Biglietti via SMS (Hackin9)
Un ticket SMS è un messaggio ricevuto al cellulare in risposta ad un acquisto. Il biglietto SMS consiste in una stringa in formato testo che comprende la data di validità, il nome e la compagnia che lo rilascia ma senza comprendere nessun tipo di identificativo personale. Un esempio fittizio:
Public Transport Company ‘ABC’ , SMS ticket Price ‘XYZ’,
Validity: from 28.10.08 11:30 to 29.10.08 12:30, code YrWYxMCz08 / 64576.
Il controllore, dotato di un apposito dispositivo simile ad un palmare, confronterà nel momento della verifica il numero indicato sul biglietto SMS del passeggero con quello presente nel database dell’azienda per verificarne l’autenticità.
Affrontiamo il problema della sicurezza dei biglietti via SMS, di cui ultimamente tanto si è sentito parlare, attraverso la lettura di SMS Trickery in Public Transport (USA 2010), scritto da Tam Hanna, sviluppatore di applicazioni per smartphone e esperto di mobile computing per la Palm lllc.
H. si concentra su un aspetto specifico dell’esperienza che sta maturando in vari paesi europei nella gestione dei ticket nei trasporti pubblici.
L’autore, riprendendo l’articolo di Pavol Luptak’s Hacking, intende mettere in guardia dalle falle di sicurezza di tale meccanismo, prima che questo sistema si diffonda per qualsiasi altra forma di acquisto.
L‘unicità del codice generato al momento del SMS di risposta sembra di primo acchito un sistema abbastanza sicuro, ma, come messo in evidenza da Pavol Luptak, questa impressione è inesatta. Il sistema è composto da un server centralizzato che comunica con un’applicazione installata sul dispositivo mobile. Il programma connette l’utente a un server centrale tramite protocollo TCP/IP per richiedere un biglietto ogni qualvolta l’utente entra in un mezzo di trasporto pubblico. Il ticket viene così rilasciato tramite un SMS senza costi aggiuntivi. Il server svolge così la funzione di repository dei biglietti. In altre parole ogni volta che un utente richiede un biglietto il server confronta se l’utente è in possesso di un ticket valido; in caso contrario ne rilascia uno nuovo. Il problema sorge quando due utenti ricevono lo stesso biglietto: in tal caso uno dei due è illecito. La soluzione a questo punto potrebbe essere quella di stabilire una collegamento logico tra il biglietto e il telefonino dal quale è stata avanzata la richiesta. Tutto ciò comporterebbe però la necessità di inviare una chiamata al numero telefonico tagliando fuori però gli utenti che abilitano il numero privato. L’unica soluzione sarebbe di collegare il biglietto al richiedente ma questo richiederebbe una pre-registrazione di ogni utente prima di usare il servizio. Il server in questo caso diventerebbe un enorme database e il sistema perderebbe la sua semplicità che era la prerogativa principale per il suo sviluppo.
Nasce così il contrasto tra le necessità di ridurre i costi e le esigenze di sicurezza. Il caso specifico dei trasporti analizzato in questo post sembra non essere particolarmente delicato, anche se non è da sottovalutare in toto; e le preoccupazioni diventerebbero più che lecite nell’eventualità che il sistema si estendesse come indicato dalla direttiva europea Payment Service. Alcuni costruttori di sistemi di integrazione corrono ai ripari proponendo dispositivi adeguati per un pagamento POS, ma il mercato non è ancora pronto. L’integrazione informatica porta sicuramente molti vantaggi semplificando la nostra vita, ma altresì necessita di una forte sensibilizzazione sia dell’utilizzatore finale nella gestione dei suoi dati sia degli amministratori dei servizi. Troppe volte si sente parlare di superficialità da parte delle aziende che trattano i dati, le quali per ingordigia economica non dimostrano adeguata sensibilità nella gestione delle falle di sicurezza. Il mondo hacker, nelle sue componenti che si mostrano attente alla pubblica utilità, è attivo nel mettere in luce queste inesattezze di codice e struttura, ma l’utente comune non riesce spesso a percepirne il pericolo.
M.T.
Tags: hackin9, sicurezza, SMS ticket