尷尬!台北市政府智慧支付平台pay.taipei才剛上線就下線,原因竟是機敏資料未使用HTTPS加密

台北市政府於2017年6月25日正式推出的pay.taipei支付平台,能夠整合台北市政府規費的繳納作業,民眾可以透過pay.taipei繳納停車費、自來水費、聯合醫院等費用。不過在pay.taipei風光上線之後,卻因爆出資安問題,而進行緊急應變處理,並導致App將會暫停服務2至3天。

未使用HTTPS加密

在台北市政府發出的新聞稿中提到:

台北市政府智慧支付平台「pay.taipei」今(25)日正式上線服務,民眾可下載

「pay.taipei」行動 App 或上網站一鍵繳納水費、停車費及聯合醫院醫療費用,

推出首波也結合支付業者各項優惠,吸引民眾加入嗶經濟的智慧行動生活。

可以見得pay.taipei是款便民新措施,但是如果這類牽涉到個人資料與金錢支付相關的服務出現資安漏洞,那麼後果可就會相當嚴重了。

在pay.taipei服務上線之後,域名註冊商GANDI.net的亞洲區總經理Thomas Kuiper就在Facebook上貼文指出,pay.taipei並未使用HTTPS加密技術,並使用固定IP傳送資料。

這樣一來,會讓使用者的機敏資料曝露於高度風險之下,讓有心人士可以輕易竊取、側錄帳號、密碼等資料,甚至可以透過中間人攻擊(Man-in-the-middle attack, MITM)的方式,篡改傳輸的資料內容,讓使用者可能會遭到個資外流、盜刷等情況。

對於此事,台北市政府資訊局也於6月27日晚間9點21分提出說明,指出當日下午2點就發現pay.taipei的App「背景資料未採用較安全的方式傳輸」,並於下午4點改善完畢,網站服務會在27日完成更新重新上線,而App需暫停服務2至3日才會再度上線。

資訊局也坦誠,廠商的設計未能依招標規範規定採用安全的傳輸方式,而資訊局在系統上線時,也未能及早發現其疏失。

尷尬!台北市政府智慧支付平台pay.taipei才剛上線就下線,原因竟是機敏資料未使用HTTPS加密

▲pay.taipei是台北市政府推出的智慧支付平台,能夠繳納停車費、自來水費、聯合醫院等費用。

尷尬!台北市政府智慧支付平台pay.taipei才剛上線就下線,原因竟是機敏資料未使用HTTPS加密

▲題出問題的Thomas Kuiper為GANDI.net的亞洲區總經理。(圖片來源:Thomas Kuiper Linkedin資訊頁

尷尬!台北市政府智慧支付平台pay.taipei才剛上線就下線,原因竟是機敏資料未使用HTTPS加密

▲Thomas Kuiper於個人Facebook上貼文指出pay.taipei的資安漏洞。(圖片來源:Thomas Kuiper塗鴉牆,下同)

尷尬!台北市政府智慧支付平台pay.taipei才剛上線就下線,原因竟是機敏資料未使用HTTPS加密

▲pay.taipei在傳輸過程中並未使用HTTPS加密技術保護資料。

SSL或TLS加密保護資料安全

HTTPS的全名為Hypertext Transfer Protocol Secure(超文字傳輸安全協定),與一般HTTP協定最大的差別,在於會在傳輸過程中為資料加密,以防止資料被側錄、監聽,或是遭到中間人攻擊。

HTTPS連線會透使用SSL(Secure Sockets Layer)或TLS(Transport Layer Security)等加密技術,以非對稱加密方式為傳輸的資料進行加密,這時候只有伺服器與使用者雙方能夠解讀彼此傳送的資料,就算攻擊者在在中途將資料攔截下來,也無法解讀被密碼保護的資料,如果要篡改資料的話,也會因為無法將篡改的資料加上密碼而不能得逞,因此能夠保障資料傳輸的安全。

從資訊安全的角度來看,這個過失算是個低級失誤,不過除了台北市政府之外,Sony之前也曾發生類似的過失,在2011年時,旗下電玩網路服務平台PlayStation Network,也發生了儲存使用者資料時未經加密的事件,導致會員資料外洩後,攻擊者不需破解密碼就能直接看到資料。

回到pay.taipei 事件,Thomas Kuiper也在Facebook表示pay.taipei除了有資安問題外,還有著世界上最醜的標誌,並且在服務上線時藉由一群Show Gril造勢,難道就沒有一些關於pay.taipei的好消息嗎?看來在他眼中,嚴謹的資安規範比Show Gril福利社更加重要。

尷尬!台北市政府智慧支付平台pay.taipei才剛上線就下線,原因竟是機敏資料未使用HTTPS加密

▲Thomas Kuiper也不禁對pay.taipei發出吐嘈。

(標題圖片來源:台北市政府

使用 Facebook 留言

發表回應

謹慎發言,尊重彼此。按此展開留言規則