THREAD: Alipay SecurityGuard SDK — What we found and what happened next.

1/7 We reverse-engineered Alipay's SecurityGuard SDK (v10.8.30.8000, 89K Java source files). Found 17 vulnerabilities including a whitelist bypass (CVSS 9.3) that makes all 17 remotely exploitable via a single crafted URL.

18 CVEs filed across 4 MITRE tickets. Vendor says: 'normal functionality.'

#infosec #alipay #vulnerability

@LyrischerPoet @Werftpark @NDR Nur wenn die Akzeptanz von #wero durch #Händler höher ist, weil kritisch für den Erfolg von wero bei Verbrauchern.

• #InstantSEPA als Standard für Überweisungen existiert ja bereits.
• Und wero soll ja #PayPal, #Stripe, (#US-)#Kreditkarten & Co. im #Einzelhandel wie #Online ersetzen.
• Dementsprechend ist aus Händler-Sicht die Frage: "Warum/Wozu soll ich das haben?" nur mit
  • Geringere Gebühren [als andere Zahlungslösungen & -Anbieter!]
  • Schnellere Auszahlungen [durch deren Zahlingsdienstleister!]
  • Höhere #Sicherheit [gegen #Betrug und #Zahlungsausfälle; Also mit Chip+PIN / NFC+PIN samt #Zahlungsgarantien durch wero wie bei GeldKarte & eurocash!]

zufriedenstellend beantwortbar...

D.h. wero muss besser als [seinerzeit] #GeldKarte, #eurocash, #AMEX, #VISA & #MasterCard sein.

• Quasi das #EU-Equivalent von #Mir, #UnionPay & #JCB
  • Bequem wie #AliPay & #WeChatPay in "V.R." #China bzw. #Pasmo & #Suica in #Japan…

@DD3AH +9001%

Wer gegen #VISA, #MasterCard & #PayPal sich durchsetzen will muss für #Händer*innen wie #Kunden* nachweislich besser sein!

Also:

• Günstiger (von der Gebührenstruktur mindestens auf dem Level von #SumUp sein und ≤2,5% pro Transaktion kosten - ohne #Grundgebühren oder anderen Bullshit!)
• Bequemer (so reibungslos wie PayPal oder ne #AMEX swipen)
• Besser verfügbar (#global angeboten und zumindest für alle #SEPA-Konten direkt automatisch ohne Extrakosten verfügbar sein! Wenns schwerer einzurichten und weniger global verfügbar ist als PayPal ist's kein Ersatz!)
• Schneller (Auf dem Niveau von #UATP-Karten. Wenns länger dauert als #Monero ist's selbst für #Gastronomie, #Hotels und #Autovermietung zu lahm!)
• Sicherer (wie #GeldKarte mit #PIN seinerzeit bzw. #Chip+PIN Debitkarten!)

Für mich wirkt die Umsetzung von #wero wie #Selbstsabotage.

• Ob durch #Gier, #Ego, #Inkompetenz oder #Realitätsverweigerung ist irrelevant!
  • So wird das nur zu ner Totgeburt mit weniger Akzeptanz als #JCB, #UnionPay, #AliPay, #WeChatPay in #Deutschland!