2013年年底，美國(guó)零售巨頭塔吉特（Target）被黑客入侵，7000萬(wàn)的用戶(hù)個(gè)人信息和4000萬(wàn)的信用卡數(shù)據(jù)被盜，涉及用戶(hù)名、電話(huà)號(hào)碼和信息卡信息等隱私數(shù)據(jù)。據(jù)估計(jì)塔吉特的損失當(dāng)前已達(dá)1.48億美元，并最終可能達(dá)到10億美元。 塔吉特“丟錢(qián)又丟人”的事件讓人們認(rèn)識(shí)到，即便是最強(qiáng)大的安全系統(tǒng)也可能被黑客攻擊。塔吉特的賬戶(hù)是一個(gè)模型，多層次的系統(tǒng)，它的防御超過(guò)了Visa和萬(wàn)事達(dá)已經(jīng)嚴(yán)格的安全措施所要求的。但黑客還是入侵了，這立即引發(fā)了人們的強(qiáng)烈抗議，人們質(zhì)疑為什么美國(guó)的信用卡交易不夠安全，并呼吁使用不需要通過(guò)讀卡器進(jìn)行物理“刷卡”的非接觸式信用卡。多虧了這種強(qiáng)烈的抗議，Visa、萬(wàn)事達(dá)和美國(guó)運(yùn)通已經(jīng)堅(jiān)定了立場(chǎng)：零售商必須在2015年10月之前投資于能夠使用智能卡的讀卡器。對(duì)于那些不這樣做的人，欺詐損失的責(zé)任將完全由他們來(lái)承擔(dān)。 畢竟，智能卡（內(nèi)含包含加密信息和安全處理能力的芯片，但仍需聯(lián)系）自1983年以來(lái)已在發(fā)達(dá)國(guó)家廣泛使用，極大地減少了盜竊行為。在美國(guó)，欺詐花費(fèi)了這么長(zhǎng)時(shí)間才達(dá)到這個(gè)程度，盡管2013年，欺詐給零售商和銀行造成了超過(guò)120億美元的損失，但與更新零售網(wǎng)點(diǎn)（POS）系統(tǒng)的成本和復(fù)雜性相比，欺詐顯然要便宜得多。 然而，隨著技術(shù)的進(jìn)步，如今的標(biāo)準(zhǔn)是采用無(wú)線(xiàn)通信的非接觸式智能卡，不需要在卡和讀卡器之間進(jìn)行物理“刷卡”，而是基于智能手機(jī)的近場(chǎng)通信（NFC）技術(shù)完成。然而，塔吉特公司被攻破很少提到的一個(gè)關(guān)鍵事實(shí)：卡牌本身并不是問(wèn)題所在。

到底誰(shuí)來(lái)背這個(gè)鍋

實(shí)施目標(biāo)攻擊的歹徒在目標(biāo)商店的POS終端上安裝惡意軟件，使用“內(nèi)存抓取”工具抓取終端在交易期間暫時(shí)存儲(chǔ)的數(shù)據(jù)。然而，該惡意軟件通過(guò)一個(gè)公司目標(biāo)網(wǎng)絡(luò)服務(wù)器到達(dá)終端，黑客可以通過(guò)該服務(wù)器訪(fǎng)問(wèn)公司終端。一旦舒適地安置在終端上，它就在塔吉特公司的網(wǎng)絡(luò)上建立了自己的控制服務(wù)器，將所有竊取的數(shù)據(jù)存儲(chǔ)在塔吉特公司自己的數(shù)據(jù)存儲(chǔ)庫(kù)中，直到黑客抽出時(shí)間卸載這些數(shù)據(jù)。 據(jù)報(bào)道，塔吉特使用40多個(gè)反病毒工具來(lái)掃描遍歷其網(wǎng)絡(luò)的惡意軟件，結(jié)果沒(méi)有發(fā)現(xiàn)一個(gè)惡意軟件，即使發(fā)現(xiàn)，也不認(rèn)為它是惡意的。這款名為BlackPOS的軟件可以在網(wǎng)絡(luò)犯罪論壇上花2000美元左右購(gòu)買(mǎi)到，它是專(zhuān)門(mén)為繞過(guò)防火墻和安裝在銷(xiāo)售點(diǎn)終端而設(shè)計(jì)。簡(jiǎn)而言之，當(dāng)小偷從“后端”而不是前面的POS終端進(jìn)入時(shí)，公司服務(wù)器而不是POS終端成為了入侵點(diǎn)。 所有的POS終端都會(huì)收集數(shù)據(jù)，不管它們是需要你刷卡還是把卡放在離讀卡器幾英寸的地方。因此問(wèn)題就來(lái)了：是什么使非接觸式信用卡比普通信用卡更安全？在信用卡盜竊問(wèn)題上，非接觸式信用卡會(huì)有很大的不同嗎？在塔吉特的案例中，可能不會(huì)，但這肯定是對(duì)當(dāng)前系統(tǒng)的一個(gè)重大改進(jìn)，針對(duì)終端機(jī)本身的大多數(shù)類(lèi)型的盜竊要頻繁得多。讓我們回顧下當(dāng)前可行的磁條替代方案——智能卡、非接觸式卡、近場(chǎng)通信，以及與上述三種不同的RFID。

