सामाजिक नेटवर्क में आप एयरलाइन टिकट की तस्वीरें पा सकते हैं और बोनस मील दे सकते हैं

टिकट आरक्षण प्रणाली बुनियादी सुरक्षा नियमों का पालन नहीं करती है। इस वजह से, रिसोर्सफुल हैकर्स बोनस माइल्स दे सकते हैं जो एयरलाइंस लगातार यात्रियों को प्रदान करते हैं। कैसे यह करने के लिए - में विस्तार से बताया गया है की प्रस्तुति प्रसिद्ध विशेषज्ञ कर्स्टन शून्य (कर्स्टन Nohl) और उनके सहयोगियों ने namany Nikodievicha (Nemanja Nikodijević) है, जो छात्रों को अराजकता संचार कांग्रेस (33S3) के 33 वें वार्षिक सम्मेलन में प्रस्तुत किया।

हम वैश्विक आरक्षण प्रणाली (जीडीएस) के बारे में बात कर रहे हैं, जो ट्रैवल एजेंसियों और टिकट बुकिंग साइटों के साथ-साथ एयरलाइंस, होटल और कार किराए पर लेने वाली कंपनियों से जानकारी एकत्र करती है।

सभी जानकारी टिकट / टिकट की उपलब्धता, उनकी कीमत और आरक्षण के निर्धारण के साथ जीडीएस में केंद्रित है। यह डेटाबेस न केवल कीमतों और उपलब्धता के बारे में सामान्य जानकारी संग्रहीत करता है, बल्कि टिकट बुक करने वाले ग्राहकों के बारे में व्यक्तिगत जानकारी भी रखता है।

यह वही है जो एक विशिष्ट इलेक्ट्रॉनिक टिकट लगता है, जो आरक्षण दर्ज करने के बाद एक विशिष्ट उपयोगकर्ता को जीडीएस प्रणाली द्वारा जारी किया जाता है। दस्तावेज़ जीडीएस डेटाबेस में संग्रहीत है।


बुकिंग कोड (PNR)

तीन मुख्य जीडीएस वर्तमान में वैश्विक बाजार पर हावी हैं: एमेडियस (1987 में स्थापित), कृपाण (1960 में स्थापित) और गैलीलियो (अब ट्रैवलपोर्ट)। उदाहरण के लिए, लुफ्थबेसा और एयरबर्लिन एयरलाइंस, साथ ही एक्सपीडिया ट्रैवल एजेंट, पहले के साथ सहयोग करते हैं। दूसरे के साथ - अमेरिकन एयरलाइंस और एअरोफ़्लोत। उदाहरण के लिए, यदि आप एक्सपीडिया के माध्यम से अमेरिकन एयरलाइंस की फ्लाइट टिकट बुक करते हैं, तो इसे जीडीएस: एमाडेस और सेबर दोनों में संग्रहीत किया जाएगा। आम तौर पर अग्रिम में यह अनुमान लगाना मुश्किल है कि किस विशेष जीडीएस में आप किसी विशिष्ट उपयोगकर्ता के लिए व्यक्तिगत जानकारी पा सकते हैं, क्योंकि होटल आरक्षण, ट्रैवल एजेंट मध्यस्थ आदि भी हैं।

कार्स्टन नोल और नमन्या निकोडीविच ने जीडीएस सिस्टम में सूचना सुरक्षा के संरक्षण की जांच की और पाया कि यह शून्य के करीब था। हम 70 और 80 के दशक के इलेक्ट्रॉनिक सिस्टम में निहित सुरक्षा के स्तर के बारे में बात कर रहे हैं। इन कंपनियों ने इस तरह के शब्द दिखाई देने से पहले ही डेटा के "क्लाउड स्टोरेज" का उपयोग करना शुरू कर दिया था। उस समय, वे सिद्धांत में विश्वसनीय क्रिप्टोग्राफिक सुरक्षा प्रदान नहीं कर सकते थे। इसके अलावा, सिस्टम पहुंच सुरक्षा का बहुत कमजोर स्तर प्रदान करता है। ऐसा इसलिए है क्योंकि बहुत से एजेंटों को सिस्टम तक पहुंच की अनुमति है: ये एयरलाइन, ट्रैवल एजेंसियां, होटल आदि हैं।

इस प्रकार, वास्तव में, सभी जीडीएस कर्मचारियों, साथ ही सभी एजेंटों के कर्मचारियों के पास सभी पीएनआर तक पहुंच है। शोधकर्ताओं का सुझाव है कि विभिन्न सरकारी एजेंसियों की भी पीएनआर तक पहुंच है।

बुनियादी स्तर पर जीडीएस तक पहुंचने के लिए, आपको एक मनमाना लॉगिन और पासवर्ड सेट करने की भी आवश्यकता नहीं है। वे स्वचालित रूप से असाइन किए जाते हैं, जहां उपयोगकर्ता का अंतिम नाम लॉगिन के रूप में सेट किया जाता है, और पासवर्ड के रूप में आरक्षण कोड (पीएनआर) । यह कोड है जो इलेक्ट्रॉनिक टिकट पर मुद्रित होता है और जिसे पहले स्क्रीनशॉट में स्मियर किया जाता है।

