СЕТЕВЫЕ ВОЛКИ И ОВЦЫ

Что нам принесет новый поворот?

Итальянские хакеры нашли способ посылать поддельную информацию автомобильным навигационным системам, используя возможности канала сообщений о трафике (TMC, Traffic Message Channel). Это расширение системы передачи данных RDS (позволяет, например, FM-приемникам демонстрировать названия радиостанций и транслируемых программ) применяется в Европе и Северной Америке для оперативного предупреждения водителей о дорожных работах, авариях, пробках и тому подобных ситуациях.

Доклад итальянских исследователей Андре Бэрисани и Дэниэля Бианко (Andrea Barisani, Daniele Bianko), работающих в компании Inverse Path, прозвучал на конференции CanSecWest. Хакеры разработали декодер сигналов RDS (по их сведениям, это первая open source-программа, способная полностью декодировать RDS) и с помощью относительно простого передатчика продемонстрировали возможность вещания произвольных кодов (проверив ее на собственной Honda Civic 2006 года выпуска).

Как заявил Бэрисани, "мы можем создавать пробки, плохую погоду, забитые парковки, ДТП, дорожные работы и так далее. Водители доверяют информации, отображаемой навигационной системой. Нормальные люди и не подумают, что эти данные могут быть подложными". Как оказалось, помимо упомянутых стандартных сообщений, кодовые таблицы TMC содержат и более экзотические, вроде "воздушная атака", "бомбардировка", "авиакатастрофа" или "террористический акт".

В общем, обнаруженный изъян открывает потенциальным злоумышленникам массу возможностей проявить фантазию. И если ложное сообщение о дорожных работах на каком-нибудь участке трассы приведет "всего лишь" к пробке на объездной дороге, то массовое получение информации о террористическом акте в городе чревато серьезными последствиями. Кстати, дальность действия созданного хакерами TMC-вещателя не превышает полутора километров, однако она может быть увеличена за счет наращивания мощности FM-передатчика.

Впрочем, говорит Бэрсиани, это хоть и неприятное открытие, но и не конец света. Тем более что передача TMC возможна и по цифровому или спутниковому радио, что существенно затрудняет взлом. Также уже создана новая технология TPEG (Transport Protocol Experts Group), которая готова заменить TMC, но, к сожалению, уровень безопасности в ней, судя по исследованию хакеров, не намного выше существующего (никакого шифрования данных не предусматривается). Более надежным способом передачи сообщений является DirectBand - технология, продвигаемая Microsoft на территории США, также использующая FM-радио, но о ее широком распространении речь пока не идет. ДП

http://offline.computerra.ru/offline/2007/685/318110/

Британцы защищают визовые анкеты лишь "глубокой" ссылкой

Личные данные индийских туристов оказались доступны любому желающему на сайте компании VFS India, оформляющей визы в Британию, - сообщает DaniWeb.

Обнаруживший "дыру" пользователь тут же сообщил об этом администрации сервиса, после этого компания игнорировала уязвимость еще год.

Санжиб Митра (Sanjib Mitra) заполнил заявку на сайте, отослал ее, но передумав, попытался вернуться к форме, нажав в браузере "Назад". Когда это не получилось, он попробовал вручную исправить URL в адресной строке и попал на страницу с чужой заявкой, уже заполненной и ожидавшей обработки.

Митра написал электронные письма с описанием проблемы в компании VFS India и British High Commission, которые отвечают за выдачу британских виз. Из последней ему спустя два месяца пришел ответ в духе «спасибо, что сообщили». А отвечающая за онлайн-сервис VFS письмо проигнорировала. Решить эту проблему в стране, занимающейся IT-разработками для всего мира, никто и не подумал.

Дело сдвинулось с мeртвой точки, только за дело взялись журналисты. В ходе их расследования выяснилось, что ручной ввод позволял просматривать визовые заявки не только тех, кто путешествовал из Индии в Великобританию, но и всех клиентов VFS, поданные с 2001 года.

Ещe недавно британцы провели исследование, где разглагольствовали о продуманном создании и правильном использовании технических систем безопасности для защиты личных данных. Однако, судя по описанному случаю, даже в высокотехнологичной Индии они не нашли способа закрыть глубокие ссылки от публичного доступа.

Впрочем, как показывает практика, именно ведомства, которые имеют дело с секретной информацией, хуже всего управляются с ней. К примеру, в конце 2004 года таким же способом обнаружилась уязвимость, позволявшая с помощью ручного ввода ссылки редактировать сайт Интерпола.

Источник: Webplanet

http://soft.mail.ru/pressrl_page.php?id=21959