Resumen de los resultados de Google cartera de seguridad

Así, en resumen, aquí están los elementos de la nota de mi análisis de alto nivel. Tenga en cuenta esto no es en absoluto el nivel de las pruebas de una aplicación como esta merece, pero ya que esto se hace en nuestro tiempo, es todo lo que pude hasta el momento. De todos modos, aquí va:

Una buena cantidad de datos se almacenan en diversas bases de datos SQLite incluyendo el balance de la tarjeta de crédito, límites, fecha de expiración, nombre en la tarjeta, fechas de las transacciones y los lugares y más.

El nombre de la tarjeta, la fecha de caducidad, pasado 4 dígitos de tarjetas y cuentas de correo electrónico son recuperables

[Corregido en la versión 1.1-R41v8] Cuando se eliminen las transacciones o Google Wallet es restablecer, los datos son todavía recuperables.

El seguimiento de Google Analytics proporciona información detallada sobre la actividad de Cartera Google. Aunque sé pistas de Google lo que hago, que es un poco frustrante ver que esparcidos por todas partes y quizás de una manera que puede ser interceptado en el cable (no SSL solicitud GET) o en el teléfono (los registros, bases de datos, etc.)

[Corregido en la versión 1.0-R33v6] La aplicación crea una imagen recuperable de mi tarjeta de crédito que se desprende de un poco más de información que la necesaria (nombre, fecha de vencimiento y el último 4 dígitos).Si bien esto no es suficiente para usar una tarjeta de, lo más probable es suficiente para lanzar un ataque de ingeniería social.

Mientras que Google cartera hace un trabajo decente la seguridad de su tarjeta de crédito número total (no es insegura almacenar y un PIN que se necesita para acceder a las tarjetas para autorizar pagos), la cantidad de datos que Google almacena cartera sin cifrar en el dispositivo es importante (casi todo, excepto el primero 12 dígitos de su tarjeta de crédito). Muchos consumidores no les resultaría aceptable si la gente supiera saldo de su tarjeta de crédito o de los límites. Adicional, la capacidad de utilizar estos datos en un ataque de ingeniería social en contra del consumidor directamente o de un proveedor es muy alto. Por ejemplo, si sé su nombre, cuando usted ha utilizado su tarjeta recientemente, pasado 4 dígitos y fecha de vencimiento, Estoy bastante seguro de que podía utilizar la información a mi favor. Cuando se añaden datos que por lo general disponibles en línea (como la dirección de otra persona), un atacante está bien armado para un ataque de ingeniería social exitosa.

Y esta prueba era realmente sólo de muy alto nivel. Análisis mucho más sofisticado y completo de seguridad es necesaria para determinar si otras vulnerabilidades están presentes. Además, consumidores conscientes de privacidad para entender que el análisis de casi todo lo que utiliza Google Wallet para, básicamente, es el precio que paga por el servicio. Para un punto de vista técnico, es muy emocionante ver que Google Wallet en la producción. Sin embargo, que siempre ha sido la posición de viaForensics de que el riesgo de seguridad más grande de aplicaciones con NFC no surgen de la tecnología NFC núcleo, sino que las aplicaciones que utilizan la tecnología. En este caso, la cantidad de datos sin cifrar tienda por Google cartera supera lo que creemos que la mayoría de los consumidores a encontrar aceptable.

a través de Análisis de la seguridad forense de Google Wallet - viaForensics «viaForensics.