第一个问题：被动 MITM 是否有任何补救措施？
我遇到过 NFC 中继攻击的示例，这些攻击使用手机绕过 NFC 支付的邻近要求。
它看起来像这样：（
[card | phone1] ----------------------> [phone2 | terminal]正常操作是[card | terminal]）。
许多论文将此列为一个漏洞，但我还没有看到任何体面的方法来缓解这个问题。我看到描述的一种缓解措施是对交易有更严格的时间安排，但这很容易被专门的设备打败，而不是现成的电话。我想如果你推动这个，理论上你可以限制响应时间，以至于它实际上不可能进行中继（但是祝你好运，让它变得便宜和可靠）。
TL;DR：是否有任何可能的缓解措施，或者各种技术中的邻近性要求基本上是垃圾？
对于 NFC 技术，迄今为止提供的主要解决方案是距离限制，其中严格定时交换挑战和响应使验证者相信证明者的距离不能超过一定距离。然而，这种解决方案有一些缺点：
它仍然不会说验证者正在与之交谈的特定端点是否是预期的端点。它只会告诉验证者真正的证明者是否在附近。
它涉及到硬实时处理来测量传输时间并推断距离。
这也适用于普通芯片卡。它不仅限于 NFC。如果您设法对用户进行社会工程，使其在假终端上使用该卡，那么中继攻击也可能发生。
距离限制的一种解决方案是在服务器端应用逻辑来检查特定的身份验证尝试是否在逻辑上是正确的。
假设您有 2 个建筑物。一个在纽约，一个在华盛顿特区。驾车或乘坐公共交通工具的最短路程为 3 小时 35 分钟。所有员工都可以进入这两座大楼。
现在您可以应用逻辑，例如，如果最近在 A 楼尝试使用特定卡进行身份验证，则在 3 小时 15 分钟内在 B 楼尝试使用同一卡进行身份验证将导致该卡被永久锁定并且必须解除锁定经管理员调查后。这也为补偿时钟不同步提供了 20 分钟的余地，并且有人会更快地乘坐火车或汽车到达。
同样可以在建筑物内（步行速度计算）或支付卡网络中应用，以确保交易确实“看起来正确”（例如，持卡人没有在不到 1 小时内传送到地球的另一端）。
这就是今天的支付卡网络所做的，使用行为感应来检测欺诈交易。这就是为什么您的银行可以在交易清算之前打电话给您批准交易。