[Kassmees]

Mäletan, millalgi avastas keegi Tartu rattaringluse süsteemis turvaaugu. Leheski kirjutas sellest.
Nüüd sattusin ise huvitava jama otsa. Mu kontole tekkis hulk sõite, mida ma ei olnud sooritanud. Põhiline stardi- ja finiśikoht oli seal parkla nimega Annelinna Kiir, mida ma reaalselt kasutasin viimati eelmisel aastal.
Asi tundus väga veider, sest ma ei laena kellelegi oma bussikaarti, telefoni ega võetud ratast, ei jaga kuskile paroole. Ratast parkides kontrollin alati üle, kas protseduur toimus korrektselt. Ei jookse ratta juurest kohe minema, vaid ootan, kuni saan ratta ekraanile vastava info.
Telefonil olen ringi liikudes wifi ja bluetoothi väljas hoidnud, kuid jah, on olnud juhuseid, kus unustasin wifi hotspoti tööle.
Rattaringlusest mainiti mulle, et mingi teismeline avas oma telefoniga äpi alt rattaid ja sõitis minu konto all ringi.
Vahetasin oma kontol salasõna. Igaks juhuks tegin hard reseti ka oma telefonile - see mu vana Samsung Galaxy J3, mis hakkas jukerdama ja millega helistada enam ei saa,
kuid netis see veel huvitaval kombel käia laseb ja toimib ka ruuterina. Nimelt tekkis kahtlus, et telefoni on viirus pugenud. Äppi ma kasutan vaid dokkides rataste olemasolu tsekkimiseks, ratta võtan alati bussikaardiga.
Veel 1 kahtlusalune on mu arvuti. Seal on küll Linux Mint ja ma hoian selle alati värske, aga väidetavalt juba leidub variante ka sellesse pääsemiseks.

Mismoodi võis pägalik mu kontole ligi pääseda?

Järgmine käik on politsei manu (võimalik identiteedivargus).

[Ernits]

Huvitav, kust rattaringlus teadis, et just keegi teismeline seda tegi? Telefoni sisse häkkimine tundub kahtlane, pigem on paroolid kuskile lekkinud.

[kristjan*]

Teismeline häkker sooritas identiteedivarguse selleks, et kaaperdada kellegi rattaringluse konto? Ja siis tegi ta selle kontoga veel rattasõite!?

Spoiler

Srsly....

Tõenäolisem stsenaarium tundub olevat hoopis see, et rattaringluse infosüsteemis on mingi viga.

[Kassmees]

[Märt.]

Kasuta Gmailis 2FA autentimist ka, siis on muretu.

[DigeBeni]

https://tartu.postimees.ee/7076171/sartsuratas-tegi-supilinlase-nime-all-annelinnas-fantoomsoite

[Kassmees]

Vahepeal politsei uuris asja ja tabas pahategija. Tuligi välja see, mida alguses kusagil uskuda ei tahetud ja mille võimalust minagi väikeseks pidasin - kurjam oli kuskil mu lähedal mingite nippidega mu telefoni jälginud ja saanud kätte mu rattaringluse konto privaatsed andmed. Võis juhtuda, et mu telefonil oli wifi hotspot sisse jäänud - tavaliselt ma lülitan selle välja, kui kodust lahkun. Kuid jah, on olnud juhuseid, kus avastasin, et uups, sisse jäi. Bluetoothi ma ei kasuta ja selle hoian püsivalt väljalülitatuna. Kuid ka mu hotspotil on alati parool, kus on sees nii tähti, kui numbreid.
Nüüd on mul uus telefon, aga mõnda aega ma äppi ei kasuta. Tegelikult on see vaid mugavuslisand, mis võimaldab vaadata dokkides rataste saadavust, eks saab selletagi hakkama - avamiseks kasutan ju alati bussikaarti. Oleks muidugi lahe, kui äpp laseks rataste saadavust vaadata ka ilma sisse logimata, see tõstaks turvalisust. Veebis saab kah, aga nutitelefoni pisikese ekraaniga on veebis käia ülimalt ebamugav ja see on 1 põhjus, miks ma telefoniga netis ei surfa.

