Mögliches Sicherheitsproblem mit LED View Cover beim Mobilen Bezahlen (NFC)

[S.]

Hallo Community, hallo Samsung,
kurze Vorgeschichte,
vor kurzem dachte ich noch dass das NFC Bezahlen mit dem LED VIEW COVER nicht funktioniert bzw. man erst das Cover jedes mal öffnen muss damit die Apps (Google Pay und Sparkasse Mobiles Bezahlen) das Gerät als Entsperrt ansehen (hier die Funktion, Bildschirm aktivieren zum Entsperren).
Nun, hier lag ein Bedienfehler von mir soweit vor, habe immer die falsche Stelle (NFC Chip) des Gerätes genutzt (noch Nokia gewöhnt gewesen).
Jetzt zum Problem, bzw dazu was ein Problem sein könnte
Ich habe mir ja gewünscht (als ich noch davon ausging dass ich das Cover immer öffnen muss zum Entsperren) dass die Pay Apps (Google Pay und Sparkasse Mobiles Bezahlen) funktionieren wenn ich das Cover Betätige (Powerbutton um Uhrzeit anzuzeigen oder Ähnliches),
nun habe ich aber festgestellt dass die Terminals das Bezahlen aktivieren obwohl das Gerät nicht aktiviert wurde....
heisst:
- weder muss ich das Cover öffnen
- weder muss ich das Cover aktivieren
- weder muss ich den Screen aktivieren
- weder muss ich den PowerButton aktivieren
somit reicht ein einfaches "ans Terminal" heben des Gerätes mit geschlossenem Cover aus (zumindest mit dem LED VIEW COVER).
Das ist auf der einen Seite ideal (wobei ich mir das ganze eben so gewünscht habe dass ich den PowerButton drücken muss) auf der anderen Seite "kann" dies ein Sicherheitsproblem darstellen da hier im Worst Chase es ausreicht wenn man mit Lesegeräten unbemerkt an das Gerät geht (Hosentsche).
Wie gesagt, wenn die Funktion aktiviert ist in einer der NFC PAY APPs (Bildschirm muss aktiv sein) dann funktioniert mit dem LED VIEW COVER das bezahlen immer obwohl weder der bildschirm noch das Cover aktiviert wurden (im Umkehrschluss heisst dies dass für die APPS der Bildschirm immer aktiviert ist).

 

[L.]

Das ist kein Sicherheitsproblem da Bezahlapps wie GPAY z.B. deine Kartendaten in einen Speziellen Code umwandeln mit denen NFC Lesegeräte nichts anfangen können, sondern nur Terminals in Märkten und mit denen wird kein Dieb rumlaufen.

 

[S.]

Naja trotzdem wird durch diese Kombination ein Sicherhwitsfeature umgangen bzw. ausser Kraft gesetzt.
Ist wohl noch nie jemandem aufgefallen.
Fakt ist,
PayApps sollen nur dann funktionieren wenn man bewusst den Bildschirm aktiviert,
Funktioniwren tut es aber auch ohne dass dieser aktiviert wird, bzw. mit LED View Cover scheint für dieses Apps und diese Sicherheitseinstellung das Display immer an zu sein.
Darauf wollte ich aufmerksam machen,
Wie wann und wieso man mit irgendwelchen Tricks diese Geschichte ausnutzen kann ist ein anderes Thema.
Interessant dürfte nun sein, wird die Pineingabe auch ausgehebelt? Das werde ich mal testen ob das Bezahlen auch ohne irgendwelche Aktivität am Gerät stattfindet wenn Bildschirm An + Entsperren aktiv ist

 

[L.]

Google Pay fordert meistens kein Pin an außer wie wenn du schon oben geschrieben hast wenn es über 25€ ist.
Apple Pay und Samsung Pay benutzen für jede Transaktion Fingerabdruck/Iris Scan/Pin.
Wenn dein Smartphone geklaut wird dann wir GPay natürlich zum Verhängnis weil man in jedem Laden dann die 25€ aus dem Konto ziehen kann es sei denn du sperrst deine Karte.

