Tag: security

Opublikowane w

Wrażenia z roweru wypożyczenia.

No to dziś pierwszy raz przejechałem się rowerem z wypożyczalni nextbike.pl. Akurat wybierałem się pod jedną ze stacji, i miałem nieco czasu wolnego, więc postanowiłem przetestować system wypożyczeń w praktyce.

Na początku odstałem chwilę w ogonku, bo jedna osoba próbowała wypożyczyć rower, a kolejna oddawała. W końcu moja kolej. Wprowadzam numer telefonu, który wyświetla się wielkimi wołami, widocznymi z kilku metrów na ekranie, następnie PIN. Na klawiaturze, której przysłonić nie sposób. Hell, yeah.

Po wprowadzaniu danych system podał mi PIN do zapięcia. Oczywiście tylko na ekranie, żeby nie było za łatwo. Ale OK, przyjmijmy, że zapamiętanie 4 cyfr jest wykonalne, także między stacjami. Odwracam się do mojego roweru i widzę, że właśnie kończy go odpinać osoba, która stała jako pierwsza w kolejce. Chwila wyjaśnienia i okazuje się, że wybraliśmy ten sam rower. A system pozwolił mi wypożyczyć już wypożyczony rower. Hell, yeah!

Zwracam niedostępny dla mnie rower (na szczęście się udało) i wybieram kolejny. Tym razem nikt go nie zwija sprzed nosa, ale… nie zauważyłem, że rower ma bonus w postaci przypiętego do niego kolejnego roweru. Kolejny zwrot. Hell, yeah!

Podejście trzecie. Numer telefonu, PIN i… system pyta o kartę kredytową. I tak parę razy. W końcu udaje mi się uzyskać kod do zapięcia i wypożyczyć rower. Tak nawiasem, kod był już ustawiony, wystarczyło pociągnąć. A jeden z rowerów był w ogóle nieprzypięty (ale też niedostępny do wypożyczenia). Taka uwaga do wpisu o zabezpieczeniach rowerów miejskich.

Jadę. Siodło jakieś twarde, dziwnie się jedzie z nieruchomym koszykiem na kierownicy (dałbym głowę, że powinno się skręcać). Może dawno nie jechałem, ale bardziej czuć go góralem, niż klasycznym miejskim z wysoką kierownicą typu jaskółka, do których przywykłem w Holandii. Mniejsza, jedzie do przodu, ma przerzutki, hamulce działają, dzwonek jest. Po chwili stresu, bo jazda po Poznaniu po ulicy nie należy do przyjemności, docieram na miejsce.

Powtarzamy grę w podawanie numeru telefonu i PINu parę razy, przeplataną o numer karty kredytowej. W końcu udaje mi się zwrócić rower. Uff… Podsumowując: wypożyczenie jednego roweru wymagało podania numeru telefonu i PINu jakieś 10 do 15 razy! Hardcore.

Czy powtórzę wypożyczenie? W ostateczności… Jako alternatywa dla komunikacji miejskiej, a tak chciałem korzystać, raczej się to nie nadaje. Wypożyczenie i zwrot trwają zbyt długo.

UPDATE: Dziś powtórzyłem wypożyczenie. Znaczy próbowałem, bo PIN, który został mi podany do danego roweru najzwyczajniej nie działał (i ponownie był ustawiony na zapięciu na stojaku). Wkurzyłem się, zrobiłem zwrot i poczekałem 2 minuty na tramwaj. Przy okazji wyszła kolejna niedziałająca rzecz: mimo zaznaczenia w panelu Przy każdym wypożyczeniu i zwrocie ze względu na bezpieczeństwo proszę pytać mnie o mój Wrocławski Rower Miejski (WRM) PIN. Po zameldowaniu otrzymasz PIN przez SMS, żadnego SMSa przy dzisiejszym wypożyczeniu nie dostałem.

UPDATE2: Po namyśle, opcja z PINem przy wypożyczeniu i zwrocie nie działa tak, że dostaję SMS z kodem do przepisania przy każdym wypożyczeniu/zwrocie. Czyli nie jest to hasło jednorazowe (hm, to co za bezpieczeństwo większe to wprowadza?). Nie zmienia to faktu, że i tak nie działa, tylko w drugą stronę – pytało mnie o PIN nawet, gdy nie miałem zaznaczonej tej opcji, czyli zaznaczenie lub jego brak nic wg mnie nie zmienia.

Opublikowane w

Rowery miejskie – zabezpieczenia.

Rowery miejskie Poznań

Źródło: fot. własna.

