pay.taipei才剛上線就下線，原因竟是機敏資料未加密
台北市政府於2017年6月25日正式推出的pay.taipei支付平台，能夠整合台北市政府規費的繳納作業，民眾可以透過pay.taipei繳納停車費、自來水費、聯合醫院等費用。不過在pay.taipei風光上線之後，卻因爆出資安問題，而進行緊急應變處理，並導致App將會暫停服務2至3天。<h2>未使用HTTPS加密</h2> <p>在台北市政府發出的<a href="http://doit.gov.taipei/ct.asp?xItem=312194050&amp;ctNode=5582&amp;mp=121001" target="_blank">新聞稿</a>中提到：</p> <blockquote> <p>台北市政府智慧支付平台「pay.taipei」今(25)日正式上線服務，民眾可下載</p> <p>「pay.taipei」行動 App 或上網站一鍵繳納水費、停車費及聯合醫院醫療費用，</p> <p>推出首波也結合支付業者各項優惠，吸引民眾加入嗶經濟的智慧行動生活。</p> </blockquote> <p>可以見得pay.taipei是款便民新措施，但是如果這類牽涉到個人資料與金錢支付相關的服務出現資安漏洞，那麼後果可就會相當嚴重了。</p> <p>在pay.taipei服務上線之後，域名註冊商GANDI.net的亞洲區總經理Thomas Kuiper就在<a href="https://www.facebook.com/schreibmal" target="_blank">Facebook</a>上貼文指出，pay.taipei並未使用HTTPS加密技術，並使用固定IP傳送資料。</p> <p>這樣一來，會讓使用者的機敏資料曝露於高度風險之下，讓有心人士可以輕易竊取、側錄帳號、密碼等資料，甚至可以透過<a href="https://zh.wikipedia.org/wiki/%E4%B8%AD%E9%97%B4%E4%BA%BA%E6%94%BB%E5%87%BB" target="_blank">中間人攻擊</a>（Man-in-the-middle attack， MITM）的方式，篡改傳輸的資料內容，讓使用者可能會遭到個資外流、盜刷等情況。</p> <p>對於此事，台北市政府資訊局也於6月27日晚間9點21分提出<a href="http://doit.gov.taipei/ct.asp?xItem=313796286&amp;ctNode=5582&amp;mp=121001" target="_blank">說明</a>，指出當日下午2點就發現pay.taipei的App「背景資料未採用較安全的方式傳輸」，並於下午4點改善完畢，網站服務會在27日完成更新重新上線，而App需暫停服務2至3日才會再度上線。</p> <p>資訊局也坦誠，廠商的設計未能依招標規範規定採用安全的傳輸方式，而資訊局在系統上線時，也未能及早發現其疏失。</p> <p style="text-align: center;"><img src="https://cdn0-techbang.pixfs.net/system/images/401138/original/427b9bde212c54aa08f04314f1f09cdd.jpg?1498615498" alt="" width="720" height="434" /></p> <p style="text-align: center;">▲pay.taipei是台北市政府推出的智慧支付平台，能夠繳納停車費、自來水費、聯合醫院等費用。</p> <p style="text-align: center;"><img src="https://cdn2-techbang.pixfs.net/system/images/401139/original/5d76c1c5d446cc903081a1e5fcd1a69d.jpg?1498615499" alt="" width="720" height="402" /></p> <p style="text-align: center;">▲題出問題的Thomas Kuiper為GANDI.net的亞洲區總經理。（圖片來源：<a href="https://www.linkedin.com/in/engerim/" target="_blank">Thomas Kuiper Linkedin資訊頁</a>）</p> <p style="text-align: center;"><img src="https://cdn2-techbang.pixfs.net/system/images/401137/original/a467ff37f1dca4b6f8cd270284cb0e68.jpg?1498615497" alt="" width="512" height="800" /></p> <p style="text-align: center;">▲Thomas Kuiper於個人Facebook上貼文指出pay.taipei的資安漏洞。（圖片來源：<a href="https://www.facebook.com/schreibmal" target="_blank">Thomas Kuiper塗鴉牆</a>，下同）</p> <p style="text-align: center;"><img src="https://cdn0-techbang.pixfs.net/system/images/401140/original/ce7c0030e0beab4aaacb4eb74229944e.jpg?1498615500" alt="" width="441" height="419" /></p> <p style="text-align: center;">▲pay.taipei在傳輸過程中並未使用HTTPS加密技術保護資料。</p> <h2>SSL或TLS加密保護資料安全</h2> <p><a href="http://www.techbang.com/posts/17664" target="_blank">HTTPS</a>的全名為Hypertext Transfer Protocol Secure（超文字傳輸安全協定），與一般HTTP協定最大的差別，在於會在傳輸過程中為資料加密，以防止資料被側錄、監聽，或是遭到中間人攻擊。</p> <p>HTTPS連線會透使用SSL（Secure Sockets Layer）或TLS（Transport Layer Security）等加密技術，以<a href="http://www.techbang.com/posts/18781" target="_blank">非對稱加密</a>方式為傳輸的資料進行加密，這時候只有伺服器與使用者雙方能夠解讀彼此傳送的資料，就算攻擊者在在中途將資料攔截下來，也無法解讀被密碼保護的資料，如果要篡改資料的話，也會因為無法將篡改的資料加上密碼而不能得逞，因此能夠保障資料傳輸的安全。</p> <p>從資訊安全的角度來看，這個過失算是個低級失誤，不過除了台北市政府之外，Sony之前也曾發生類似的過失，在2011年時，旗下電玩網路服務平台PlayStation Network，也發生了儲存使用者資料時未經加密的<a href="http://www.techbang.com/posts/5637" target="_blank">事件</a>，導致會員資料外洩後，攻擊者不需破解密碼就能直接看到資料。</p> <p>回到pay.taipei 事件，Thomas Kuiper也在Facebook表示pay.taipei除了有資安問題外，還有著世界上最丑的標誌，並且在服務上線時藉由一群Show Gril造勢，難道就沒有一些關於pay.taipei的好消息嗎？看來在他眼中，嚴謹的資安規範比Show Gril福利社更加重要。</p> <p style="text-align: center;"><img src="https://cdn2-techbang.pixfs.net/system/images/401141/original/ac71a0e5fc8e18d0a728fa10e7b0f64e.jpg?1498615501" alt="" width="512" height="737" /></p> <p style="text-align: center;">▲Thomas Kuiper也不禁對pay.taipei發出吐嘈。</p> <p>（標題圖片來源：<a href="http://doit.gov.taipei/ct.asp?xItem=312194050&amp;ctNode=5582&amp;mp=121001" target="_blank">台北市政府</a>）</p><a href="http://www.facebook.com/TKbang">加入T客邦Facebook粉絲團</a><img src="http://feeds.feedburner.com/~r/techbang/~4/t2ksskOoeLo" height="1" width="1" alt=""/>