 

[S.]

Hallo,
BITTE VERRENNT EUCH NICHT INS FALSCHE THEMA
Es geht hier und mir nicht darum welcher Dienst was wie wo zur Sicherheit des Kontos einsetzt,
es geht einzig und alleine darum dass mir aufgefallen ist dass "mit dem LED VIEW COVER" ein Sicherheitsfeature ganz einfach umgangen wird bzw. nicht greift.
Google Pay sowie andere Dienste (hier nochmals Sparkasse Mobiles Bezahlen) fordern als Minimum die Bildschirmsperre, heisst, dass zumindest der Bildschirm aktiviert wird (z.B. durch Doppeltippen, Bewegen, PowerButton usw) , diese Funktion greift mit dem LED VIEW COVER nicht da ein Beizahlen am Terminal auch dann funktioniert wenn das Gerät nicht aktivert wurde (PowerButton, DoubleTap, usw usw), heisst,
- Cover zu
- LEDs aus
- Anhebeerkennung aus
- kein PowerButton
- Display aus
=
Bezahlen geht.
Ohne LED VIEW COVER
=
Bezahlen geht nur wenn etwas davon aktiviert wurde
Gewünscht hatte ich mir mal dass das alles geht sobald man den PowerButton drückt, damit man das Cover nicht öffnen muss, da war mir aber eben noch nicht bekannt dass es auch so geht und zwar ohne irgend einen Unlock.
Praktisch ist das so schon, nur halt ggf. auch unsicher da, od das nun jemand macht oder geht ist ja egal, Zahlungen getätigt werden"KÖNNTEN" auch wenn das Handy nur in der Hosentasche steckt da weder
- Bildschirm aktivieren
- Bildschirm aktiveren und Gerät entsperren
- App muss geöffnet sein
nötig sind.
Anscheinend verhält sich da irgend ewas intern für die Apps wie "Bildschirm aktiv" sobald das LED VIEW COVER angesteckt ist.
Jetzt kommt (SAMSUNG) bitte nicht auf die Idee das komplett zu deaktiveren, egal was ihr damit nun anfangt, bitte lasst es dann wenigstens so dass "POWERBUTTON + LED VIEW geschlosen = Bildschirm aktiv" für die Apps darstellt.
Oder lasst es so wie es alles ist, dann schau ich halt immer wer hinter mir läuft oder mir am **** rumtatscht *1f642.png*

 

[L.]

Es besteht die Möglichkeit dass es deswegen umgangen wird da das Cover eine Verbindung mit dem NFC Chip vom Smartphone herstellt, daher wäre es unmöglich dass abzuschalten wenn das so ist.

 

[S.]

Aber schon interessant ob das zuvor nie aufgefallen ist?

 

[L.]

Es hat zuvor bestimmt niemand versucht mit der Hülle zu Bezahlen und die Geräte sind neu und es kaufen sich auch nicht viele Leute die Hülle

 

[D.]

Gut erkannt L: @SiKr1978
Kein Wunder wenn die 4 Pakete
Beam send & receive
quick tile & peripheral handover
im nfc Paket ständig aktiv sind
Samsung hat es gemerkt, manche User klagten über das verschwinden des AOD im Clearcover und LED Cover mitten im April Patch
um eben diese evtl Verbindung durch das Cover zu unterbinden ...
Es liegt aber nicht am Cover
Es ist die NFC und Payment Einstellung bei den Verbindungen .
Wenn diese eingeschaltet ist dann ist nfc aktiv
aber wenn man den Schalter wieder schließt ist das nfc immer noch aktiv
Man muss zu den Apps... System Apps anzeigen
und den nfc service selber stoppen
Danach wird nichts mehr nach draußen gestrahlt
Wenn man diesen Dienst wieder benötigt dann einfach den Schalter bei den Verbindungen nfc & payment wieder einschalten