Nasz czytelnik zaprezentował, jak ominąć zabezpieczenie na karcie miejskiej i "doładować" ją biletami miesięcznymi ważnymi do 2016 r. za łączną kwotę 2,5 tys. zł, nie wydając przy tym ani złotówki.
Czy karty miejskie, które w Trójmieście są nośnikami m.in. biletów na komunikację, są dobrze zabezpieczone? Nasz czytelnik udowodnił, że nie. Korzystając z programu komputerowego z Internetu i czytnika kart, który można kupić za kilkanaście dolarów, złamał zabezpieczenie karty miejskiej i doładował ją biletami ważnymi do 2016 roku. Dyrektor gdańskiego ZTM od nas dowiedział się o problemie.
Karty miejskie, które są nośnikami m.in. biletów okresowych na komunikację miejską, pojawiły się w Gdańsku w 2006 r. Od tej pory wydano ich kilkadziesiąt tysięcy. Każdą z nich można doładować biletem wartym od kilkudziesięciu do ponad 100 zł. Ale kilka dni temu przekonaliśmy się, że można też uzupełnić ją biletem znacznie bardziej kosztownym, nic przy tym nie płacąc.
Pan Adam [prawdziwe imię i nazwisko do wiadomości redakcji] jest z wykształcenia informatykiem, pracuje w międzynarodowej firmie. Nieco ponad rok temu, trochę kierując się zawodową ciekawością, a trochę swoim własnym hobby, zainteresował się systemem zapisującym bilety miesięczne na kartach miejskich w Gdańsku. Systemem - dodajmy - na którego kupno miasto wydało 7 lat temu blisko 1 mln zł.
tak, zaryzykował(a)bym, bo te oryginalne są dlamnie za drogie53%
tylko gdybym był(a) w podbramkowej sytuacji16%
nie, wolał(a)bym już jechać bez biletu6%
na pewno nie, nie dopuszczam takiej możliwości25%
Potrzebował trzech miesięcy na znalezienie luki w oprogramowaniu, ale gdyby przeliczyć to na godziny, wyszedłby raptem tydzień pracy przez 8 godzin dziennie. Nie musiał jednak wyważać otwartych drzwi, bo zabezpieczenia kart wykonanych w tej technologii już wcześniej omijali Amerykanie (2008 r.), a w 2010 r. to samo udało się belgijskim studentom, którzy złamali karty niemal identyczne do tych, z jakich korzystają mieszkańcy Trójmiasta.
- Lukę w oprogramowaniu gdańskich kart miejskich znalazłem w marcu zeszłego roku. Wykonałem do niej dokumentację, którą wysłałem do zarządu firmy Sygnity [ta firma dostarcza ZTM-owi oprogramowanie do kart miejskich i automatów biletowych, za produkcję oprogramowania odpowiada natomiast firma NTX - przyp. red] - relacjonuje pan Adam.
Ta dokumentacja to kilkunastostronicowe opracowanie, które wygląda jak solidnie wykonana praca zaliczeniowa napisana przez zdolnego studenta wydziału ETI na Politechnice Gdańskiej. Sprawia dużo poważniejsze wrażenie, niż sprzęt, jakiego użył pan Adam do "oszukania" gdańskiej karty miejskiej.
- Skorzystałem z lekko zmodyfikowanego programu dostępnego w Internecie i czytnika kart bezstykowych na USB, które całkowicie legalnie są oferowane w sklepach z elektroniką za równowartość ok. 15 dolarów - tłumaczy.
A jednak dzięki temu zestawowi, w ciągu kilku minut, na naszych oczach, "doładował" kartę miejską biletami okresowymi za łączną kwotę 2551 zł, na których można by jeździć do 2016 r. (jak tego dokonał, zobaczysz w materiale wideo).
***
Postanowiliśmy sprawdzić, jak działa spreparowana przez pana Adama karta. Nie wsiedliśmy jednak do tramwaju, lecz odwiedziliśmy biuro Renomy przy Dworcu Głównym PKP w Gdańsku. Kontrolerzy sprawdzili ją czytnikiem wykorzystywanym przy rutynowych kontrolach i potwierdzili, że na karcie są ważne, choć mocno nietypowe, bilety.
- Bilet 30-dniowy, ulgowy, od poniedziałku do piątku, od 12.10.2012 r. do 16.07.2016 r., na kwotę 2551 zł, na liniach zwykłych i nocnych. W Gdańsku. Na okaziciela. Ale są tu też bilety normalne, miesięcznie. Są łącznie trzy doładowania - odczytywał z ekranu coraz bardziej zdumiony kontroler. - Proszę pogratulować temu panu, pierwszy raz coś takiego widzę.