और हम Instagram और अन्य सामाजिक नेटवर्क पर कई तस्वीरों पर क्या देखते हैं? उपयोगकर्ता लापरवाही से अपने इलेक्ट्रॉनिक टिकटों की तस्वीर लेते हैं और उन्हें सार्वजनिक डोमेन में प्रकाशित करते हैं। इसके अलावा, इन कोडों को केवल यात्री सामान पर टैग लगाकर ऑफ़लाइन भी एकत्र किया जा सकता है। गुप्त जानकारी (वास्तव में, सिस्टम का पासवर्ड) केवल प्रिंटर पर मुद्रित होती है, सूटकेस से चिपकी होती है और सार्वजनिक प्रदर्शन के लिए रखी जाती है।



कभी-कभी यह स्कैनर के लिए ग्राफिक कोड में इनकोड किया जाता है, लेकिन आसानी से पहचाना जाता है।



सार्वजनिक डोमेन में, आप हजारों ऐसे फ़ोटो कोड के साथ पा सकते हैं जिनसे PNR निकाले जाते हैं।

यदि हम पीएनआर पहचानकर्ता (छह अक्षर) और अंतिम नाम जानते हैं तो हम क्या प्राप्त कर सकते हैं? हम उपयोगकर्ता की पहचान के बारे में जानकारी प्राप्त कर सकते हैं, संभवतः उस होटल के बारे में भी जानकारी जिसमें वह एक कमरा आरक्षित है, और एक कार किराए पर लेने के बारे में। लगातार यात्रियों के लिए बोनस मील और अन्य एयरलाइन पुरस्कारों के बारे में जानकारी। संपर्क जानकारी: टेलीफोन, ईमेल पता, अक्सर एक मेलिंग पता। अक्सर, जन्मतिथि सहित पासपोर्ट विवरण जीडीएस में उपलब्ध होते हैं।

जीडीएस तक पहुंच वाले हैकर्स को भुगतान जानकारी भी दिखाई देती है - एक बैंक कार्ड नंबर और समाप्ति तिथि (exp.date), साथ ही उपयोगकर्ता का आईपी पता। यह जानकारी व्यक्तित्व के मिथ्याकरण की आगे की प्रक्रिया में उपयोगी हो सकती है।

रिपोर्ट के लेखक इस तथ्य की ओर ध्यान आकर्षित करते हैं कि छह-अंकों का पीएनआर कोड भी क्रूर बल के साथ चुना जा सकता है। एन्ट्रापी 29.2-28.9 बिट्स।

यदि आप प्रसिद्ध पीएनआर को संभालते हैं तो एयरलाइंस के पास भी बहुत कुछ है। उदाहरण के लिए, वे कभी-कभी आपको प्रस्थान की तारीख बदलने और टिकट बदलने की अनुमति देते हैं (यह पीड़ित के लिए एक आश्चर्य होगा)। कुछ भी आपको टिकट पर नाम बदलने की अनुमति देते हैं (यह पहले से ही एक अच्छा बोनस है)। ज्यादातर कंपनियां PNR पर विभिन्न बोनस देती हैं।

इस प्रकार, एक सामान्य परिदृश्य उभरता है। हम मानक उपनामों का चयन करते हैं, जानवर बल PNR, हम उपयुक्त टिकट पाते हैं। यदि एयरलाइन पासपोर्ट की जांच के बिना यात्रियों को टिकट पर अनुमति देता है, तो तारीख और ईमेल पता बदलें - और जहां आवश्यक हो, वहां से उड़ान भरें। यदि दस्तावेजों की जांच की जाती है, तो हम टिकट वापस करते हैं, हमें बोनस मिलता है, उनकी मदद से वह अपने नाम पर एक नया टिकट खरीदता है - और हम मुफ्त में उड़ान भरते हैं।

मुफ्त मील का उपयोग न केवल उड़ानों के लिए किया जा सकता है, बल्कि होटलों में मुफ्त आवास और उपहार प्रमाण पत्र प्राप्त करने के लिए भी किया जा सकता है। उत्तरार्द्ध की मदद से, आप सामानों के लिए प्रमाणपत्रों का आदान-प्रदान करके और उन्हें बेचकर या नकदी के बदले उन्हें वापस स्टोर में जमा करके "कैश आउट" कर सकते हैं। इसलिए प्राचीन बुकिंग सिस्टम एक से अधिक हैकर के लिए आरामदायक जीवन प्रदान करने में सक्षम हैं।

कार्स्टन नोल और नमन्या निकोदिविच की रिपोर्ट में विभिन्न जीडीएस के पीएनआर, वैध पात्रों और क्रूर बल के लिए अन्य जानकारी का विवरण है।

33C3 ( पीडीएफ ) में कार्स्टन नोल और नमन्या निकोडीविच की प्रस्तुति

Source: https://habr.com/ru/post/hi400341/