザクションを許可します... PINが必要です！または他の技術/セキュリティがありますPINとNFC=一般的に心配ですか？
*この制限は簡単に変更できるようですが、実際に顧客がそのような変更を行うことを許可している銀行（少なくともポーランドにある）については聞いたことがありません。私は自分の銀行に直接電話をかけてみましたが、これは不可能だと知らされていました...
それは、利益に対して重み付けされたリスクについてです。
PINトランザクションにNFCを要求すると、主なNFCの利点が低下します-速度。 NFC PINのない支払いは、限られた金額の支払いにのみ使用され、通常、トランザクションの数が制限されているか、1日あたりのトランザクションの合計数が制限されています。おそらく他の銀行固有のルールも適用されます。少なくとも私は銀行から、制限に達することなくPINを求められる可能性があると通知されました。このようにして、カード発行銀行またはカード会社はそのリスクを制限し（EUでは、重大な過失がない限り、150ユーロを超える詐欺の場合は責任を負いません）、カードを頻繁に使用して利益を上げます。彼らのために。
非接触型決済とデジタルウォレットに関するいくつかの問題：
- 紛失または盗難-デバイスにアクセスする攻撃者は、機密情報へのアクセスを許可し、アカウントが無効にされたり詐欺が発見されるまで、継続的な不正取引を許可する可能性があります。 SIMカードを引き抜くと、最も強力なロックやロックダウン保護さえも防止でき、SIMカードをスキャンしてクローンを作成することもできます
- なりすまし-NFC=タグは、新しい悪意のあるタグによって再プログラム、置換、または破壊（例：カバー）できます。WindowsPhoneデバイスは、Webベースのプロトコルなどのタグ攻撃の影響を非常に受けやすいですハンドラーですが、他のハンドラーも同様です
- スキミング-攻撃者はNFC=からユーザーの知らないうちに同意なしで、多くの場合離れた場所から、
- 盗聴-アンテナを使用すると、攻撃者はNFC=デバイス間のやり取りを聞くことができます。確かに100cmの距離は問題外ではありません
- データの破損-NFCは無線周波数に基づいているため、標準の測定、干渉、妨害、および傍受（MIJI）技術が可能です。
- データの変更/挿入-データの破損よりも複雑ですが、これらの攻撃は非常に可能で現実的です
- リレーまたはプロキシ攻撃-NFCProxyなどは、2つのAndroidデバイスがライブリレーに非常に多くのことを実行したり、後で再生するために保存したりできることを示しています。
大量の情報については、これらのprezoを確認してください。
- http://www.slideshare.net/0xroot/demystifying-Apple-pie-touchid
- https://www.syscan.org/index.php/download/get/b76f003a5aaa39a780c660e557f2ac6a/SyScan15%20Peter%20Fillmore%20-%20Crash%20and%20Pay:%20Owning%20and%20Cloning%20NFC%20Payment% 20cards.pdf
- https://www.lateralsecurity.com/downloads/Lateral_Security-NFC-Redux-Kiwicon6.pdf
- http://www.slideshare.net/peterswedin/nfc-attacks
- http://eandt.theiet.org/news/2013/oct/hacking-contactless-card.cfm
あなたが欠けているように見えるのは、youがここでリスクとセキュリティのトレードオフを行っていないということです。 NFC-with-PINの決定は銀行次第です銀行は詐欺の責任があるため法的責任まで制限（150 EUR）。あなたが恐れているようにあなたの支払いが泥棒の一人によってすくわれた場合、あなたではなくあなたの取引の費用を支払わなければならないのはあなたの銀行です。
もちろん、これは誰かが詐欺を検出したことを前提としています。米国の大手銀行には、かなり高度な不正検出システムが導入されています。カードが2つの異なる地域で同時に使用されていることを確認した場合、カードに不正ブロックを配置できます。そして、毎月請求書を読んで料金を確認するのはあなたの責任ですが、それは変わっていません-請求書を読むことは常にあなたの責任でした。しかし、彼らがそれを発見せず、あなたがそれを発見しない場合、はい、あなたはそれを食べるでしょう。
彼らは自分の費用でカードをより便利にしようとしています。どうして？意図は、消費者が少量のためにNFCを使用するインセンティブになることです。なぜなら、彼らは各トランザクションでどんなに小さくてもお金を稼ぐからです。この余分な収入のために、彼らは喜んでマイナーな詐欺でお金を危険にさらすため。
このリスクを受け入れても、多くのリスクを受け入れているわけではありません。 PINを使わずに少額の支払いを行わなかったと銀行に伝えた場合、PINはそれを取り消しますが、口座にフラグを立て、苦情をより注意深く監視します。詐欺を報告するパターンを示したが証拠がない場合、彼らはあなたを調査し始めます。
NFCリレーのスキミングが深刻な経済的脅威になった場合、彼らはこのアプローチを自由に変更できます。彼らはこれを注意深く監視するつもりです。盗聴アプリでスキミングアプリが人気になった場合、または銀行が毎週数百万ユーロを失い始めた場合、彼らは確かに戦略を変えるでしょう。しかし、その暗い日が来るまで、彼らはこれから利益を得ると期待しています。
私は間違っているかもしれませんが、NFCは小額の支払いにのみ使用されます。ここイングランドでは15ポンドを超えることはできません。
http://www.3g.co.uk/PR/April2012/barclaycard-playtag-adds-nfc-support-to-all-smartphones.html
他の人がすでに述べたように、PINなしのトランザクションは特定の量に制限されます（オプションで、特定の数のトランザクションの後に連絡/ PINトランザクションが必要になります）。
NFC /連絡先の区別に関係なく、消費者を必要としないPINすべてのトランザクションにセキュリティも有益です。入力されていないPINは、操作された支払い端末では記録できません。スキマーがPINを記録するだけでなく、磁気ストライプデータもこのようにして削減されます。