Díra v kombinaci opencard + MKP
V Metru vyšel 5.1.2011 článek, který na „populární média“ překvapivě přesně popisuje útok na opencard. Pokud má oběť aplikaci z pražské knihovny a nenastavila si heslo, lze zjistit jméno, číslo OP, telefon, vypůjčené knihy a udělat rezervaci.
6.1.2011 vyšel druhý článek. Bylo přijato bezpečnostní opatření, takže musíte provést útok hrubou silou na 10000 možných kombinací. Mluvčí opencard nás dále ubezpečí, že všechno je naprosto bezpečné (až na ten přepojovací útok…). Dále je doporučeno nosit kartu ve Faradayově kleci.
Magistrát samozřejmě zvažuje právní kroky proti lidem, kteří si dovolili popis díry publikovat.
Komentáře
Já bych jim všechny ty Internety…
V původním článku je samozřejmě v postupu něco jako „na Internetu zakoupíme čtečku“ „návod na sestavení emulátoru je k dispozici na Internetu“ atd. Bojím se ale, že první nápad „obyčejného občana“, který si něco takového přečte, bude, že chyba není v opencard a v systému městské knihovny, ale že lze vyřešit zakázáním publikování podobných návodů. Vždyť k čemu potřebuje slušný člověk emulátor Mifare karet? A k čemu potřebuje vědět, jak pracuje RFID?
Tím (zvažovaným) trestním oznámením v podstatě říkají, že na světě není nikdo tak chytrý, jako ten, co zveřejnil popis útoku, a nikoho jiného tedy tento útok nenapadne. Být Petrem Kučerou z IURE, velmi by mě to potěšilo :-), nicméně asi všichni víme, že to není pravda, a že podobně schopných je víc.
Přidávám odkazy na články:
Přidávám odkazy na články: http://www.metro.cz/domov/4043-opencard-znam-te-do-deseti-minut a http://www.metro.cz/domov/4050-opencard-vase-data-uz-jsou-v-bezpeci
Díky, přidáno do zprávičky,
Díky, přidáno do zprávičky, nevšiml jsem si, že to mají i normálně v HTML.
Knihovna v Praze
Máte absolutní pravdu, jakmile tam zavedli elektronickou kartu, není problém se dostat k údajům, které jsou volně přístupné. Koukám na ten článek, nemám sice Openkartu, ty starší karty na tom jsou podobně. Na Praze je smutný ten fakt, že Vám seberou peněženku a Vaše věci se poflakují v kdejaké telefonní budce. Je to tedy spousty let, ale fakticky při troše zvědavosti mě to nedalo. A taky vzhledem k tomu, že mě přestal jít internet. Měl jsem dojem, že se dříve dalo do knihovny telnetem, prohledávat databáze, tak či tak nebyl problém s kartou Nováka najít svoje čtivo a valit opět pryč. Fyzické knihy zůstali jak byli. Vídím spíše problém na straně té knihovny, která než-li někoho registruje, těch údajů o Vaší osobě spotřebuje mnoho, vždy se najde cesta jak do takové databáze .
Když to nakonec člověk použije jednu kartu, vlastně je jen u jednoho údaje o té které osobě. Nějaké hromadné zneužití v tom není :)