讓信用卡號(hào)碼遠(yuǎn)離交易過(guò)程確實(shí)有助于幫助消費(fèi)者緩解并減輕各類數(shù)據(jù)泄露風(fēng)險(xiǎn)所帶來(lái)的困擾，但這并不意味著那幫犯罪分子們會(huì)放棄竊取數(shù)字化資產(chǎn)的主意。

圖為一臺(tái)iPhone 6正通過(guò)Apple Pay功能進(jìn)行NFC支付。

Apple Pay目前已經(jīng)正式上線并投入運(yùn)作。作為一名普通消費(fèi)者，我對(duì)此感到興奮莫名，但也與那些從事安全事務(wù)的工作人員一樣對(duì)其安全性表示擔(dān)憂。為了打消自己、也可能是各位讀者朋友的疑惑，下面我們就一同從各個(gè)角度對(duì)Apple Pay加以考量——既包括消費(fèi)者的角度，也包括安全專家的角度。

當(dāng)我當(dāng)初在考慮是否要購(gòu)買一臺(tái)iPhone 6時(shí)，Apple Pay其實(shí)是我最重視也最有說(shuō)服力的功能。Apple Pay只能夠在iPhone 6與6 Plus機(jī)型上起效（以令人印象深刻的無(wú)縫化方式）。雖然也能夠在iPhone 5系列設(shè)備上實(shí)現(xiàn)，但這要求用戶將上代手機(jī)同即將推出的Apple Watch搭配使用。此外，大家還可以利用它在一部分iPad機(jī)型上實(shí)現(xiàn)應(yīng)用程序內(nèi)購(gòu)。不過(guò)就目前而言，全面感受Apple Pay使用體驗(yàn)的惟一途徑就是購(gòu)買并使用一款最新世代iPhone機(jī)型。下面來(lái)看看它的運(yùn)作方式。大家需要在設(shè)備上的Passbook應(yīng)用程序中注冊(cè)自己的受支持信用卡。當(dāng)我們打算在支持Apple Pay功能的零售店中購(gòu)買某種商品時(shí)，各位只需要將自己的移動(dòng)設(shè)備指向店鋪中的近場(chǎng)通信（簡(jiǎn)稱NFC）支付終端，這時(shí)我們的支付信息就會(huì)由iPhone通過(guò)無(wú)線射頻連接傳輸至支付終端處。接下來(lái)，大家只需要在自己的手機(jī)上利用TouchID傳感器進(jìn)行指紋掃描、確認(rèn)身份即可完成購(gòu)買。如果一切順利的話，我們的手機(jī)會(huì)核查指紋是否匹配并提示交易已經(jīng)完成核準(zhǔn)。雖然說(shuō)起來(lái)復(fù)雜，實(shí)際使用感受只需要一步而且相當(dāng)流暢。請(qǐng)注意，大家可能仍然需要根據(jù)不同商戶的具體要求以及購(gòu)買貨品的實(shí)際金額而采取額外的支付步驟——例如在收據(jù)上簽字確認(rèn)。

從消費(fèi)者的角度來(lái)看，這一切都是如此簡(jiǎn)潔而單純，惟一相對(duì)麻煩些的部分就是必須確認(rèn)商家能夠支持這項(xiàng)支付技術(shù)。就目前而言，支付Apple Pay的商家在整體比例上還比較稀少，而且一部分零售店最終放棄支持Apple Pay計(jì)劃的決定也引起了不少媒體的高度關(guān)注。但如果幸運(yùn)的話，這種情況會(huì)隨著時(shí)間的推移而逐步改善，屆時(shí)將有更多商家以及發(fā)卡機(jī)構(gòu)簽署相關(guān)支持協(xié)議，我們也將迎來(lái)更為廣泛的適用環(huán)境。

那么，Apple Pay所掀起的這股NFC支付浪潮到底安不安全？我們不妨先從積極的一面說(shuō)起。關(guān)鍵在于，商家已經(jīng)無(wú)法獲取到我們的實(shí)際信用卡賬戶號(hào)碼了; 他們能夠?qū)嶋H查看到的只有消費(fèi)者信用卡的“設(shè)備賬戶號(hào)碼”（簡(jiǎn)稱DAN），這（很可能）是一種一次性賬戶號(hào)碼。在交易支付領(lǐng)域，DAN的作用相當(dāng)于令牌、每一臺(tái)設(shè)備都能通過(guò)計(jì)算獲得自己獨(dú)特的DAN。在交易過(guò)程中，DAN會(huì)與一次性交易ID相結(jié)合，從而保證攻擊者們很難通過(guò)重復(fù)使用或者將其轉(zhuǎn)移到其它設(shè)備上的方式偽造我們的DAN。