Niedawno dowiedziałem się, że znajomy ma konto do wypożyczania rowerów miejskich w Poznaniu. Porozmawialiśmy trochę, ponarzekaliśmy trochę na procedury (np. konieczność posiadania minimum 10 zł na koncie, żeby cokolwiek wypożyczyć) i doszliśmy do momentu, kiedy stwierdziłem, że chętnie bym się przejechał rowerem, choć bez upierdliwego zakładania konta. No i okazało się, że dodatkowo nie da się bez telefonu, bo na telefon jest przysyłany kod do zapięcia. A już miałem nadzieję, że wystarczy PIN do systemu pamiętać, bo przecież chyba jest budka z terminalem…

Co sprowokowało do zastanowienia się nad tematem jakby tu obejść te głupie wymagania. No i wyszło mi, że praktycznie zabezpieczenia są żadne, bo albo zabezpieczenie z kodem jest przywiązane do stacji, albo do roweru (z tego co wiem, to drugi wariant). Czyli każdy, kto wypożyczył dany rower zna do kod do jego zapięcia. Przynajmniej przez jakiś czas (zakładam, że co jakiś czas kody są zmieniane, choć pewnie niezbyt często, bo wygląda to na dość skomplikowaną akcję).

Zresztą na kradzież roweru miejskiego nie trzeba było długo czekać. Jako główne zabezpieczenie w artykule wymieniany jest – słusznie – charakterystyczny wygląd roweru. Zastanawiam się, czy mógłby w takim razie zadziałać system oparty na dobrowolnych opłatach: charakterystyczne rowery, można je wziąć i zostawić w dowolnym miejscu, płatność podobnie jak dotychczas, czyli prepaid. Oczywiście wiem, że coś podobnego było kiedyś w Amsterdamie (tyle, że bez opłat) i wtedy nie wyszło. Teraz można by dorzucić trochę techniki i wyposażyć rower w GPS i modem do przesyłania pozycji (prąd by się znalazł, skoro rower jeździ), żeby można je było odnaleźć, gdy ktoś odstawi w dziwnym miejscu. Tylko czy GPS i modemu nie ukradną? :-/

Opublikowane w

Historia pewnego spamu.

Dzisiejszy dzień w pracy zaczął się jak zwykle od rzutu oka na maile. Jeden z jak się okazało ciekawszych został w pierwszej chwili zignorowany. Ot, spam jakich wiele. Tyle, że warszawska restauracja i załącznik w PDF. Ale po chwili zaczęły na niego odpowiadać kolejne osoby, więc pojawił się mały WTF w głowie. Pojawiły się też informacje, że lista adresatów jest zbieżna z uczestnikami PLNOG.

Faktycznie, o pomyłce nie mogło być mowy. Rzut oka w źródło ujawnił 470 (sic!) maili w polu To, lista na oko zbieżna z uczestnikami PLNOG. Pojawiła się informacja, że maile może zebrane z wizytówek, ale szybko upadła, bo okazało się, że część ludzi nie dzieliła się wizytówkami, część w ogóle nie dotarła na konferencję… Tak, autor spamu wysłał go do 470 osób, z których pewnie większość zajmuje się zawodowo zwalczaniem spamu i nieźle zna prawo, na dodatek to podając pełną bazę adresów email. Mniej więcej odpowiednik śpiewania Legia, Legia, kur… (polecam obejrzeć, jeśli ktoś nie zna tej wersji ;-)) w obecności grupy kibiców Legii.

Być może sprawa rozeszłaby się po kościach, bo podejście było od suchego „nie wyrażałem zgody na przetwarzanie danych, proszę o usunięcie z listy” po humorystyczne komentarze ale autor spamu postanowił się pogrążyć i zamieścił szybkie „przeprosiny”, którymi dolał oliwy do ognia. Otóż obwieścił on, że przeprasza, a pracownik, który pobrał bazę z forum został już zwolniony. Przypominam, że napisała to osoba wysyłająca maila, a przynajmniej podpisana pod nim. Po około 90 minutach od początkowego spamu. Oczywiście wszyscy „uwierzyli” w tak szybkie działanie i „wyciągnięcie wniosków” (szczególnie, że znów poszło do wszystkich z jawnym To ;-)), parę osób zainteresowało się, cóż to za forum, gdzie takie wesołe bazy są zamieszczane… Ups numer jeden.

W międzyczasie zareagował – w przeciwieństwie do spamera przytomnie i sensownie – organizator konferencji, który po chwili zamieścił uczciwą (i jak widzę aktualizowaną) informację na stronie. Wyszło na jaw (nie wnikam jak, w każdym razie szybko, ale jak się organizuje konferencje dla bezpieczników i sieciowców, to się ma kontakty), że baza została prawdopodobnie wykradziona. Ups numer dwa.

Finał jest taki, że aktualne obwieszczenie w sprawie wycieku bazy maili głosi:

Z pewnością zostaną wyciągnęte konsekwencje wobec sprawcy, a sprawa została skierowana do prokuratury.

Z niecierpliwością czekam na finał, pewnie nie tylko ja… Z tego co rozmawiałem ze znajomymi, i co widać było w wątku, większość osób miała po prostu niezły ubaw, ale spamer chyba wolałby gołym zadem na gnieździe szerszeni usiąść, niż wysłać tego maila. Oraz, odnośnie reagowania na wtopę i zarządzania sytuacją kryzysową: w przeprosinach nie warto kłamać.

Taki wpis związany ze spamem, który ostatnio zaprząta moją głowę i zamiast podsumowania PLNOG, o którym z braku czasu nie napiszę tym razem nic więcej, poza tym, że było fajnie, ciekawie i jak zwykle cieszę się, że byłem.