Московский метрополитен устранил баг в транспортной карте
Новости Безопасность
Московский метрополитен и банк ВТБ устранили уязвимость в мобильном приложении «Мой проездной», пишет Threatpost.
Ранее на «Хабрахабре» был описан метод, при помощи которого потенциальный злоумышленник мог произвольно пополнять баланс карты «Тройка» без денег. Исследователи оценили разнообразные векторы атаки, включая турникеты, валидаторы и автоматы пополнения карты наличными, и остановились на методе реверс-инжиниринга приложения «Мой проездной» как наиболее простом способе.
По итогам тестирования хакеры создали приложение TroikaDumper, которое совместимо с устройствами на Android с поддержкой NFC. Оно позволяет без подключения к Интернету просматривать записанные в памяти карты данные, включая баланс электронного кошелька, время последнего прохода через турникет, идентификатор последнего турникета, серийный номер карты «Тройка» и идентификационный номер карты (UID).
«В течение пяти дней было совершено 57 поездок в наземном транспорте на общую сумму 1767 рублей. После чего карта была возвращена в кассу метрополитена и был получен возврат залоговой суммы в 50 рублей», — отчитались эксперты о проверке разработанного эксплойта.
Разработка эксплойта заняла две недели. Хотя приложение использует различные методы защиты от взлома (например, ключи доступа к карте и криптографическую подпись в секторе электронного кошелька), атака удалась. Самой трудоемкой задачей стало изучение структуры данных в памяти, но, так как они хранились в незашифрованном виде, компрометация транспортной карты прошла более легко и не потребовала физического проникновения в инфраструктуру.
|
07.04.2019 19:42
Как увидеть скрытых друзей во «ВКонтакте»
Поскольку многие пользователи «ВКонтакте» искренне верят, что существует способ увидеть чужих скрытых друзей, Софтодром решил этот миф опровергнуть
29.11.2017 23:52
Как защитить файл или папку паролем в Windows
Что делать, если вы используете компьютер под управлением Windows и вдруг решили защитить какой-либо файл или папку паролем, чтобы посторонние не могли узнать, что у вас там находится
Ищете, где скачать бесплатные программы?
Скачать бесплатные программы для компьютера на Windows и смартфона на iOS или Android можно на Софтодроме. На данный момент в каталоге Софтодрома представлено более 13 000 бесплатных программ для Windows, iOS, Android и Linux.
|
|
Все рубрики статей (1827 / 167):
|
|
Программы для Windows
Программы для Linux
Приложения для Android
Приложения для iPhone