Peretas Meter Cari Tempat Letak Kereta Percuma di San Francisco

Pelan bercita-cita tinggi di San Francisco untuk melancarkan meter tempat letak kereta pintar berkomputer telah mencetuskan masalah: Mereka boleh digodam untuk tempat letak kereta percuma.

Penyelidik keselamatan mengatakan bahawa mudah bagi penggodam teknik yang bijak untuk membuat kad pembayaran palsu yang memberikan mereka tanpa had percuma tempat letak kenderaan. Untuk membuktikan maksud mereka, mereka akan membincangkan bagaimana mereka membina kad seperti itu dalam tempoh tiga hari pada satu sidang keselamatan komputer pada hari Khamis.

Menurut Joe Grand, pemilik Grand Idea Studio, meter letak kereta San Francisco tidak mempunyai cara untuk memberitahu perbezaan antara kad pembayaran tulen dan palsu. Kad ini boleh digunakan untuk membayar 23,000 meter di seluruh bandar.

[Bacaan lanjut: Bagaimana untuk membuang malware dari PC Windows Anda]

Grand, yang tidak banyak bekerja dengan kad pintar, mengatakan bahawa kerja itu tidak sukar untuk dilakukan. Kadnya hanya memainkan semula isyarat yang sama yang digunakan oleh kad tulen kepada meter. Walaupun dia tidak pernah menggunakan kad itu untuk mendapatkan tempat letak kereta percuma, Grand berkata dia dapat membina kad dengan keseimbangan sebanyak US $

.99 - maksimum yang mungkin - yang tidak akan kehabisan dana.

"Jika saya mendapati ini masalahnya, kemungkinan orang lain mengetahui masalahnya dan mungkin mengeksploitasinya, "katanya. "Itu yang membiayai semua wang pembayar cukai kami."

Untuk mengetahui bagaimana sistem pembayaran bekerja, Grand mengaitkan osiloskop ke meter letak kereta dan memantau apa yang berlaku ketika dia menggunakan kad pembayaran tulen. Beliau kemudian menganalisis data dengan tangan, dan menulis sebuah program perisian yang akan mencontohi kad pintar. Selepas beberapa percubaan dan kesilapan, dia akhirnya mengetahui apa yang diperlukan oleh programnya untuk memberitahu meter untuk bekerja. Kemudian dia membina kad yang akan memainkan semula data yang sama, menggunakan kad pintar boleh diprogramkan yang dipanggil Kad Perak.

San Francisco menggunakan McKay Guardian XLE meter, kata Grand, tetapi kerana meter ini dilaksanakan secara berbeza di bandar-bandar yang berbeza, tekniknya mungkin tidak berfungsi di luar San Francisco.

Bandar-bandar di seluruh Amerika Syarikat melancarkan sistem meterai parkir berkomputer yang direka untuk menjadi lebih mudah untuk membayar dan mengurus. Pintu pintar San Francisco telah dilancarkan sebagai sebahagian daripada program yang lebih luas, yang dikenali sebagai SFpark, yang akhirnya akan menempatkan sensor letak kereta yang dapat mengesan apabila ruang kosong dan menghantar maklumat itu tanpa wayar kepada pemandu mencari tempat.

Tetapi ada beberapa masalah. Pada bulan Mei, kira-kira 125 meter pintar di Chicago berhenti berfungsi dengan betul, mendorong spekulasi bahawa mesin itu mungkin telah diretas.

Pejabat-pejabat bandar mengakui kegagalan pada kerosakan komputer, dan Grand mengatakan bahawa penjelasan bandar itu betul-betul betul. "Saya fikir secara peribadi bahawa kegagalan adalah masalah firmware, pepijat dalam sistem," katanya.

Kerana mereka tidak pernah melihat meter letak kereta sebelum ini, Grand dan dua penyelidik bersama, Jacob Appelbaum dan Chris Tarnovsky, juga menghabiskan masa memisahkan meter letak kereta yang mereka pilih di eBay dan kad pembayaran untuk memahami bagaimana mereka bekerja. Mereka akan membentangkan penemuan mereka di persidangan keselamatan Black Hat di Las Vegas pada hari Khamis.

Mereka tidak berniat untuk memberikan butiran teknikal lengkap tentang bagaimana mereka membina kad palsu mereka, bagaimanapun, kerana maklumat itu boleh disalahgunakan untuk membebaskan San Francisco.

Mereka mengatakan bahawa jika San Francisco mahu mengelakkan penipuan pada sistemnya, ia harus melihat mengamankan meter dengan mengembangkan cara yang lebih baik untuk mengesahkan kad pintar. Ini mungkin melibatkan membuat meter lebih pintar, supaya mereka boleh berkomunikasi antara satu sama lain dan memproses tandatangan digital semasa setiap transaksi.