不太聰明卡都有哪些？

在最常見(jiàn)的類(lèi)型——無(wú)源射頻識(shí)別系統(tǒng)中，讀卡器發(fā)送一個(gè)微弱的信號(hào)，這個(gè)信號(hào)被卡上的環(huán)形天線(xiàn)捕捉，經(jīng)過(guò)校正后，產(chǎn)生的微小功率用于響應(yīng)讀卡器的查詢(xún)并進(jìn)行個(gè)人識(shí)別。控制系統(tǒng)將身份碼與數(shù)據(jù)庫(kù)中的信息進(jìn)行匹配，以便進(jìn)行身份驗(yàn)證。在這方面，RFID和非接觸式支付有兩個(gè)基本共同點(diǎn)：它們使用無(wú)線(xiàn)技術(shù)來(lái)消除POS讀取設(shè)備和被讀取物品之間的物理連接，并包含一個(gè)IC和內(nèi)存來(lái)存儲(chǔ)數(shù)據(jù)。然而，除了少數(shù)例外，相似之處也就這些了。

無(wú)源RFID標(biāo)簽非常便宜，通常不到一毛錢(qián)，因此非常適合對(duì)任何可以放置或插入RFID標(biāo)簽的東西進(jìn)行大規(guī)模跟蹤。然而，有源射頻識(shí)別標(biāo)簽包含一個(gè)電池，它們可以發(fā)送突發(fā)信息，但價(jià)格要貴得多，因此不太廣泛使用。 RFID標(biāo)簽并不是很“智能”，而接觸卡和非接觸“智能”卡都具有顯著的安全特征，包括安全的微處理器、內(nèi)存和加密處理能力。 RFID標(biāo)簽可以從大約6英寸的距離讀取。被動(dòng)方式到650英尺以上，而出于安全考慮，非接觸式卡片只能從大約2英寸遠(yuǎn)的地方讀取。

一個(gè)RFID標(biāo)簽需要使用最少的組件，其中最大的是從閱讀器捕捉微弱信號(hào)的環(huán)形天線(xiàn)。 RFID的優(yōu)勢(shì)已經(jīng)應(yīng)用到眾多領(lǐng)域，甚至包括包含個(gè)人頭像的護(hù)照。2005年，沃爾瑪要求其前100名供應(yīng)商在運(yùn)往配送中心的貨物箱子和托盤(pán)上貼上RFID標(biāo)簽，該計(jì)劃后來(lái)擴(kuò)展到所有供應(yīng)商。他們表示，使用RFID標(biāo)記的缺貨商品現(xiàn)在可以更快的進(jìn)行補(bǔ)貨。許多其他公司也采取了同樣的做法，今天，被動(dòng)射頻識(shí)別被廣泛應(yīng)用于許多行業(yè)。 簡(jiǎn)而言之，雖然RFID系統(tǒng)在跟蹤類(lèi)應(yīng)用中無(wú)處不在，但除了少數(shù)情況外，它們?nèi)狈χ悄芎吞峁┌踩挠邢弈芰κ顾鼈儫o(wú)法在交易處理中使用。

智能卡

如果RFID不聰明，那就制造出一個(gè)智能卡。這是第一張為交易處理設(shè)計(jì)的卡片，目的是為了克服“啞”磁條卡的安全限制。智能卡提供重要的安全特性，包括使用對(duì)稱(chēng)DES（數(shù)據(jù)加密標(biāo)準(zhǔn)）、3DES （triple DES）或RSA公鑰加密，密鑰長(zhǎng)度可達(dá)1024位的活動(dòng)加密身份驗(yàn)證。

智能卡采用嵌入式IC，包含內(nèi)存和微處理器。該設(shè)備有八個(gè)暴露的金屬墊，可提供直流電源訪(fǎng)問(wèn)，處理POS閱讀器，時(shí)鐘信號(hào)，地面和串行I/O。板載處理器通常是32位的RISC處理器，最高可達(dá)32兆赫，它負(fù)責(zé)執(zhí)行指令，控制器管理進(jìn)出卡和閱讀器的數(shù)據(jù)流。此外，它也包含三種類(lèi)型的存儲(chǔ)器：ROM為永久指令存儲(chǔ)，RAM用于臨時(shí)存儲(chǔ)，電可擦寫(xiě)的只讀存儲(chǔ)器E-PROM用于運(yùn)行應(yīng)用程序。

