作者nkhs9412235 (柚子)
看板MobilePay
標題Re: [閒聊] pi拍錢包支付密碼bug
時間Wed Aug 29 18:27:01 2018
剛剛粉絲頁出了第二版懶人包，完整連結：
https://www.facebook.com/1527672804202549/posts/1931466637156495/
https://i.imgur.com/VEWJ8T1.jpg
簡單來說就是因為沒有存密碼在手機，有可能密碼輸入錯誤還會過，但不會付款成功
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 27.52.200.167
※ 文章網址: https://webptt.com/m.aspx?n=bbs/MobilePay/M.1535538423.A.28C.html
※ 編輯: nkhs9412235 (27.52.200.167), 08/29/2018 18:27:22
1F：推 HTConeplus: 本就不該出現的頁面... 08/29 18:32
2F：推 peter700: 重新定義二維條碼... 08/29 18:52
3F：噓 qe586: 錯就是錯 別一堆理由 08/29 19:03
4F：→ qe586: 官方申明還有錯字 到底管理有多鬆散 08/29 19:04
5F：噓 orange21: 樓上 是 聲明 08/29 19:07
6F：推 faiechien: XDDDDD 08/29 19:26
7F：→ Sheng98: 臉好腫 08/29 19:27
8F：→ Sheng98: 這樣產生的條碼 "才" 實際交易....... 08/29 19:27
9F：推 lianpig5566: 本來就這樣了阿 08/29 19:54
10F：→ lianpig5566: 還沒改版前的pi錢包 就有說明了..... 08/29 19:54
11F：→ lianpig5566: 改版之前會寫 「輸入密碼時，不會驗證」 08/29 19:55
12F：→ Goog1e: 我可以接受這樣的說法耶 很好的設計 08/29 19:58
13F：→ Goog1e: 不過應該讓使用者清楚 不然顯示出條碼會怕 08/29 19:58
14F：推 peter700: 輸入密碼不會驗證，那輸入錯的密碼怎麼會跳錯誤，這個設 08/29 20:09
15F：→ peter700: 計邏輯... 08/29 20:09
16F：→ henrysu1625: 我也覺得這想法不錯欸 如果用戶手機沒網路 還是先產 08/29 20:14
17F：→ henrysu1625: 生條碼 讓商家的pos機來負責驗證密碼 08/29 20:14
18F：→ Sheng98: 利用商家 pos 掃入暫時性條碼然後回傳到 pi 做密碼驗證? 08/29 20:18
19F：噓 HTConeplus: 要輸入密碼 就是需要驗證.... 這樣的設計好嗎 我不這 08/29 20:54
20F：→ HTConeplus: 麼想 說到離線付款 支付寶也能離線付款 但有看到支付 08/29 20:55
21F：→ HTConeplus: 寶要你輸入密碼無論正確與否都通過的嗎? 這是安全性 08/29 20:55
22F：→ HTConeplus: 問題 怎麼會混為一談呢? 為什麼不肯承認這就是重大的 08/29 20:55
23F：→ HTConeplus: 問題 立刻修復就好? 還可以特地做PTT說這樣的設計有 08/29 20:55
24F：→ HTConeplus: 原因 我真的要暈了 08/29 20:55
25F：→ HTConeplus: 我真的超暈 PPT 跟 PTT 都搞不清楚了 唉... 08/29 20:55
26F：推 ckkaze: 所以意思是用戶的付款密碼都存在你們pi系統裡？！而不是存 08/29 20:55
27F：→ ckkaze: 在手機裡？！這是認真的嗎.. 08/29 20:55
28F：推 mangogreen17: 所以支付密碼在伺服器 會外洩的意思嗎XD 08/29 21:22
29F：推 lianpig5566: 街口也是密碼存在伺服器阿... 08/29 22:59
30F：→ lianpig5566: LINE Pay也是密碼存在伺服器阿 08/29 22:59
31F：推 spirit119: 歐付寶也是存在伺服器上阿 08/30 04:09
32F：推 Hsieh0709: 小弟猜應該是用 hash functions 的方式加密過吧 因為是 08/30 06:12
33F：→ Hsieh0709: one way 不可逆 也不用擔心明碼存在伺服器 但實際他 08/30 06:12
34F：→ Hsieh0709: 們怎麼實作我也不知道 只是猜的XD 資安部分還是要有公 08/30 06:12
35F：→ Hsieh0709: 正第三方來檢驗比較安心QQ 08/30 06:12
36F：→ Hsieh0709: 不知道亂try失敗的異常交易紀錄 有沒有鎖住機制 不然真 08/30 06:15
37F：→ Hsieh0709: 的蠻危險的 08/30 06:15
38F：推 mangogreen17: 看了是我誤會了 08/30 12:38
39F：→ mangogreen17: 只記得指紋辨識的資料只存在手機 不存於伺服器XD 08/30 12:38