***
W swojej dokumentacji pan Adam zamieścił listę popełnionych przez programistów błędów projektowych: (m.in.) "(...) Użycie technologii Mifare, pomimo odkrytych problemów z bezpieczeństwem, użycie własnościowego standardu szyfrowania, brak mechanizmów kryptograficznych w warstwie aplikacyjnej (zarówno szyfrowania, jak i sum kontrolnych), brak łączności w czasie rzeczywistym z centralną bazą danych biletów, brak monitorowania systemu, użycie kluczy dostępnych w dokumentacji(...)"
Sporo tego.
Nic dziwnego, że przedstawiciel firmy Sygnity skontaktował się z naszym czytelnikiem i doszło do spotkania.
- Od razu powiedziałem, że nie mam zamiaru upubliczniać tych informacji. Podczas rozmowy padła luźna sugestia współpracy nad rozwiązaniem problemu z luką w oprogramowaniu, jednak nie były to wiążące deklaracje. Ja na nic konkretnego nie liczyłem, mam pracę, jestem dobrze sytuowany. Zależało mi na tym, żeby ktoś konstruktywnie wykorzystał moje spostrzeżenia - tłumaczy pan Adam. - Zająłem się tym, ponieważ irytuje mnie, gdy miejska instytucja wydaje pieniądze na coś, co ma tak słabe zabezpieczenia.
Więcej spotkań jednak nie było, firma nie skontaktowała się już z panem Adamem.
***
We wtorek zapytaliśmy firmę Sygnity o informatyka z Gdańska i dziurę w zabezpieczeniu oprogramowania, które obsługuje gdański ZTM.
- Temat trafił już bezpośrednio do jednostki zajmującej się wdrożeniem systemu w Trójmieście, ale nie wszyscy są dzisiaj obecni - poinformowała nas Lidka Kłosowska, rzecznik firmy. - Sprawdzamy w tej chwili szczegóły. Skontaktujemy się, jak tylko Sygnity będzie gotowe do zajęcia oficjalnego stanowiska w tej sprawie.
Firma miała blisko rok na uporanie się z dziurawym systemem, ale jak udowodnił pokaz naszego czytelnika, najprawdopodobniej nie wprowadzono dodatkowych zabezpieczeń.
***
Materiał filmowy pokazujący, w jaki sposób pan Adam naładował kartę miejską biletami ważnymi do 2016 roku pokazaliśmy dyrektorowi ZTM w Gdańsku, Jerzemu Dobaczewskiego. Był bardzo zaskoczony tym, co zobaczył, ale uznał, że problem nie jest poważny.
- O ile w 2011 roku przewieźliśmy 157 mln pasażerów, to w zeszłym roku przewieźliśmy ich już 162 mln, a więc o 5 mln więcej. Gdyby większość z nas potrafiła złamać takie zabezpieczenie, to odnotowalibyśmy spadek, a nie wzrost. Może ten pan jest pasjonatem, może rzeczywiście złamał zabezpieczenie na karcie, a może to tylko kwestia jego fantazji - mówi Jerzy Dobaczewski. - Na podstawie tego materiału ciężko mi się odnieść do problemu, za mało znam konkretów. Karta miejska funkcjonuje już tyle lat, nic się z nią nie działo do tej pory i sądzę, że nic się nie dzieje.
Cały komentarz ZTM znajduje się w materiale wideo powyżej.
Nieco inaczej na nasze informacje zareagował pracownik Metropolitalnego Związku Komunikacyjnego Zatoki Gdańskiej (MZKZG), który korzysta z tego samego systemu do obsługi biletów metropolitalnych.
- To nie jest pierwsza osoba, która złamała algorytm karty - przyznaje Krzysztof Nalewajko, inspektor ds. funkcjonowania biletu metropolitalnego z MZKZG. Jego zdaniem po tym, jak błąd wykryli studenci z Belgii, a ich uczelnia opublikowała opracowanie na ten temat, producent oprogramowania, firma NTX, zaleciła prowadzenie monitoringu transakcji na kartach.
- I my to robimy, a dodatkowo wprowadziliśmy wiele innych zabezpieczeń. Dzięki temu jeżeli taka nielegalnie doładowana karta pokaże się w systemie, to dowiemy się o tym - podkreśla Nalewajko.
Potwierdza to Grzegorz Grabowski, dyrektor gdańskiego oddziału Renomy. - Podczas pierwszej kontroli takiej karty przez naszego pracownika czytnik pokaże, że bilet jest ważny. Jednak po kilku godzinach system odkryje fałszywkę. Porówna dane z kontroli z bazą danych kart i sprzedanych biletów i odkryje, że ta karta powinna być pusta. Przy kolejnej kontroli czytnik ją zdemaskuje.
