211service.com
Kaip (ne) ištaisyti trūkumą
Pastangos cenzūruoti tris MIT studentus, kurie Bostono metro mokėjimo sistemoje rado saugumo trūkumų, buvo griežtai kritikuojami ekspertų, teigdami, kad tokių tyrimų slopinimas galiausiai gali padaryti sistemą labiau pažeidžiamą.
Šį savaitgalį studentams buvo įteiktas laikinas suvaržymas Defcon saugumo konferencijoje Las Vegase, neleisdama jiems kalbėti apie Bostono metro mokėjimo sistemą.
Remiantis prieš konferenciją pateiktomis skaidrėmis, kurios taip pat buvo paskelbtos internete, jų pristatymas „Metro įsilaužimo anatomija“ būtų atskleidęs būdus, kaip suklastoti arba nukopijuoti senus magnetinių juostelių leidimus ir naujesnes radijo dažnio identifikavimo (RFID) korteles, naudojamas Bostono metro, leidžiantis keliauti nemokamai. Apribojimų draudimas buvo pateiktas vardu Masačusetso įlankos transporto tarnyba (MBTA), kuri, remiantis teismo dokumentais, sistemai įdiegti išleido daugiau nei 180 mln. MBTA taip pat iškėlė didesnį ieškinį, kaltindama studentus pažeidus Sukčiavimo kompiuteriu ir piktnaudžiavimo kompiuteriu įstatymą bei kaltindama SU dėl aplaidumo juos prižiūrėdamas.
Vienas iš dalyvavusių studentų Zackas Andersonas sako, kad jo komanda niekada neketino suteikti pranašumo tikriems puolėjams. Kai kurias detales savo darbe palikome, nes nenorėjome, kad kas nors galėtų pulti į bilietų pardavimo sistemą; nenorėjome, kad žmonės galėtų apeiti sistemą ir gauti nemokamus bilietus, sako jis.
Marcia Hoffman, skaitmeninių teisių grupės „Electronic Frontier Foundation“, padedančios MIT komandai gintis, advokatė teigia, kad tyrėjus reikia apsaugoti, kai jie tiria tokio pobūdžio trūkumus. Ji sako, kad labai retas atvejis, kai teismas uždraudžia kam nors kalbėti, kol tas asmuo net neturėjo progos kalbėti. Manome, kad tai sukuria baisų precedentą, kuris yra labai pavojingas saugumo tyrimams.
MBTA teigia, kad ji nesistengia sustabdyti tyrimų, tiesiog atraskite laiko, kad išspręstumėte bet kokius studentų rastus trūkumus. Agentūra taip pat išreiškė skeptišką nuomonę dėl to, ar MIT studentai tikrai rado tikrų trūkumų. Jie pasakoja siaubingą istoriją apie plačiai paplitusias saugumo problemas, tačiau jie vis dar nepateikė MBTA patikimos informacijos, kuri pagrįstų tokį teiginį, sako Joe Pesaturo, MBTA atstovas. Tai taip paprasta.
Tačiau neaišku, ar MBTA gali realiai nusipirkti reikiamo laiko. Karstenas Nohlas Virdžinijos universiteto doktorantas, vienas pirmųjų paskelbęs išsamią informaciją apie Bostono sistemoje naudojamos belaidės intelektualiosios kortelės prekės ženklo „MiFare Classic“ saugos spragas, teigia, kad problemų sprendimas gali užtrukti metus ar dvejus ir netgi pakeisti visas kortelių skaitytuvai ir visos apyvartoje esančios kortelės.
Tai ne pirmas ieškinys, ištiktas mokslininkams, kurie tyrinėjo „MiFare Classic“ saugumą. Praėjusį mėnesį Nyderlandų įmonė NXP puslaidininkiai , kuri gamina MiFare korteles, padavė į teismą Nyderlandų universitetą, siekdama neleisti mokslininkams paskelbti panašių saugumo trūkumų detalių. Įsakymas nepasiteisino, tačiau RFID technologijai toliau plintant, kiti saugumo ekspertai yra susirūpinę dėl galimybės atvirai aptarti atitinkamus saugumo tyrimus.
Bruce'as Schneieris , vyriausiasis saugumo technologijų pareigūnas BT Counterpane , sakoma, kad naujausias ieškinys tik atitraukia dėmesį nuo to, kas iš tikrųjų yra pavojuje. Jis sako, kad „MiFare“ pardavė niūrų produktą klientams, kurie nežinojo, kaip paprašyti geresnio produkto. Tai niekada nebus išspręsta tol, kol prastas MiFare saugumas bus laikomas paslaptyje. Jis priduria: Priežastis, kodėl skelbiame pažeidžiamumą, yra ta, kad nėra jokio kito būdo saugumui pagerinti.
Tos pačios prekės ženklo RFID kortelės naudojamos transporto tinkluose kituose miestuose, įskaitant Londoną, Los Andželą, Brisbeną ir Šanchajų, taip pat įmonių ir vyriausybės tapatybės leidimams. Ši technologija netgi buvo įtraukta į kai kurias kredito korteles ir mobiliuosius telefonus.
Nohlas teigia, kad pramonė turėtų žiūrėti į MIT studentų darbą kaip į nemokamą paslaugą, kuri galiausiai galėtų padėti pagerinti saugumą. Nors buvo atlikta daug akademinių tyrimų apie RFID saugumą, jis sako, kad gaminiuose dar mažai kas pasiekė. Problemos esmė vis dar yra pramonės įsitikinimas, kad jie turėtų patys kurti saugumą ir kad tai, ką jie sukūrė patys, bus stipresni, jei jie tai laikys paslaptyje, sako Nohlas.
Tuo tarpu nepriklausomi mokslininkai pateikė nemažai idėjų, kaip pagerinti RFID kortelių saugumą. Nohl ir kiti tiria geresnius būdus, kaip užšifruoti kortelėse saugomą informaciją. Tačiau dalis problemos yra ta, kad kortelės yra pasyvios, o tai reiškia, kad jos grąžins signalą bet kuriam skaitytuvui, kuris siunčia užklausą. Tadayoshi Kohno ir kolegos iš Vašingtono universiteto taip pat kuria judesio jutimo sistemą, kuri leistų vartotojams suaktyvinti savo korteles konkrečiu gestu, kad ji paprastai nereaguotų į užklausas. Karlas Koscheris, vienas iš tyrėjų, dirbusių su projektu, teigia, kad jų sistema skirta padidinti saugumą, nesunaikinant patogumo, dėl kurio kortelės tapo tokios populiarios.