Di jejaring sosial Anda dapat menemukan foto tiket pesawat dan menetapkan bonus miles

Sistem reservasi tiket tidak mengikuti aturan keselamatan dasar. Karena itu, peretas yang memiliki akal dapat menetapkan mil bonus yang disediakan maskapai untuk selebaran yang sering. Cara melakukan ini dijelaskan secara rinci dalam presentasi spesialis terkenal Karsten Nohl dan rekannya Nemanja Nikodijević, yang disajikan oleh mereka pada konferensi tahunan ke-33 Chaos Communication Congress (333).

Kita berbicara tentang sistem reservasi global (GDS), yang mengumpulkan informasi dari agen perjalanan dan situs pemesanan tiket dengan aplikasi tiket, serta dari maskapai penerbangan, hotel, dan perusahaan penyewaan mobil.

Semua informasi terkonsentrasi di GDS dengan penentuan ketersediaan tiket / tiket, harga dan pemesanan mereka. Basis data ini tidak hanya menyimpan informasi umum tentang harga dan ketersediaan, tetapi juga informasi pribadi tentang pelanggan yang telah memesan tiket.

Begini seperti apa bentuk tiket elektronik, yang dikeluarkan oleh sistem GDS kepada pengguna tertentu setelah pemesanan. Dokumen disimpan dalam database GDS.


Kode Pemesanan (PNR)

Tiga GDS utama saat ini mendominasi pasar global: Amadeus (didirikan pada 1987), Saber (didirikan pada 1960) dan Galileo (kini Travelport). Misalnya, maskapai Lufthabsa dan AirBerlin, serta agen perjalanan Expedia, berkolaborasi dengan yang pertama. Dengan yang kedua - American Airlines dan Aeroflot. Misalnya, jika Anda memesan tiket penerbangan American Airlines melalui Expedia, itu akan disimpan di GDS: Amadeus dan Sabre. Pada umumnya sulit untuk memperkirakan sebelumnya di mana GDS tertentu Anda dapat menemukan informasi pribadi untuk pengguna tertentu, karena ada juga pemesanan hotel, perantara agen perjalanan, dll.

Karsten Nol dan Namanya Nikodievich menyelidiki perlindungan keamanan informasi dalam sistem GDS dan menemukan bahwa itu mendekati nol. Kita berbicara tentang tingkat keamanan yang melekat pada sistem elektronik tahun 70-an dan 80-an. Perusahaan-perusahaan ini mulai menggunakan "penyimpanan cloud" data bahkan sebelum istilah seperti itu muncul. Pada saat itu, pada prinsipnya mereka tidak dapat memberikan perlindungan kriptografi yang andal. Selain itu, sistem menyediakan tingkat perlindungan akses yang sangat lemah. Ini karena terlalu banyak agen yang diizinkan mengakses sistem: ini adalah maskapai penerbangan, agen perjalanan, hotel, dll.

Dengan demikian, pada kenyataannya, semua karyawan GDS, serta karyawan semua agen, memiliki akses ke semua PNR. Para peneliti menyarankan bahwa berbagai lembaga pemerintah juga memiliki akses ke PNR.

Untuk mengakses GDS di tingkat dasar, Anda bahkan tidak perlu mengatur login dan kata sandi sewenang-wenang. Mereka ditugaskan secara otomatis, di mana nama belakang pengguna ditetapkan sebagai login, dan kode reservasi (PNR) sebagai kata sandi . Ini adalah kode yang dicetak pada tiket elektronik dan yang dioleskan pada screenshot pertama.

Dan apa yang kita lihat di banyak foto di Instagram dan jejaring sosial lainnya? Pengguna sembarangan memotret tiket elektronik mereka dan mempublikasikannya di domain publik. Selain itu, kode-kode ini dapat dikumpulkan bahkan offline hanya dengan memotret tag di bagasi penumpang. Informasi rahasia (pada kenyataannya, kata sandi untuk sistem) hanya dicetak pada printer, direkatkan ke koper dan disiapkan untuk tampilan publik.



Terkadang dikodekan dalam kode grafis untuk pemindai, tetapi mudah dikenali.



Di domain publik, Anda dapat menemukan ribuan foto seperti itu dengan kode dari mana PNR diekstraksi.

Apa yang bisa kita dapatkan jika kita tahu pengidentifikasi PNR (enam karakter) dan nama belakang? Kita dapat memperoleh informasi tentang identitas pengguna, bahkan mungkin informasi tentang hotel tempat dia memesan kamar, dan tentang menyewa mobil. Ditambah informasi tentang miles bonus dan hadiah maskapai lain untuk frequent flyer. Informasi kontak: telepon, alamat email, seringkali alamat surat. Seringkali, detail paspor tersedia dalam GDS, termasuk tanggal lahir.

Peretas dengan akses ke GDS juga melihat informasi pembayaran - nomor kartu bank dan tanggal kedaluwarsa (exp.date), serta alamat IP pengguna. Informasi ini mungkin berguna dalam proses pemalsuan kepribadian selanjutnya.

Penulis laporan ini menarik perhatian pada fakta bahwa kode PNR enam digit bahkan dapat dipilih dengan kekuatan kasar. Entropi 29,2-28,9 bit.

Maskapai juga memiliki banyak hal yang harus dilakukan jika Anda menangani PNR yang terkenal. Misalnya, mereka kadang-kadang memungkinkan Anda untuk mengubah tanggal keberangkatan dan mengubah tiket (ini akan mengejutkan bagi korban). Beberapa bahkan memungkinkan Anda untuk mengubah nama pada tiket (ini sudah merupakan bonus yang bagus). Sebagian besar perusahaan memberikan berbagai bonus pada PNR.

Dengan demikian, sebuah skenario umum muncul. Kami memilih nama keluarga standar, PNR brute force, kami menemukan tiket yang cocok. Jika maskapai mengizinkan penumpang dengan tiket tanpa memeriksa paspor, maka ubah tanggal dan alamat email - dan terbang jika perlu. Jika dokumen diperiksa, maka kami mengembalikan tiket, kami menerima bonus, dengan bantuan mereka ia membeli tiket baru atas namanya - dan kami terbang secara gratis.

Miles gratis dapat digunakan tidak hanya untuk penerbangan, tetapi juga untuk akomodasi gratis di hotel dan menerima sertifikat hadiah. Dengan bantuan yang terakhir, Anda dapat "menguangkan" miles gratis dengan menukar sertifikat untuk barang dan menjualnya atau mengembalikannya ke toko dengan imbalan uang tunai. Jadi sistem pemesanan kuno mampu memberikan kehidupan yang nyaman bagi lebih dari satu peretas.

Laporan Karsten Nol dan Namanya Nikodievich merinci PNR dari berbagai GDS, karakter yang valid, dan informasi lainnya untuk brute force.

Presentasi Karsten Nol dan Namanya Nikodievich di 33C3 ( pdf )

Source: https://habr.com/ru/post/id400341/