Czyli teoretycznie ze sfałszowanej karty można korzystać bez ryzyka jedynie do czasu pierwszej kontroli. Czy jednak gdyby nie błąd w oprogramowaniu, można by wyprodukować kartę idealnie zabezpieczoną przed włamaniem do niej?
- To jest nie do uniknięcia. Można zabezpieczać karty, ale do jakiego stopnia? Zawsze znajdzie się ktoś, kto złamie do niej klucz - przyznaje Nalewajko.
O komentarz poprosiliśmy Piotra Koniecznego, kierownika zespołu bezpieczeństwa portalu Niebezpiecznik.pl
Podobne błędy zostały już w poprzednim roku zidentyfikowane w systemie Warszawskiej Karty Miejskiej. Także w Poznaniu występował problem z biletomatami, które pozwalały na darmowe doładowanie biletów okresowych.
Działania polegające na przełamywaniu zabezpieczeń mogą być penalizowane, zwłaszcza jeśli na ich podstawie sprawca osiąga korzyści materialne. Dlatego wszystkim, którzy chcą szukać błędów bezpieczeństwa polecam firmy, które wprost proszą każdego chętnego o testowanie swoich zabezpieczeń w ramach tzw. programów bug-bounty (posiada je Google, Facebook czy PayPal). Znalezione w ramach bug-bounty błędy są weryfikowane i następnie nagradzane finansowo. Szukanie błędów w ramach tzw. "niezamówionych testów" zawsze będzie wiązało się z ryzykiem prawnym, zwłaszcza jeśli znalezione błędy są poważne (dają dostęp do danych klientów lub pozwalają na uzyskanie korzyści materialnych), a zgłaszający błąd próbuje sugerować wynagrodzenie za podesłany opis luki.
Życzyłbym sobie, aby polskie firmy doceniały dobrą wolę swoich klientów i szybko obsługiwały zgłaszane im incydenty dotyczące bezpieczeństwa - takie podejście jest najkorzystniejsze, ponieważ osoba zgłaszająca błąd, który zostanie zignorowany zapewne prędzej czy później i tak opisze swoje znaleziska anonimowo w internecie lub podeśle je do mediów. I wtedy, zamiast kosztu obsługi błędów, firmie lekceważącej komunikaty dojdą także koszty obsługi PR oraz koszty ewentualnej obsługi prawnej (pozwy klientów, którzy poczuli się zagrożeni na skutek błędów).
Z kolei samozwańczym poszukiwaczom błędów życzę pokory - nie znam żadnej firmy, która łagodnie potraktowałaby osobę dopuszczającą się szantażu w wiadomości zgłaszającej błędy bezpieczeństwa.
Cieszę się, że tu wszedłem i przekonałem się, że połowa naszego społeczeństwa to... złodzieje! Teraz jestem już pewny, że ciągniemy na dno.
Połowa ankietowanych odpowiada, że skorzystałaby ze sfałszowanych biletów, bo te oryginalne są za drogie. Nic was nie tłumaczy, moi drodzy. Proponuję od razu przejść do jawnej kradzieży. Podejrzewam, że skoro bilety są za drogie, to i kupno auta, a może nawet skutera was przerasta. W takim razie do roboty - zgodnie z ankietą są dla was za drogie, więc je sobie weźcie. Podobnie z czekoladą czy piwem w sklepie.
Wiem, że przeczytam tu zaraz o poziomie obsługi SKM i różne inne dyrdymały. Niestety, podtrzymuję, nic was nie tłumaczy. Nie podoba wam się poziom usługi albo jakość produktu, to go nie kupujecie, a nie kradniecie.
Proszę również nie pisać, że nie ma alternatywy. Alternatyw są masy. Od własnego środka transportu, przez zamianę na inny (autobus, tramwaj), taksówkę, przewóz osób, car-pooling, umówienie się z sąsiadem, kolegą na wspólną jazdę, po rower, a nawet - w skrajnym, ale dla uczciwego człowieka w ostateczności jedynie dopuszczalnym przypadku - dojście piesze.
Boję się żyć w tym zsocjalizowanym społeczeństwie, w którym większość zaczyna uważać, że wszystko im się należy po dobroci lub po groźbie.
11 lat
1610
Twoja opinia
Zmień treść
Zgłosiłeś tę opinię do moderacji -
2013-01-23 08:52
Teraz już wiem ,że wynik jest prawdopodbny tej ankiety...
albo i zaniżony...
bankrut
11 lat
10
Twoja opinia
Zmień treść
Zgłosiłeś tę opinię do moderacji -
2013-01-23 08:56
pomysl, może gdby w Polsce nie tylko ceny ale i płace były takie jak w Unii wyniki sondy byłyby inne (2)
11 lat
58
Twoja opinia
Zmień treść
Zgłosiłeś tę opinię do moderacji -
2013-01-23 09:06
Hehe, to dlatego w Holandii do pubów Polaków nie wpuszczają...
