https://www.youtube.com/watch?v=B3CUWh_Q-h4
tldw:
* данные между платёжным терминалом и процессинговым центром ходят через интернет, но очень часто не используют/не поддерживают TLS-шифрование, а потому перехватываются с помощью mitm;
* пинпад подключается к терминалу либо тоже по сети, либо через ком-порт, в обоих случаях протокол одинаковый и данные не шифруются, кроме пин-кода;
* пинпады принимают неподписанные запросы и файлы с отображаемыми формами от терминала, а значит можно запросить ввод пин-кода, который будет передан в открытом виде, и cvv.
доклад о том, что PCI-сертификация это сертификация безопасности систем по отдельности, а не их интеграции, и нужно ебать поставщиков, чтобы поддерживали tls и подписывали все запросы. в общем, ничего нового и вроде было уже на швабре.
поправируйте если что переврал // там ещё что-то про фолбек с чипа на свайп и офлайн-транзакции