除此之外，如果我們?cè)?jīng)利用Apple Pay進(jìn)行過(guò)交易的相關(guān)零售商出現(xiàn)了安全信息泄露，大家的發(fā)卡銀行也應(yīng)該能夠在無(wú)需更改賬戶號(hào)碼的前提下為我們提供一份新的DAN信息。這種全新處理方式相較于目前美國(guó)國(guó)內(nèi)廣泛采用的信用卡機(jī)制明顯更為完善，不過(guò)我個(gè)人更希望這些DAN信息能夠是一次性的并擁有隨機(jī)與動(dòng)態(tài)生成等特性，也就是像iPhone內(nèi)置加密硬件那樣采用高強(qiáng)度隨機(jī)密碼源。也許這一切都將在Apple Pay的下一個(gè)版本中成為現(xiàn)實(shí)。

但盡管我使盡渾身解數(shù)雙Apple Pay當(dāng)中挑出了一些能夠進(jìn)一步加以改進(jìn)的安全性因素，但必須承認(rèn)這套方案已經(jīng)比目前的主流措施好得多。即使是被大肆宣傳的Europay Mastercard Visa（簡(jiǎn)稱EMV）系統(tǒng)，也仍然無(wú)法徹底避免將消費(fèi)者的信用卡號(hào)碼提供給商家。大多數(shù)EMV卡仍然設(shè)有磁條，其中包含著我們的賬戶信息，因此支付終端仍然有機(jī)會(huì)從這些EMV的智能芯片當(dāng)中讀取到大家的賬戶號(hào)碼。此外，根據(jù)我們從去年的Target信息泄露事件中了解到，這些支付終端本身同樣有可能受到篡改、并因此成為那些意圖竊取財(cái)產(chǎn)的惡棍們獲取賬戶數(shù)據(jù)的絕佳跳板。

因此，盡管從消費(fèi)者的角度看我已經(jīng)在使用Apple Pay方案，但從安全專家的立場(chǎng)出發(fā)、我必須承認(rèn)其中尚有很多可能導(dǎo)致潛在風(fēng)險(xiǎn)的因素。如果普通消費(fèi)者以及商家打算將支付平臺(tái)大規(guī)模遷移到Apple Pay或者其它同樣利用DAN機(jī)制保障交易安全的系統(tǒng)中去，也許在未來(lái)很長(zhǎng)一段時(shí)間中我們?nèi)匀恍枰εcTarget以及Home Depot曾經(jīng)遭遇的這類大數(shù)據(jù)泄露狀況周旋及斗爭(zhēng)、并最終通往更為安全的資產(chǎn)保障正軌。不過(guò)這是否意味著那些伺機(jī)竊取財(cái)產(chǎn)的犯罪分子會(huì)知難而退，甚至就此罷手？答案當(dāng)然是否定的。

如果支付終端最終不再需要接觸真正的賬戶數(shù)據(jù)，那么它們也就無(wú)法再被作為可行的攻擊目標(biāo)。在這種情況下，我們的對(duì)手會(huì)直接將自己的注意力放在交易鏈中的下一個(gè)薄弱環(huán)節(jié)之上——很可能在于移動(dòng)設(shè)備自身。考慮到這一點(diǎn)，我查閱了最近iOS設(shè)備所遭遇的Masque攻擊，這一事件也引發(fā)了我的興趣。事實(shí)上，此次Masque攻擊在Apple Pay剛剛亮相后即曝出似乎只是單純的巧合，但這已經(jīng)足以提醒我們、不要笨到將這類與財(cái)產(chǎn)相關(guān)的惡意木馬引入到自己的設(shè)備當(dāng)中。

事實(shí)上，目前貨幣交易已經(jīng)在iOS平臺(tái)上被廣泛接受，因此我們可以很自然地想見(jiàn)、iOS未來(lái)將比其它移動(dòng)平臺(tái)面臨數(shù)量更為龐大的潛在威脅。

但這是否意味著我們應(yīng)該徹底遠(yuǎn)離像Apple Pay這樣的服務(wù)方案？這是個(gè)仁者見(jiàn)仁、智者見(jiàn)智的問(wèn)題，相信每個(gè)人都會(huì)給出自己的答案，但我個(gè)人對(duì)這類技術(shù)仍然表示歡迎、并且希望終有一天它能讓我用不著帶著信用卡出門——至少擺脫了鼓鼓囊囊的錢包會(huì)讓我感到心情愉悅。

原文鏈接：http://www.computerworld.com/article/2849680/security0/apple-pay-s-security-pros-and-cons.html

核子可樂(lè)譯