黑客可通过行李标签代码轻松“解锁”旅客的航班和身份信息

2017年01月02日 11:21 次阅读 稿源:cnBeta.COM 条评论

订机票是一件很简单的事情,但你的权益保障仍取决于黑客是否要来捣乱。德国“安全研究实验室”的 Karstein Nohl 和 Nemanja Nikodejevic 指出,旅客订票系统多年来一直未得到足够的保护。实际上,全球三大处理航班预定服务的“全球分布式系统”(GDS),可通过多个方面被别有用心的人所滥用。

访问:

阿里云双11全球狂欢季返场继续 - 双核8G云服务器首年286.44元

始建于 70-80 年代的 Amadeus、Sabre、Travelport 三套系统,承担了全球超过 90% 的航班订票任务。但它们只是结合了更多的现代 Web 基础设施,而不是被全套替换,意味着系统的身份验证机制相当脆弱。

GDS 通过 6 位数字作为预定代码(PNR Locator),该 ID 被直接打印在了登机牌和行李标签上

任意接近你行李(或看到旅客登机牌)的人,都可以轻松瞥到(或者用智能机拍张照)。

通过这一代码, 即可访问到完整的旅客信息:包括家庭和电子邮件地址、手机/信用卡号码、常旅客编号、以及当初在线预定该机票的 IP 地址等。

更糟糕的是,黑客甚至无需特定的 ID 来验证上述信息。无论 GDS 和航空公司网站,通常都不会限制代码的访问/检查次数,因此理论上只要暴力攻击就能蒙对一次。

此外,遍历所有旅客的信息也相当容易,因为该 ID 就是顺序排列的。对于攻击者来说,这也极大地减少了他们搜寻特定时间段内旅客信息的工作量。

Where_in_the_World_Is_Carmen_Sandiego

想要解决这个问题,唯有提升系统的安全性,但方法其实非常简单。研究人员的建议是,在线服务应该限制每个 IP 访问旅客记录的次数,并且通过 Captchas 图形验证码来断绝暴力穷举攻击。

当然,直接替换掉传统的 6 位数字 ID 也是个好方法,只是实现需要的时间更长。

[编译自:PCMag , 来源:SR Labs]

阿里云爆款特惠

访问:

Verisign - .com域名的守护者 为品牌代言

对文章打分

黑客可通过行李标签代码轻松“解锁”旅客的航班和身份信息

1 (33%)
已有 条意见

    最新资讯

    加载中...

    今日最热

    加载中...

    热门评论

      阿里云免费试用

      Top 10

      招聘


      Advertisment ad adsense googles cpro.baidu.com
      created by ceallan