非接觸式卡

非接觸卡保留了前面提到的智能卡組件和安全特性，但前者的電子觸點(diǎn)被類(lèi)似于RFID中使用的射頻部分所取代，并消除了與POS讀卡器的物理接觸。你無(wú)須在每筆交易中輸入密碼，但到了一定數(shù)額，讀卡器會(huì)要求輸入密碼，以確保安全。

每筆交易的金額也是有限的。非接觸式卡于1995年在韓國(guó)首次用于電子票務(wù)，許多美國(guó)人可能還記得?？松梨谠?0世紀(jì)90年代末推出的Speedpass系統(tǒng)，該系統(tǒng)至今仍在許多?？松梨诩佑驼臼褂?。此后，非接觸式技術(shù)已被萬(wàn)事達(dá)、花旗銀行、摩根大通、美國(guó)運(yùn)通和許多其他組織所采用。

近場(chǎng)通訊（NFC）

NFC是進(jìn)入無(wú)線(xiàn)“非接觸”領(lǐng)域的新途徑。它是一套通信協(xié)議、數(shù)據(jù)交換格式和標(biāo)準(zhǔn)，用于令手機(jī)、平板電腦和筆記本電腦與其他支持NFC的設(shè)備進(jìn)行數(shù)據(jù)共享，類(lèi)似于非接觸式卡，但沒(méi)有卡。NFC是在NXP、索尼和諾基亞于2004年創(chuàng)建的NFC論壇的支持下發(fā)展起來(lái)。它已經(jīng)被GSMA所接受，并細(xì)化了針對(duì)運(yùn)營(yíng)商無(wú)線(xiàn)世界的GSMA NFC標(biāo)準(zhǔn)的架構(gòu)。 NFC允許以不涉及Wi-Fi、3G、LTE等任何無(wú)線(xiàn)連接的方式進(jìn)行雙向通信。NFC源自射頻識(shí)別（RFID）技術(shù)，因此同樣采用無(wú)線(xiàn)電波，但是其通信距離僅限于10厘米左右。這一點(diǎn)在很大程度上被視為一種安全性方面的優(yōu)勢(shì)，而且有助于提高NFC的普及性。NFC最主要的一項(xiàng)用途在于蘋(píng)果支付、安卓支付及三星支付等動(dòng)態(tài)加密的安全支付。 隨著技術(shù)和標(biāo)準(zhǔn)不斷發(fā)展。谷歌已經(jīng)在Android 4.4 （KitKat）中加入了它的主機(jī)卡仿真（HCE），但不遵循GSMA標(biāo)準(zhǔn)。2011年，第一批包含PayPass或payWave功能的智能手機(jī)面世，此后又有更多的智能手機(jī)加入了這一功能。為推進(jìn)這項(xiàng)技術(shù)，今年2月，萬(wàn)事達(dá)宣布EE、TelefA nica UK和沃達(dá)豐UK成立了一家合資企業(yè)，使非接觸式支付成為歐洲的一個(gè)通用平臺(tái)。

NFC與其他非接觸技術(shù)（包括RFID）共享一種基本方法，因?yàn)樗诃h(huán)形天線(xiàn)之間使用磁感應(yīng)。當(dāng)天線(xiàn)彼此靠近時(shí)，天線(xiàn)會(huì)產(chǎn)生一個(gè)虛擬變壓器，產(chǎn)生電壓。NFC在未經(jīng)許可的工業(yè)科學(xué)和醫(yī)學(xué)（ISM）頻段運(yùn)行，頻率為13.56 MHz，理論上工作距離為8英寸，但在實(shí)踐中也就只有2英寸或更少。

通過(guò)NFC技術(shù)，當(dāng)支持NFC的另一設(shè)備處于當(dāng)前設(shè)備的10厘米有效范圍內(nèi)時(shí)，便可即時(shí)建立連接。在非接觸式交易開(kāi)始后，NFC讀卡器和設(shè)備便來(lái)回傳遞加密信息，并在數(shù)秒內(nèi)完成該交易。如此，不但實(shí)現(xiàn)了簡(jiǎn)便性，還使得交易速度遠(yuǎn)大于傳統(tǒng)的支付技術(shù)和數(shù)據(jù)傳輸技術(shù)。除安全支付之外，NFC技術(shù)還可用于其他用途。NFC可用于在支持NFC的設(shè)備之間傳輸大量其他數(shù)據(jù)，包括發(fā)送電話(huà)號(hào)碼、圖片或文檔，共享交通路線(xiàn)，啟動(dòng)其他手機(jī)上的應(yīng)用程序，以及通過(guò)NFC標(biāo)簽（一種含NFC芯片的小型物理標(biāo)簽）進(jìn)行連接。