[Betamax]

Huvitaks täpsemalt see lahendus, kuidas ta jälgis.

[napoleon]

Sama siin. Kas politsei tuvastas kuidas tatikas seda tegi või lihtsalt konstanteeris fakti, et kuidagi õnnestus tal kasutaja ja parool kätte saada?
Variante kuidas andmed jalutama saavad minna on päris palju, samas seda pole enne kuulnud, et wifi hotspoti kaudu oleks telefoni sisse häkitud

[Kassmees]

Politsei konstanteeris fakti lihtsalt. Mu kontot kasutanud tüüp ajas uurijale kägu, et oli andmed saanud mingilt sõbralt, kes omakorda oli need mu telefonist varastanud. Saladuseks jäid nii varguse meetod kui ka väidetav sõber. Uurija jutus oli siiski info, et varguse hetkel nagu oldi kuskil mu lähedal ja kurjamil oli mu telefoniga ühendus.
Segane lugu.

[Dogbert]

Millised need bussikaardid on? Kui kontaktivabad, siis selle kopeerimine, IMHO, on tunduvalt tõenäolisem ja tehniliselt lihtsam.
Kui kaardiga autentimisel mingit PIN-i ka ei nõuta, siis pole muud vajagi.

[Kassmees]

Bussikaardid toimivad üliväikese distantsi pealt. Rattaringluses ratta avamiseks tuleb kaart panna ratta displei vastu, muidu kaart ratast ei ava. Proovisin üksaeg rattaid avada nii, et jätsin kaardi rahakotti. Kui kaardi ja ratta vahel on kasvõi rahakoti tasku sein, siis enamasti kaart ei ava ratast ja ratas annab veateate. Bussis tuleb kaart panna validaatorile väga lähedale, umbes loetud sentimeetrid on see distants, kust validaator kaarti näeb. Hea küsimus, kui kaugelt saaks kaardiga ühenduda, et andmeid kopeerida?

[Mnator]

sõltub lugemisseadme häälestusest
laiatarbeseadmetele lubatakse kuni 10 cm kaugust
spetsseadmed võivad tunduvalt kaugemalt töötada

[napoleon]

Teab kas tatikal on mingit spetsseadet ikka. Selle spetsseadme hinna eest saab vist ikka päris palju tunde ratast rentida
Samuti ei saa see spetsseade siiski väga kaugelt toimida. Seade ise võib ju kõvemini karjuda, aga kaart peab olema ka võimeline sama kõvast karjuma.

Aga nii uudishimust tekkis küsimus, et kas pangakaardil, ühistranspordi kaardil ja muudel viipekaartidel tõesti mingit turvat pole st. kui oletame, et see tatikas rohelise kaardi mingil moel suutis kopeerida, siis samamoodi oleks ta saanud ka pangakaardi kopeerida?

[Dogbert]

[Kassmees]

