В одной из атак Жуй Ван вместе с коллегами из Университета Индианы в Блумингтоне и Microsoft Research использовал плагин для браузера Firefox, чтобы отследить данные, пересылаемые с торгового сайта Buy.com платёжной системе PayPal и обратно. Как только пользователь оплачивает покупку, PayPal отправляет веб-магазину подтверждающее сообщение с кодом, идентифицирующим сделку.
Если платежная система выполняет свою часть процесса на должном уровне безопасности, то Buy.com оказалось довольно легко одурачить, замечает г-н Ван. Вначале специалисты приобрели один товар, после чего отследили подтверждающий код и использовали его повторно для новой покупки. И всё получилось! Иначе говоря, подобную схему можно реализовывать неоднократно.
Тот же метод компьютерщики применили в других электронных магазинах и с другими платёжными системами, получив бесплатно несколько товаров. Разумеется, они их вернули и уведомили компании о "дырах" в системе безопасности.
Главная проблема, по словам г-на Вана, заключается в наличии трёх участников интернет-торговли со стороны продавца: самого магазина, платёжного сайта и приложения, которое осуществляет транзакцию. Поэтому обнаруженные проблемы явно не станут последними.
Результаты работы будут представлены на мероприятии IEEE Symposium on Security & Privacy, которое пройдёт с 22 по 25 мая в Окленде (штат Калифорния).
Подготовлено по материалам NewScientist.
Главные темы