Štirje najstniki našli 15 let stare ranljivosti v bostonski podzemni železnici za brezplačne vožnje
V Bostonu so štirje najstniki, dijaki srednje tehniške šole Medford, analizirali sistem za plačevanje voženj na bostonski podzemni železnici in pokazali, kako se lahko vozijo zastonj. Navdih so dobili v petnajst let starih odkritjih, ki jih upravljavec MBTA v tem času sploh ni zakrpal.
Pred petnajstimi leti se je na hekerski konferenci Defcon zgodil eden največjih škandalov. Skupini študentov z MIT-a so sodno prepovedali izvesti predavanje o ranljivosti v plačilnem sistemu na bostonski podzemni železnici. Predavanje je zato odpadlo, a šele zatem, ko so prosojnice vseeno našle pot na internet in do udeležencev Defcona.
Petnajst let pozneje je skupina novih nadobudnežev, še mlajših, prebrala to zgodbo in se odločila preveriti, ali jo je možno poustvariti. Čeprav je MBTA papirne kartice vmes upokojil, se sistem ni zakrpal. Ugotovili so, da so tudi nove kartice s čipi RFID enako ranljive. Ključna pomanjkljivost je lokalni zapis podatkov, saj so podatki o kartici in stanju na njej zapisani na kartici. Zapis je varovan s kontrolno vsoto, a so algoritem hitro razvozlali.
Izdelali so si lahko kakršnekoli kartice – študentske, upokojenske ali službene, ki imajo neomejene brezplačne prevoze. Na kartice so lahko naložili tudi poljubne količine denarja. To pot MBTA ni nikogar tožil, temveč so mlade povabili na sestanek, kjer so se lahko razgovorili o ranljivostih. Predavanje na DEFCON-u so smeli izvesti.
MBTA je javnosti pojasnil, da odkrite ranljivosti ne vplivajo na varnost ali delovanje javnega prevoza. A najbolj zanimivo ni, da MBTA petnajst let ni posodobil sistema. Bizarno je, da ga tudi sedaj ne bodo. Čakajo na povsem nov sistem, ki naj bi zaživel do leta 2025. Dotlej se lahko v Bostonu vozite zastonj, če uspete pretentati čip RFID.
