Сказки о безопасности: Бесплатный кофе

Сказки о безопасности: Бесплатный кофе

Шел обычный вечер. Дежурство ничем не отличалось от десятков других. Полицейский экипаж медленно ехал по своему маршруту.

— Джимми, а давай поужинаем?

— Да пора бы. Заедем в новый китайский ресторанчик?

— Нет, не хочу. Давай лучше пиццу?

— Майкл, куда тебе пиццу? Скоро в дверь автомобиля не пролезешь! Пора переходить на салаты. И в спортзал почаще.

— С одной стороны, ты прав, а с другой — через пару месяцев пенсия. Там уже отъемся.

— Страшно подумать, каким ты сможешь стать.

— Так ведь не стану. Жена не даст! Она следит за моим здоровьем!

— 15-й, ответьте Центральной! 15-й!

— Центральная, говорит 15-й. У нас все нормально. Идем по маршруту, сворачиваем на 17-ю улицу. Что случилось?

— Звонили из кафе «У маленькой Лиззи» на 17-й. У них там происшествие. Просили, чтобы приехали именно вы. Ничего страшного, но поторопитесь. Не могу понять, правда, почему именно вы.

— Да что тут неясного? Там сегодня работает дочь Майкла. Видимо что-то отцу показать хочет. Мы уже в одном квартале.

Прошло две минуты.

— Лиззи? Что случилось?

— Да вот, папа! Этот человек пытался расплатиться нашей кофейной карточкой. Но здесь проблема.

— Погоди, а у вас есть свои кофейные карты? Что это такое?

— С недавних пор мы даем нашим клиентам карту постоянного клиента. Клиент получает нашу карту, пополняет ее, как банковскую, а затем использует для оплаты в кафе, получая бонусы за крупные или частые покупки. Клиент может проверить баланс на сайте кофейной сети, введя номер карты. И нам удобно, и ему, плюс он сразу же получает 10% скидки. Сейчас многие так делают.

— И что произошло? Что не так?

— Ты с детства учил меня обращать внимание на детали. Когда парень расплатился нашей картой, я заметила обман, сравнив число, напечатанное на карточке, с номером на квитанции. Они оказались разными. Карточка фальшивая. А вот как и почему — это уже ваше дело.

— Сынок, а стоила ли чашка кофе и булочка поездки в участок? Ведь подумай, это тебе пятно на всю жизнь. Как ты это сделал? Мы, безусловно, разберемся и без тебя, но тогда ты можешь получить реальный срок. Подумай.

— А что тут думать? Я расскажу, как это сделано, тем более что я никого не обокрал. В верхнем кармане моей куртки вы найдете другую карту этой же сети кафе и ее номер будет совпадать с номером на квитанции. Таким образом я просто ставил эксперимент, а ваша дочь его подтвердила. За что ей отдельное спасибо и от меня, и от сети кафе. Мало того, она еще и получит премию от владельца.

— Погоди, я точно ничего не понимаю. Давай сначала.

— Меня зовут Джон Марлоу. Я сотрудник службы информационной безопасности сети кафе. Я обнаружил, что наш сайт позволяет пользователям проверять карточки любое количество раз, сколько им нравится. Таким образом, используя крошечную программу, для написания которой мне потребовалось полчаса, я просмотрел кучу разных номеров карт и определил те, которые пополнялись большим количеством денег.

Затем, прочитав магнитную полосу своей карты с помощью дешевого USB-ридера, я обнаружил, что число записано на карту в незашифрованном виде и единственной защитой был контрольный бит, который было довольно легко вычислить. Задача заменить номер на магнитной полосе карты одним из чисел, найденных на предыдущем шаге, и использовать чужие средства, была детской игрой.

Я доложил своему руководству о найденной «дыре» и получил разрешение на эксперимент, в ходе которого купил вторую карту, именно ее вы держите в руках, пополнил ее и записал данные ее магнитной полосы на первую карту. Это сработало. А то, что ваша дочь сумела это обнаружить, это случайность, возникшая только потому, что она чрезвычайно внимательна. Большинство служащих на это не обращают внимания.

Ошибка — это неограниченный бесплатный кофе для хакера — и, возможно, булочка. Ну и потери для сети кафе.

Прошло полчаса.

— Майкл, отпустите его, он говорит правду. Вот его начальник!

— Вы Майкл? Это действительно мой подчиненный! Он доказал свою правоту, а ваша дочь получила премию от имени руководства компании. Ей предложили работу у нас после университета. Да-да, в службе безопасности. Нам нужны такие внимательные! Поздравляю, вы воспитали изумительную дочь!

Alt text

Владимир Безмалый

О безопасности и не только