台北市政府于 2017 年 6 月 25 日正式推出的 pay.taipei 支付平台，能够整合台北市政府规费的缴纳作业，民众可以透过 pay.taipei 缴纳停车费、自来水费、联合医院等费用。不过在 pay.taipei 风光上线之后，却因爆出资安问题，而进行紧急应变处理，并导致 App 将会暂停服务 2 至 3 天。
未使用 HTTPS 加密
在台北市政府发出的新闻稿中提到：
台北市政府智慧支付平台“pay.taipei”今（25）日正式上线服务，民众可下载
“pay.taipei”行动 App 或上网站一键缴纳水费、停车费及联合医院医疗费用，
推出首波也结合支付业者各项优惠，吸引民众加入哔经济的智慧行动生活。
可以见得 pay.taipei 是款便民新措施，但是如果这类牵涉到个人资料与金钱支付相关的服务出现资安漏洞，那么后果可就会相当严重了。
在 pay.taipei 服务上线之后，域名注册商 GANDI.net 的亚洲区总经理 Thomas Kuiper 就在 Facebook 上贴文指出，pay.taipei 并未使用 HTTPS 加密技术，并使用固定 IP 传送资料。
这样一来，会让使用者的机敏资料曝露于高度风险之下，让有心人士可以轻易窃取、侧录账号、密码等资料，甚至可以透过中间人攻击（Man-in-the-middle attack， MITM）的方式，篡改传输的资料内容，让使用者可能会遭到个资外流、盗刷等情况。
对于此事，台北市政府资讯局也于 6 月 27 日晚间 9 点 21 分提出说明，指出当日下午 2 点就发现 pay.taipei 的 App“背景资料未采用较安全的方式传输”，并于下午 4 点改善完毕，网站服务会在 27 日完成更新重新上线，而 App 需暂停服务 2 至 3 日才会再度上线。
资讯局也坦诚，厂商的设计未能依招标规范规定采用安全的传输方式，而资讯局在系统上线时，也未能及早发现其疏失。
▲ pay.taipei 是台北市政府推出的智慧支付平台，能够缴纳停车费、自来水费、联合医院等费用。
▲ Thomas Kuiper 于个人 Facebook 上贴文指出 pay.taipei 的资安漏洞。
▲ pay.taipei 在传输过程中并未使用 HTTPS 加密技术保护资料。
SSL 或 TLS 加密保护资料安全
HTTPS 的全名为 Hypertext Transfer Protocol Secure（超文字传输安全协定），与一般 HTTP 协定最大的差别，在于会在传输过程中为资料加密，以防止资料被侧录、监听，或是遭到中间人攻击。
HTTPS 连线会透使用 SSL（Secure Sockets Layer）或 TLS（Transport Layer Security）等加密技术，以非对称加密方式为传输的资料进行加密，这时候只有服务器与使用者双方能够解读彼此传送的资料，就算攻击者在在中途将资料拦截下来，也无法解读被密码保护的资料，如果要篡改资料的话，也会因为无法将篡改的资料加上密码而不能得逞，因此能够保障资料传输的安全。
从资讯安全的角度来看，这个过失算是个低级失误，不过除了台北市政府之外，Sony 之前也曾发生类似的过失，在 2011 年时，旗下电玩网络服务平台 PlayStation Network，也发生了储存使用者资料时未经加密的事件，导致会员资料外泄后，攻击者不需破解密码就能直接看到资料。
回到 pay.taipei 事件，Thomas Kuiper 也在 Facebook 表示 pay.taipei 除了有资安问题外，还有着世界上最丑的标志，并且在服务上线时借由一群 Show Girl 造势，难道就没有一些关于 pay.taipei 的好消息吗？看来在他眼中，严谨的资安规范比 Show Girl 更重要。
▲ Thomas Kuiper 也不禁对 pay.taipei 发出吐嘈。
（本文由 T客邦 授权转载；首图来源：shutterstock）
延伸阅读：
- 台北市有自己的 pay，公共服务进入哔经济