Nagu ma aru sain, tiriti andmed ikkagi mu telefonist, mitte bussikaardilt. Bussiga sõidan ma üliharva ja bussis eelistan hoiduda kaasinimestest eemale. Erak, nagu ma olen. Septembris veidi enne pättue ohvriks langemist ma tegin bussiga ühe hästi lühikese sõidu (paar peatusevahet), et bussikaardile pandud kuupilet aktiveerida. Buss oli siis üsna tühi ja lähimad kaassõitjad olid minust umbes paari meetri kaugusel. Kas noori bussis oli, seda ma ei mäleta. Peale bussist väljumist istusin kuskil maha, läksin telefoniga rattaringluse veebilehele ja aktiveerisin pileti ka seal, et saaks selle piletiga rattaid kasutada. Võibolla siis sattus keegi mu telefoni pealt kuulama? Kunagi on netis olnud artikleid, mis jutustasid võimalustest kuulata pealt võõra telefoni wifit või tungida sinna sisse läbi bluetoothi. Kui tuli see NFC värk, mainiti sellegi puhul ära võimalus seda pealt kuulata. Pättuse ohvriks langemise ajal oli mul telefoniks veel vana Samsung J3, millel NFC puudub. Ei ole teada, missugused andmed üldse bussikaardil on. Kas tõesti ka rattaringluse andmed juhul, kui bussikaart on seotud rattaringluse kontoga?
Ja omakorda veel enne kogu seda jama ja enne tookordset kuupileti ostmist hakkas mu telefon jukerdama, mille kohta ma tookord siia foorumissegi teema tegin. Käitus imelikult - lülitas välja rakendusi, sealhulgas "elutähtsaid" nagu helistamine. Tihti oli ekraanil teade "see ja see rakendus lõpetas töö", vahel nõudis telefon ilma restardita, niisama sim-kaardi pin-koodi sisestamist. Proovisin tuntud puhastamis-äppe nagu Avast jne, need ei leidnud midagi. Kui need üldse telefonist viirusi otsivad... Lõpuks tegin hard reseti, äppide tegevus stabiliseerus, kuid helistamise funktsioon jäigi tõrkuma. Nüüd on mul ammu uus telefon, vana on kasutusel vaid pildistamise ja helisalvestamise vahendina. Oma Gmaili kontost ühendasin selle telefoni igaks juhuks lahti.

[Dogbert]

Jutt pole sinu telefoni NFC pealtkuulamisest, vaid sellest et bussis või poes või mujal teisest inimesest möödumisel oma telefoniga märkamatult üle tema tasku libistada ei ole nii keeruline kui taskust rahakotti välja õngitseda, eriti kui sarnaselt taskuvargusega, see puudutus maskeerida trügimise, komistuse või koperdamise taha. Usun, et selleks ei ole erilist harjutamist vaja ja RFID kopeerimiseks sellest piisab. Ohver tõenäoliselt unustab selle, kui trügimine või koperdamine eriti jõuline, nahaalne või millegi muu tõttu märkimisväärne ei ole või kui telefon kaardiga ühenduse saab ka otsest puudutust vältides.

https://www.google.ee/m?q=how+to+copy+rfid+using+phone

Sinu telefon ei puutu üldse asjasse. Kopeerimiseks oli vaja vaid sinu kaarti sinu taskus ja vargal head NFC telefoni.

Kui bussikaart oli juba kopeeritud, sai telefoni kasutada täpselt nagu originaalkaarti.

Ei pea selleks mingi häkker ega isegi script kiddie olema. Ka oskuslik taskuvaras mitte. Iga piisavalt nahaalne nolk saab hakkama.

See ongi põhjus, miks RFID kaardid peaksid seisma varjestatud ümbrises või peaks identifitseerimisel küsitama ka PIN-i

Huvitav on loo juures vaid see, et seda sagedamini ei juhtu.

[Draqula]

[Dogbert]

Vabandust, mul jäi kahjuks lisamata, et kopeerida saab ainult kõige lihtsamaid, krüpteeringuta RFID kaarte.
Pangakaarte, ID-kaarti jm kontaktivabu kaarte, milles kasutatakse avaliku võtme ja write-only mälusse kirjutatud privaatvõtmega krüpteeringut, ei saa kopeerida.
Kopeerida saab kõige lihtsamaid kaarte, mis lugejaga suhtlemisel ei kasuta krüpteeringut.

Minul bussikaartidega kokkupuude puudub, ei tea nende turvalisusest ega kopeerimiskindlusest midagi. Ainult oletan, et juhul kui need pole sama turvalised kui pangakaardid, siis võib nende kopeerimine väga lihtne olla.