Хакер научился бесплатно ездить на метро, взломав "Тройку"

Программисту Игорю Шевцову удалось найти уязвимости в проездной карте "Тройка" и написать приложение, которое позволяет ездить на метро и наземном транспорте бесплатно. Статья хакера с подробным разбором системы безопасности карты содержится на сайте ХабраХабр. По его словам, изначально целью исследования была проверка защищенности "Тройки" от манипуляций с балансом электронного кошелька.

"Целью данного исследования было выяснить, насколько защищена карта от подделки баланса электронного кошелька, изучить принцип работы карты, проверить защищенность инфраструктуры, работающей с картой "Тройка", - пишет Шевцов. Исследование заняло у программиста около двух недель. Главные уязвимости нашлись в приложении "Мой проездной", которое и было использовано для подделки баланса. 

"Большинство из поставленных целей исследования были достигнуты. Несмотря на применяемые системы защиты, такие как ключи доступа к карте и криптографическая подпись в секторе электронного кошелька, подделка баланса оказалась возможна", - отметил хакер. 

Результатом работы стало приложение TroikaDumper для устройств под управлением Android, оснащенных NFC-модулем, позволяющее без труда подделывать баланс "Тройки". 

"Оно [приложение] позволяет локально (без подключения к интернету) просматривать записанные в памяти карты данные, такие как: баланс электронного кошелька, время последнего прохода через турникет, идентификатор последнего турникета, имитовставку, серийный номер карты "Тройка", идентификационный номер карты (UID). Приложение позволяет сохранять состояние памяти и записывать его на карту", - указано в статье.

Приложение доступно для скачивания на сайте ХабраХабр, однако автор напоминает, что доступно оно исключительно в ознакомительных целях, поскольку подделка проездных билетов является уголовным преступлением и преследуется по закону.

Ранее сообщалось, что уже в конце мая - начале июня 2016 года стартует реализация транспортных карт, объединяющих функционал московской "Тройки" и подмосковной "Стрелки". В ходе пилотного проекта, который продлится до конца лета, планируется продать 100 тысяч карт. На основе данных тестовых продаж будет определено количество проездных, которыми до конца этого года будет обеспечена вся Московская область. Читать далее>>