Można naładować lewy bilet naWarszawską Kartę Miejską

Słabości zabezpieczeń kart Mifare Classic znane są od lat. – Karty korzystają z protokołu crypto1, który był opracowywany jako tajny. Generalnie to jest zła praktyka, zazwyczaj kryptografię się projektuje tak, żeby algorytm był jawny, ale jego wynik (szyfrogram) mimo tego był bezpieczny – mówi informatyk znający temat. Jawność algorytmu umożliwia jego weryfikację przez matematyków i kryptologów – jeśli nie znajdą oni luk, to system uważa się za bezpieczny. Tutaj postąpiono inaczej, w efekcie algorytm zapewniający bezpieczeństwo komunikacji został złamany przez kryptologów w 2008 r. – W latach 2008-2010 wszyscy liczący się z bezpieczeństwem gracze dodatkowo zabezpieczali swoje systemy – mówi informatyk. Zjawisko kopiowania niezabezpieczonych kart rozkręciło się od połowy 2011 r. – Można było zastosować dodatkowe zabezpieczenia, ale ZTM z niejasnych powodów tego nie zrobił (szyfrowanie danych na karcie) – zauważa nasz rozmówca.

Wgranie fałszywego kontraktu nie jest trudne. – Fabryczny algorytm zapewnia tylko bezpieczeństwo komunikacji, jak się go złamie (zdobędzie klucze – 16 do odczytu i 16 do zapisu), to można kartę pisać i czytać z taką samą łatwością, jak pendrive. Trzeba wiedzieć tylko, jak dane są zapisane binarnie (w których miejscach) – mówi informatyk. Aby wgrać „lewy” bilet wystarczy posiadać telefon z modułem NFC, a następnie skorzystać z jednej z dostępnych aplikacji. Jak podaje portal „Zaufana Trzecia Strona”, zajmujący się bezpieczeństwem w sieci, ceny takiej usługi wynoszą 20-30% oficjalnego kosztu biletu. Pojawiły się jednak także darmowe aplikacje.

Czym różni się taki „lewy” bilet od pozostałych? – Technicznie kontrakt jest taki sam, jedyne czego nie może atakujący zmodyfikować to numer karty (unikalny) – mówi informatyk. Aby wykryć podrobioną kartę, wszystkie urządzenia ZTM musiałyby mieć „białą listę” z numerami wszystkich wprowadzonych biletów, a dodatkowo na bieżąco ją aktualizować. Problemem może być niewystarczająca pamięć. – Korelacja offline danych z systemu sprzedaży i z kasowników/ldpów mogłaby wyłapać karty, które były kasowane/kontrolowane, ale nie były doładowywane w punktach obsługi sprzedaży. Nie wiadomo, czy ZTM to aktywnie robi – mówi nasz rozmówca.

Co na to organizator komunikacji? – ZTM zna ten problem i zajmuje się nim od dawna, m.in. poprzez wdrażanie dodatkowych zabezpieczeń na karcie. Są to działania długofalowe i zaangażowani w nie są również współpracujący z nami operatorzy. Z przyczyn oczywistych te działania ZTM-u nie są nagłaśniane – mówi lakonicznie Igor Krajnow, rzecznik prasowy ZTM-u. Nie zdradza jakiej skali może być problem.