Latvijas IT drošības uzņēmums atklāj E-talona drošības problēmu (papildināts)

Vairāk kā 5 gadus pēc “Rīgas Satiksmes” sabiedriskā transporta biļešu sistēmas E-talons ieviešanas,
tajā pamanīta drošības ievainojamība.

Pateicoties šai ievainojamībai iespējams ar vienu vienīgu “dzelteno” papīra e-talonu braukt bezgalīgu
skaitu reižu. Viss, kas nepieciešams, lai izmantotu atklāto drošības ievainojamību ir viedtelefons ar
NFC iekārtu, kas mūsdienās nav retums, kā arī internetā par padsmit eiro iegādājama Ķīnā ražota
klonēšanas karte.

Neskatoties uz to, ka par ievainojamību laicīgi tika informēta Informācijas tehnoloģiju drošības
incidentu novēršanas institūcija CERT.LV, sistēmas turētāji vairāk kā divu mēnešu laikā nav veikuši
uzlabojumus, kas novērstu vai ierobežotu atklāto drošības ievainojamību, kas nozīmē, ka nepilnība
joprojām ir izmantojama. Lai mazinātu nodarīto kaitējumu sabiedrībai un panāktu, ka atbildīgie
ievainojamību novērš pēc iespējas ātrāk, līdz ar to apturot iespēju ievainojamību izmantot ļaundabīgi,
šobrīd ir svarīgi par ievainojamību ziņot plašākai sabiedrībai.

Ievainojamībā tiek izmantota kartes simulācija, lai sazinātos ar transporta līdzeklī izvietoto E-talona termināli. E-talona terminālis šajā simulētajā kartē ieraksta visus nepieciešamos datus, kas apliecina biļetes kompostrēšanas faktu. Gadījumā, ja sabiedriskajā transportā kāpj kontrole, datus no kartes simulācijas ir iespējams ierakstīt īstajā E-talonā, ko sabiedriskā transporta kontrole pieņemtu, kā derīgu. Ja kontrole neiekāpj, tad kartes simulāciju var atgriezt atpakaļ jebkurā iepriekšējā stāvoklī kopš pēdējās kontroles iekāpšanas reizes. Šajā gadījumā pasažieris samaksātu tikai par braucieniem, kuros biļetes pārbauda sabiedriskā transporta kontrole.

Alternatīvi kartes simulāciju iespējams nomaskēt ar citu e-talonu vai e-talona maciņu. Tādā gadījumā kontrolei iespējams uzrādīt kartes simulāciju. Rakstam pievienotajā video redzams, kā ar viedtālruņa un Mifare Ultralight kartes simulācijas palīdzību iespējams veikt braucienu reģistrāciju un “attīšanu”. Video redzamie e-talona dati tikuši “iztērēti” vairākas dienas pirms video uzņemšanas, tātad var pasludināt ka e-talonu melnais saraksts jeb blacklist ir mīts.

Tehniskā informācija par ievainojamību un risinājuma ieteikums pieejams IT uzņēmuma tīmekļa vietnē Possible.lv.

E-talona sistēmas ieviešana izmaksāja 14 miljonus latu (aptuveni 20 miljonus eiro), un katru gadu šīs
sistēmas uzturēšanai nepieciešami 5,5 miljoni latu (aptuveni 7,8 miljoni eiro).

Lūk, šādi uz šo ziņu atbild e-talona sistēmas ieviesējs SIA “Rīgas karte”:

Rīgas sabiedriskajā transportā izmantoto elektronisko norēķinu sistēmu nodrošina uzņēmums Rīgas karte. Šodien izskanējusi ziņa par e-talona iespējamo viltošanu ir nepatiesa, jo e-talonu nav iespējams viltot. E-talonā esošo informāciju ir iespējams kopēt uz citiem datu nesējiem, taču tādā gadījumā to tik un tā nebūs iespējams izmantot norēķiniem sabiedriskajā transportā gan tādēļ, ka nesakritīs e-talona saturs ar kartes identifikācijas numuru, gan arī tamdēļ, ka sabiedriskajā transportā norēķini tiek akceptēti tikai ar noteikta dizaina un noteikta veida ­e-talonu.

Rīgā izmantotā dzeltenā e-talona veids ir Mifare Ultralight, kas ir plaši izmantota un zināma karte visā pasaulē. Elektroniskajā norēķinu sistēmā tiek izmantots kartona kartes datu nesējs. Katrai kartei ir savs sērijas numurs, kuru nav iespējams izmainīt. Turklāt kartē ierakstāmie dati ir aizsargāti ar sistēmas speciālu ciparu parakstu, kas tiek atpazīts pēc sērijas numura. Tāpat papildus datu aizsardzību nodrošina OTP (one-time programming) tehnoloģija. Patlaban pasaulē nav zināmi Mifare Ultralight kartes uzlaušanas gadījumi (sērijas numura izmainīšana, ciparu paraksta viltošana, OPT zonu uzlaušana).

Atbilstība spēkā esošajiem normatīvajiem aktiem, sabiedriskajā transportā veicot biļešu kontroli, pasažierim karte ir jāiedod rokā kontrolierim, t.i., jāizņem no maka, kabatiņas, somas, utt. Šādā veidā tiek novērsta jebkādu ierīču (telefons, plastikāta karte, utt), kurās ir oriģinālās biļetes kopija, izmantošanas iespēja. Turklāt biļešu viltošana ir krimināli sodāma darbība.

Šodien izskanējusi informācija, ka ir iespējams veikt bezgalīgu e-talona papildināšanu, taču faktiski tiek „papildināts” nevis e-talons, bet gan cita karte, kuru sabiedriskā transporta kontrolieris noteikti pamanītu. Rīgas karte uzskata, ka visas šīs darbības ir bezjēdzīgas – tas ir tāpat, kā braukt bez biļetes. Ja kontrolierim tiek dots e-talons, zem kura atrodas cita karte, kā tas ir parādīts video materiālā – šī darbība ir pielīdzināma krāpšanai un par to var rakstīt iesniegumu policijai.