Security – ostatnie różności (zabezpieczenia moBILETu ponownie).

Wczorajszy dzień jakoś tak obfitował w wydarzenia związane z bezpieczeństwem, że postanowiłem to podsumować.

Po pierwsze, po dyskusji z netu na ten temat, postanowiłem się przyjrzeć moBILTowi. W sumie po raz kolejny bo i na zabezpieczenia patrzyłem (i to dwa razy). Przy dyskusji zeszło oczywiście na temat jak oni to sprawdzają (jak pisałem, sprawdzają źle) oraz jak mogą sprawdzać. Oczywiście najdoskonalsza wersja, to sprawdzenie online (odpytanie bazy o fakt skasowania danego biletu). Ponieważ twierdziłem, że jakby napisanie fake’owej aplikacji było proste (grafiki są – jak pisałem – dostępne, cudów tam nie ma, zwykła Java ME i trzy semi statyczne ekrany), to na pewno studenci (taki gatunek człowieka, co to nigdy kasy nie ma, dostęp do wiedzy i czas ma (chyba, że akurat pije, co mimo braku kasy zdarza się często, albo sesja), więc do skutecznego kombinowania pierwszy) by to zrobili. I że pewnie jest algorytm, który na podstawie cyfr/kodu z biletu pozwala zweryfikować prawdziwość biletu offline.

Nie ukrywam, że pozazdrościłem Niebezpiecznikowi opisu hackowania karty IKEI w celu dostania kawy, więc był czas, kawa, motywacja…

Bliższe przyjrzenie się ujawniło, że to, co brałem za QR code, to raczej Aztec code. Na dodatek odwrócone kolory ma (nie doczytałem, czy oryginalny Aztec na to pozwala, na wiki wszystkie są odwrotne). Ale Neoreader czyta to. Po przeczytaniu okazuje się, że twórcy nie ułatwili kontrolerom pracy – nie ma żadnego unikatowego ID zaszytego w tym kodzie. Jest tylko dokładny timestamp kasowania biletu. Opieram się wyłącznie na screenach dołączonych do instrukcji na stronie (dead link) – wyglądają na prawdziwe.

Niestety, inaczej niż w przypadku Niebezpiecznika, ludzie zawiedli. Apel na blipie pozostał może nie tyle bez odpowiedzi (odezwały się 2 osoby, z czego tylko jedna mogłaby pomóc), co bez danych. Pozostali znajomi nie odezwali się jak na razie z danymi, więc zostałem tylko ze swoimi danymi. Szybka analiza wykazuje, że są tak naprawdę 3 dane brane pod uwagę. Dokładny czas kasowania, numer ze strony pierwszej, bieżący numer ze strony drugiej i… tyle. Przy czym numer ze strony pierwszej jest stały (być może dla danego użytkownika, typu usługi, regionu) w trakcie jednego dnia. Natomiast bieżacy numer to po prostu inkrementowane ID w bazie (też nie wiem, czy dla danego typu usługi i regionu, czy transakcji globalnie, ale wiem, ile przyrasta dobowo).

Szybkie odświeżenie wiadomości z pracy magisterskiej i naklepanie prostego AG (algorytmu genetycznego) w Perlu nie przyniosło rezultatu w postaci znalezienia korelacji między datą danego dnia, a numerem ze strony pierwszej, choć na oko wygląda, że taka może istnieć (Perl i algorytm wolne i nie do końca przemyślane). Tak naprawdę czekam na więcej danych, w szczególności chcę porównać, czy dany numer jest stały dla wszystkich użytkowników (i usługi) w danym dniu. Jeśli jest, to ewidentny błąd twórców moBILETu – nawet jeśli nie ma algorytmu, to wystarczy, że jeden student skasuje bilet w danym dniu i przekaże numer innym. I nie da się zweryfikować offline, na podstawie sumy kontrolnej czy czegoś takiego, czy to autentyczny bilet…

Po drugie, za sprawą wpisu u Marcina Kasperskiego dowiedziałem się, że wbrew temu, co mówili sceptycy, słynną Nokię 1100 da się wykorzystać do przechwytywania SMSów z kodami jednorazowymi do transakcji. Czarny scenariusz się sprawdza – kody SMS nie są bezpieczne, istnieje metoda na oszukanie czytnika kart chipowych… Nadchodzą niedobre dni dla banków internetowych?

