首页 > 人物 > 详细

评论:支付宝的这个高危漏洞 暴露了它强行社交的隐患

发布时间:2017-01-10 19:54:39           发布人:春来到     
阅读:27     评论:0     收藏:0      [点我收藏+]

  马云在美国会见川普的画面传回国内的同时,支付宝却用一个漏洞抢夺了各大科技媒体的头条。

  1 月 10 日上午,不少网友及自媒体爆料称,熟知你支付宝个人信息的朋友可以通过“找回密码”功能登录你的支付宝并修改登录密码。当时,许多人都认为这可能又是某种不怀好意的谣传,毕竟像支付宝这样一个关系几亿用户财产安全的应用,哪能说出漏洞就出漏洞,但随着曝光的截图越来越多以及官方作出正式回应时,大家才发现这原来竟然是真的。

  准确的说是在今天上午 10 点以前,这个漏洞是真实存在的。大致的破解方式如下,在登录界面点击“忘记密码”,然后在重置登录密码界面选择无法接收短信,然后只需通过选对一些个人信息,包括从九个图中选出你的好友、选出你近期购买的物品、选出一个与你有关的地址等,即可“重置登录密码”。

 

  这意味着,如果你是账号主人的朋友,并对他的信息有所了解的话,就可能重置其登陆密码。从网络上的反馈来看,确实有部分人通过这种方式成功修改了朋友的支付宝登陆密码,并且顺利登入了相应账号。

  于是大家纷纷感叹,没想到支付宝用这种方式,让人人都体验到了当黑客的感觉。

 

  登陆密码被修改自然会危及到用户的财产安全,因为有些账号为了方便开通了小额免密支付,对于像点外卖、打车等小额支付不需要输入支付密码,另外有些用户也开通了当面扫码支付无需密码功能。因此在被修改了登陆密码之后,即使不用知道支付密码,也可以使用该账号消费。

  更让人恐惧的是,即便是陌生人也可以在任何一台设备上,利用一个陌生手机号码,并可能碰巧成功选中购买的商品和朋友,进而破解该手机号码对应的支付宝账号。如果被陌生人修改了登陆密码,除了能免密消费之外,还可能通过此账号信息,对支付宝好友实行诈骗。

  总之,这属于一个高危漏洞。

  在网络的一遍哗然之中,支付宝仍保持了一惯泰然姿态,并在早上 11 点 50 分左右发布了“对于安全问题回复策略调整通知”,声称是进一步提高了风控系统的安全等级,目前仅在用户自己的手机上,才能通过识别近期购买商品以及识别本人好友来找回登录密码,通过其他手机设备是无法应用这一方式找回登录密码的。

 

  支付宝的回应也间接承认了该漏洞确实真实存在。

  之后,锋观点仍试图采用同样的方式进行修改密码,但发现仅在自己手机上点击“忘记密码”,系统才能检测跳出近期购买的商品及好友。而如果在其他设备上点击“忘记密码”,首先系统会自动发送验证码短信到相应手机号,然后再跳转到一个“安全检测”页面,这个过程应当是风控系统在对设备的安全性作出检查,一旦查出不是机主本人的手机便会跳转到“身份证号验证”、“回答安全保护问题”、“刷脸验证”(需眨眼才能验证,所以静态照片无法通过验证)、“验证本人银行卡信息”等验证方式的页面。

 

  锋观点在经过几轮测试后,仍没能登陆任何一个联系人的支付宝帐号,反而支付宝还发了一堆验证短信到联系人的手机上。这说明支付宝确实已经堵上了这个漏洞。

  那么,导致支付宝出现该漏洞的原因有哪些?

  最直接的原因是在风控系统的评估上,支付宝系统并没有对设备进行检测,或是直接绕过了“常用设备验证机制”,让所有的设备在点击“忘记密码”后都直接跳转到了验证购买商品和好友的页面,这显然是不符合安全规范的。而合理的做法是,每次登陆时应用都应识别出登陆的是“常用设备”、“新设备”还是“偶尔登录的设备”,并且根据每次登陆情况的不同,给出不同的验证方式。

  而另一个潜在的原因在于支付宝强行打造的社交体系。从最初加入“朋友”功能,再到前段时间的“校园日记”、“白领日记”,支付宝为了做社交算是费尽了心力。而这次竟然还在“忘记密码”的验证过程中又植入社交元素,这让人觉得社交似乎已经在支付宝体内无孔不入。

  从产品思维角度来看,通过让用户点击自己的好友来验证,这一方式其实并没有多大的问题,反而还能加强用户对于支付宝的社交概念,这其实透出了支付宝产品经理的一丝丝小聪明。然而,他没有考虑到的是,这种方式竟然能够被熟人利用,从而引发出了巨大的安全漏洞。

 

  支付宝无法做大社交,根本原因在于它自带的财产属性与社交的开放性在本质上完全相悖,支付交易中最重要的事情是安全和隐私,而社交的加入则让这种隐私更加扩大化。比如前几天,支付宝推出了 2016 年年度账单功能,许多隐性的土豪都晒出了几十、上百万的年度支付费用,但网友调侃得最多的是:终于知道该向谁借钱了。

  “财不外露”是中华民族的传统观念,大家都不愿意将自己的财富与他人建立关系,而支付宝强行做社交正好违背了这一理念。

  这个高危漏洞爆出之后,许多用户为了防止中招,都纷纷打开支付宝删除好友。看来支付宝之前费尽心思打造的社交基础,被这一个漏洞就瓦解了。

(0)
(0)
48小时内新闻“赞”后会升到第一位   
举报
评论 一句话评论(0
0条  
登录后才能评论!
© 2014 bubuko.com 版权所有 鲁ICP备09046678号-4
打开技术之扣,分享程序人生!
             

鲁公网安备 37021202000002号