超市收银台前，队伍慢慢往前挪。轮到自己时，把手机屏幕往扫码枪前一递，"滴"的一声，钱就出去了。
整个过程,不需要输入密码,不需要指纹,也不需要刷脸。有没有想过一个问题——为什么主动扫别人的收款码，得走一遍验证流程，而被别人的扫码枪扫一下，钱说走就走？
答案其实藏在一个大多数人从没认真读过的地方：用户协议。注册支付账户的那一刻，"免密支付"这个选项就已经悄悄挂在了默认设置里。
它不是被人偷偷开启的，是每个人自己"同意"过的。只是那份长得能让人睡着的协议，几乎没人翻到底。被动付款码就是为免密而生的。
它的逻辑很简单：小额、高频、追求效率。菜市场的一斤白菜，便利店的一瓶水，地铁口的一份煎饼——如果每一笔都要走一遍指纹验证，收银台前的队伍能排到马路对面。
单笔上限一般是一千块。超过这个数，系统才会拦下来让人输密码。这道门槛，是平台在便利和安全之间画的一条线。
想关掉也很简单。打开支付应用的安全设置，找到"免密支付"，一键关闭。之后每一次付款，都会老老实实要求验证。
但真正让人担心的，从来不只是免密支付本身。风险的另一头，在那些看起来无害的二维码上。
在日常生活中，扫码这个动作已经变得像呼吸一样自然。超市付款、菜市场买菜、地铁进出、共享单车、餐厅点单、加油站结账——一天下来，二维码可能被扫十几次。
正常情况下，扫描一个二维码是看不到这个码背后的信息的。这句话说出来轻描淡写，实际上是所有二维码骗局的技术起点。
如果扫到一个不明来源的二维码，可能会发生一些意想不到的事情。来自阿里安全团队的一位安卓方向研究员曾演示过一个真实的攻击场景。
当扫描二维码的同时，攻击者就可以获取到手机的高权限。在攻击者获取到这个高权限之后，其实就等同于攻击者控制了这部手机。
控制到什么程度？它可以通过手机安装一个任意的应用，也就是手机里原本不存在的一个APP。它可以控制手机去拨打一个任意的电话号码。
它可以通过控制手机的摄像头，包括前置摄像头和后置摄像头，去拍任意的照片。它可以获取到这些新拍的照片，也可以获取到相册里面的其他照片。
整个过程，用户看到的只是一个网页在加载。这种攻击场景，它背后的原理是这样的：任何一个手机系统都是非常复杂的，没有任何人能够保证它的安全性是百分之百的。
在这种情况下，它一定会存在一些安全的漏洞。这些漏洞有可能被一些不法分子所利用。
他们会通过这样的漏洞攻击手机，进而获取到手机的最高权限，然后来获取利益。好消息是，上述演示中所使用的全部漏洞，到目前为止都已经被修复了。
坏消息是，新的漏洞永远在被发现的路上。2018年初，阿里安全的研究员在手机网络的子模块里发现了一些设计上很奇怪的地方，通过写代码验证，确认问题真实存在，随后把细节上报给了Google安全团队。
上报之后，在安全圈有一个类似于奥斯卡评奖的评选，这个漏洞获得了"最佳提权"类别的提名。提权，是安全术语里最有分量的两个字。
它意味着一个普通权限的程序，可以突破边界，拿到系统级别的控制力。放到手机上，就意味着一个看似普通的网页链接，能够把整部手机变成攻击者的操控对象。
在日常生活中，除了大家所熟知的扫二维码，手机上还会用到蓝牙、Wi-Fi 这些功能。每一个连接协议，每一个开放接口，都可能成为攻击的入口。
去发现这些漏洞、发现这些问题的出发点，是要做防守或者做一些防御方案的话，需要做一些攻击方面的研究。有一句话叫做"未知攻，焉知防"。
不明白别人这个攻击是怎么做的，就没有办法去设计一个合理的防御方案来防止缺陷被恶意使用。这也是为什么，全球主流的手机厂商和操作系统提供商都在花大价钱养安全研究团队，甚至公开悬赏漏洞。
攻和防，从来是同一枚硬币的两面。回到超市扫码枪这个话题。
扫码枪之所以能够直接把钱扫走，除了免密支付的机制，还有另一层容易被忽略的原因——它保护的其实是双方。早些年，二维码骗局层出不穷。
有不法分子专门跑去店里，把商家贴在柜台上的收款码悄悄换成自己的。顾客扫码付款，钱进了骗子的账户，店主要到晚上盘账才发现不对劲。
哪怕现在很多商户装了收款语音播报，也依然有人能在这个环节动手脚。扫码枪反过来，是商家扫顾客的付款码。
设备在商家手里，收款账户绑定在商家系统里，钱有没有到账，POS 系统上一目了然。想在中间做手脚，难度陡然上升。
从这个角度看，扫码枪不只是效率工具，也是一道防线。当然，风险并没有消失，只是换了个位置。
手机一旦丢失或被盗，被动付款码就成了风险敞口。别人拿着解锁的手机，调出付款码，理论上是可以在千元以内自由消费的。
所以对个人来说，几件事需要放在心上。手机的物理位置永远要在自己视线可控的范围内。付款码不要提前打开挂在屏幕上等着别人扫。
锁屏密码、支付密码不要告诉任何人，包括最亲近的人。手机丢失的第一时间，不是找手机，是打运营商挂失、登录支付平台冻结账户。
至于二维码本身的安全，那位安全研究员给出的三条建议，简单但有效。一，及时升级手机系统。系统更新里大部分内容看起来很枯燥，但真正重要的往往是那些"修复了若干安全问题"的说明。每一次升级，都是在关闭已知的攻击窗口。
二，不要去扫来源不明的二维码。街边小广告、陌生短信里的链接码、来路不清的抽奖码、贴在电线杆上的"免费领"，这些都是高风险入口。收益越诱人，越要多想一秒。
三，从正规渠道下载 APP。应用市场的官方版本，和某个陌生链接跳转下载的"同名"应用，往往是完全不同的东西。仿冒 APP 的目标很直接——盗取账号密码，进而造成个人信息和财产损失。
网络上存在一些被大家熟知的黑客，也有一些黑产的攻击者，他们做攻击的动机很纯粹——为了获取利益。这就意味着，只要账户里有钱、手机里有隐私、身份证号有价值，普通人就永远在潜在的攻击目标名单上。
好在这个名单太长了，长到大多数人一辈子都不会真正被针对。但概率不是零。被动付款码的免密机制，是无数次便利体验换来的一点点风险敞口。
扫码枪能一秒把钱扫走，是效率的胜利，也是信任的产物——用户信任平台，平台信任商家，商家信任设备，设备信任系统。这条信任链上的每一个环节，都在被无数安全工程师默默守护着。
真正决定普通人钱包安全的，其实不是那一千块的免密额度，而是三件小事：一部及时更新的手机、一份对陌生链接的警惕心、一个不随便乱扫的习惯。
扫码枪不需要密码，因为背后有一整套复杂机制在替我们把关。但把关的最后一环，永远是屏幕这一头的自己。
辉煌优配-杠杆炒股-杠杆配资网-实盘配资平台APP提示：文章来自网络，不代表本站观点。