Mimo tamtejszych zarobków zachowują się jak tutejsze bydło
11 lat
43
Twoja opinia
Zmień treść
Zgłosiłeś tę opinię do moderacji -
2013-01-23 09:22
Może powtórzę raz jeszcze, bo chyba niezbyt jasno napisano w poprzednim wpisie: to, że cię na coś nie stać nie uprawnia cię do kradzieży tej rzeczy. Nawet bieda cię nie tłumaczy.
Niegdyś ludzie mieli honor. Biedny, ale uczciwy. Na takim człowieku mimo wszystko można było polegać. A jak można polegać na tobie?
11 lat
86
Twoja opinia
Zmień treść
Zgłosiłeś tę opinię do moderacji -
2013-01-23 09:02
społeczność internautów nie jest typowa
mamy tutaj nadreprezentację charakteropatów. W realu nie jest tak źle.
anty troll
11 lat
20
Twoja opinia
Zmień treść
Zgłosiłeś tę opinię do moderacji -
2013-01-23 08:41
Dzięki za info ;-))))
Ruszyła maszyna po szynach............
BAUER AUS DANZIG
11 lat
41
Twoja opinia
Zmień treść
Zgłosiłeś tę opinię do moderacji -
2013-01-23 08:47
Powinien chłop dostać nagrodę i bilet wolnej jazdy WPK dożywotnio.
Takie sprawy powinno się doceniać.
Od jakiegoś czasu studenci koleżankom doładowują karty miejskie. Podobno.
D.S.v.D
11 lat
141
Twoja opinia
Zmień treść
Zgłosiłeś tę opinię do moderacji -
2013-01-23 08:47
DZIWOTA
A mnie ogarnęła DZIWOTA, jak popatrzyłem na buziunię tego pana dyrektora i na jego spokój, zamiast się zdziwić, że karta jest to złamania, pan dyrektor jest zdziwiony, że znalazł się ktoś uczciwy i pokazał im problem. Jak się okazuje, nie warto byś w naszym "zielonym" raju uczciwym.
Popieram
11 lat
181
Twoja opinia
Zmień treść
Zgłosiłeś tę opinię do moderacji -
2013-01-23 08:49
noooo to teraz wszyscy z kartami podejrzani...
lepiej takiej nie pokazywac bo od razu do paki.
bezprawnik
11 lat
11
Twoja opinia
Zmień treść
Zgłosiłeś tę opinię do moderacji -
2013-01-23 08:50
Gdybym widział takie sondy 20 lat temu to dzisiaj byłbym baaardzooo bogaty.
Wiedziałbym, że co druga ekspedientka będzie mnie okradać...
bankrut / ale się odbiję !/
11 lat
51
Twoja opinia
Zmień treść
Zgłosiłeś tę opinię do moderacji -
2013-01-23 08:52
bzdury
Problem jest i oni o tym wiedzą ... nie chodzi tylko o fakt że można doładować kartę miejską za darmo, ale oto że tzw, czytniki kontrolerów renomy i automaty biletowe działają tylko z zasady dobrze , jakiś czas temu podczas kontroli biletów Pan z renomy oświadczył że on nie wie co się dzieje ale po zeskanowaniu mojej karty pojawił się na czytniku komunikat iż posiadam bilet pracowniczy nieważny od dwóch lat , nie dostałam mandatu tylko dla tego że drugi z kontrolerów sprawdził i powiedział " daj spokój czasem tak jest " dla ciekawości zapytałam się Pań z kas skm która poinformowała iż takie bilety nieistnieją a moja karta jest doładowana "biletem metropolitarnym jak co miesiąc od dwóch lat , dla Dyrektora ZTM to jest nic ważnego ale ja sobie tego typu małych niedociągnięć nie życzę, bo to ja musze później wędrować po różnych biurach, okienkach i przekonywać że mam bilet .
ines
11 lat
131
Twoja opinia
Zmień treść
Zgłosiłeś tę opinię do moderacji -
2013-01-23 08:53
za taką wypowiedź pan dyrektor nie powinienm być juz dyrektorem
11 lat
252
Twoja opinia
Zmień treść
Zgłosiłeś tę opinię do moderacji -
2013-01-23 08:54
trochę kierując się zawodową ciekawością, a trochę swoim własnym hobby
Napoleon odkrył Amerykę.!!!
11 lat
56
Twoja opinia
Zmień treść
Zgłosiłeś tę opinię do moderacji -
2013-01-23 08:56
no to w usa ten czytelnik
Dosyal by z 15 latek paki i z 200.000 dolarow grzywny za hakowanie
Portal trojmiasto.pl nie ponosi odpowiedzialności za treść opinii. 