Po trzecie, atak phishingowy na Lucas Bank (dead link). Tu lekka lipa ze strony banku, bo korzystajac z formularza kontaktowego na stronie nie możemy wprost zgłosić takiego zdarzenia. Co więcej, wymagane jest podanie adresu email. A korzystając z tego formularza wyrażamy zgodę na przysyłanie spamu przez bank. Słowo kretyn w stosunku do osoby, która to wymyśliła nie oddaje w pełni tego, co chcę wyrazić…

UPDATE: Szybkie sprawdzenie z mobiletem kumpla pokazuje, że numer ze strony pierwszej jest stały w obrębie danego dnia dla wszystkich użytkowników (danej usługi, w danym regionie, kupujących dany typ biletu).

7 odpowiedzi do “Security – ostatnie różności (zabezpieczenia moBILETu ponownie).”

  1. witam, czyalem wszystkie watki dot. mobiletu, sa jakies nowe informacje albo sposoby na tansza komunikacje miejska:)? pozdro

  2. Informacji nie ma z racji tego, że brakuje czasu na tuning AG (nie udało mi się nawet doprowadzić do sensownego działania na danych testowych, a tu brak pewności, że zależność istnieje), ale jak ktoś chce oszukać, to wystarczy już teraz dogadać się z ludźmi z danego miasta, że pierwszy kasuje bilet i podaje numer pozostałym. No i naklepać fake aplikację na telefon, która ten numer wyświetli. IMO przejdzie w 9x% kontroli.
    Jeśli chodzi o sposoby na tańszą komunikację miejską, to najlepszy jest/był ktoś z najbliższej rodziny w MZK. Kiedyś współmałżonkowie i dzieci miały w takim przypadku bezpłatne przejazdy. Nie wiem, czy jeszcze istnieje, ale nie do pobicia jest. 😉

  3. Przy okazji sposób na zainstalowanie mobilet na telefonie oficjalnie nie wpieranym. Potrzebny będzie firefox z dodatkiem agent switcher.
    1. W panelu zmieniamy dane na nasz nowy telefon.
    2. W odpowiedzi otrzymujemy link do strony z linkiem do aplikacji (jad).
    3. Ustawiamy w firefoksie agent switchera na agenta naszej przeglądarki www z telefonu i ściągamy plik jad na komputer. Link do jar jest identyczny jak do jad oczywiście z innym rozszerzeniem.
    4. Instalujemy offline.
    Sprawdzane na samsungu i8910 przy wyborze nokii n97. Wersja mobilet dedykowana dla nokii xpress5800.

  4. Witam.

    Chciał bym pogadać do czego z tym doszedłeś i czym możesz się podzielić 🙂 bo chce troszeczkę pomielić ten temat… konkretnie mo biletu

    gadu 995808

  5. Nie drążyłem zbytnio dalej tematu. Gdyby była grupa ludzi, z których codziennie jeden kasuje bilet i podaje numer w sieci, to osoba chcąca oszukać w prosty sposób może napisać aplikację, która będzie udawała mobilet, pobierze aktualny numer z sieci i wyświetli identyczne informacje na ekranie, jak mobilet.

    GG nie mam, sposoby kontaktu w dziale kontakt, ale nie sądzę, bym miał coś do dodania w tym temacie. Idea mobiletu bardzo mi się podoba i nie chciałbym, by to padło. Zresztą zabezpieczenie przed takim procederem jest trywialne.

Dodaj komentarz

Twój adres email nie zostanie opublikowany. Pola, których wypełnienie jest wymagane, są oznaczone symbolem *