NFC vs 非接觸智能卡 NFC與非接觸式智能卡的不同之處在于，它允許與讀卡器之間進(jìn)行通信，而且不受信用卡大小的限制，具有智能手機(jī)龐大的處理、安全和加密能力。谷歌Android Beam在手機(jī)上啟用藍(lán)牙后即可啟動(dòng)NFC，并允許銷(xiāo)售點(diǎn)閱讀器對(duì)藍(lán)牙進(jìn)行配對(duì)，同時(shí)也可以禁用藍(lán)牙，直到交易或文件傳輸完成。三星在其Galaxy系列產(chǎn)品中使用的另一種名為S-Beam的變體，與Android Beam類(lèi)似，它使用NFC共享MAC和IP地址，并使用WiFi Direct共享文件和文檔。它比藍(lán)牙快得多，數(shù)據(jù)傳輸速率高達(dá)300mb /s，這使得共享大文件的速度更快。

PayPal決定走自己的路，完全放棄NFC技術(shù)，并稱(chēng)它是“無(wú)法獲得大規(guī)模采用”的技術(shù)。取而代之的是，PayPal宣布了在一項(xiàng)名為Beacon的服務(wù)中使用了藍(lán)牙低功耗技術(shù)。Beacon讓客戶(hù)在無(wú)需智能手機(jī)或信用卡的情況下就能支付。零售商需要在他們的銷(xiāo)售點(diǎn)系統(tǒng)中插入一個(gè)USB適配器，當(dāng)客戶(hù)的手機(jī)上有一個(gè)Beacon應(yīng)用程序時(shí)，就會(huì)被提示是否選擇PayPal作為支付源。

PayPal的信標(biāo)閱讀器插在墻上插孔上，這個(gè)價(jià)值100美元的設(shè)備通過(guò)USB連接到POS終端。

該應(yīng)用程序不需要在手機(jī)上打開(kāi)，也不需要信號(hào)或GPS。即可允許客戶(hù)選擇性地將與信標(biāo)兼容的零售商存儲(chǔ)在手機(jī)中，這樣支付就基本上是無(wú)需操作的了。它超越了該公司目前的支付系統(tǒng)，該系統(tǒng)要求客戶(hù)在手機(jī)上打開(kāi)貝寶應(yīng)用程序，并在每次付款時(shí)與零售商進(jìn)行核對(duì)。 NFC不僅適用于支付，還適用于忠誠(chéng)計(jì)劃、過(guò)境卡和其他應(yīng)用程序。例如，谷歌的HCE允許任何運(yùn)行在支持Android 4.4的設(shè)備上的應(yīng)用程序模擬智能卡，用戶(hù)可以簡(jiǎn)單地打開(kāi)應(yīng)用程序并啟動(dòng)交易。 雖然NFC逐步得到認(rèn)可，它的許多潛在的使用使它非常有吸引力。為此，AT&T、Verizon和T-Mobile在2011年成立了一家名為“ISIS”的合資企業(yè)，目的是創(chuàng)建一種單一架構(gòu)，讓客戶(hù)可以在該架構(gòu)上使用近距離通信規(guī)范來(lái)進(jìn)行移動(dòng)支付。它的首要目標(biāo)是讓具有近場(chǎng)通訊功能的智能手機(jī)和其他無(wú)線(xiàn)設(shè)備像信用卡一樣發(fā)揮作用，有可能完全擊敗非接觸式卡。然而，兩者更有共存的可能，因?yàn)椴皇敲總€(gè)人都愿意放棄實(shí)體卡而使用手機(jī)作為一種包羅萬(wàn)象的支付設(shè)備。

總結(jié)

在美國(guó)，以某種形式的非接觸式支付系統(tǒng)取代磁條卡意義非凡。智能卡、非接觸式卡和基于手機(jī)的NFC在安全方面有明顯優(yōu)勢(shì)，這會(huì)減少盜竊事件的發(fā)生。然而，塔吉特黑客入侵事件告訴我們，沒(méi)有什么靈丹妙藥能夠完全消除欺詐，只要黑客他們?cè)谕耆珶o(wú)視POS的情況下，直接進(jìn)入企業(yè)層面。

隨著非接觸式支付系統(tǒng)越來(lái)越流行，黑客們肯定會(huì)把注意力轉(zhuǎn)向新的途徑，就像他們已經(jīng)在網(wǎng)絡(luò)和個(gè)人電腦上做的那樣。即便如此，一旦更新系統(tǒng)的成本隨著時(shí)間推移逐漸攤銷(xiāo)，消費(fèi)者、銀行、信用卡公司和零售商都將從中受益。
責(zé)編AJX