1、《USB 连接式网上银行读卡器设计缺陷剖析》

《USB 连接式网上银行读卡器设计缺陷剖析》

一、引言

在当今数字化时代，网上银行已成为人们日常生活中不可或缺的一部分。为了保障交易安全，许多银行采用了智能卡读卡器与智能卡、PIN 码相结合的双因素认证方式。这种方式比传统密码认证更为安全，但手持智能卡读卡器存在一定局限性。例如，其挑战码通常只有 8 位数字，缺乏对用户有意义的信息，用户难以知晓自己授权的具体内容，这就为中间人攻击留下了隐患。

为解决这一问题，将读卡器通过 USB 线连接到 PC 是一种可行的方案。这样用户无需重新输入挑战码和响应码，可接受更长的挑战码，且显示屏能显示更有意义的信息，既提高了安全性，又增强了用户体验。本文研究的系统便是如此，用户在确认银行转账前，能在读卡器显示屏上看到转账详情，该系统被称为“Sign What You See”（SWYS）。然而，研究发现该系统存在严重的安全漏洞。

二、背景知识：EMV - CAP

本文研究的网上银行系统采用了 EMV - CAP 标准的一个变体。EMV - CAP 基于 EMV 标准，而 EMV（Europay - Mastercard - Visa）广泛应用于大多数银行智能卡。在 EMV - CAP 交易中，会启动一个常规的 EMV 交易，但在最后一步取消。在此过程中，智能卡会生成两个应用密码（AC）作为授权证明，第一个是授权请求密码（ARQC），用于授权网上银行交易；第二个是应用认证密码（AAC），用于干净地终止交易。

这些密码并非使用非对称加密的数字签名，而是使用银行与智能卡共享的对称密钥（通常为 3DES 密钥）生成的消息认证码（MAC）。EMV - CAP 读卡器通常使用 8 位数字挑战码，并返回 8 位数字响应