Gratis-Öffi-Nutzung via App

26. September 2012 0 Kommentar(e)

Forscher haben kürzlich auf der EUSecWest-Sicherheitskonferenz in Amsterdam eine Android-App präsentiert, mit der manche mit NFC-Chips ausgerüstete Fahrscheine in öffentlichen Verkehrsnetzen manipuliert werden können.

Die App ermöglicht es, die Hightech-Fahrscheine nach Verwendung wieder zurückzusetzen. So kann ein Fahrschein für zehn Fahrten nach dem Aufbrauchen des Kontingents mit einem NFC-fähigen Smartphone beliebig oft wieder aufgefüllt werden, ohne zu bezahlen, berichtet computerworld.com . In San Francisco und New Jersey haben die Forscher die Sicherheitslücke bereits nachgewiesen, der Trick funktioniert vermutlich aber auch in vielen anderen Städten.

Gratis mit der U-Bahn: Eine App macht´s möglich

Untätige Betreiber

Die Android-App, mit der die Tickets manipuliert werden können, nennt sich „UltraReset“ und verwendet eine Sicherheitslücke in „Mifare Ultralight“-NFC-Chips. Eigentlich sollte bei jeder Nutzung einer NFC-Fahrkarte ein Bit auf dem Chip geschaltet werden. Dieser Vorgang ist irreversibel und macht eine Wiederverwendung der Karte unmöglich. Bei den Tickets der Verkehrsbetriebe in San Francisco und New Jersey ist diese Funktion aber nicht aktiviert. Beim Nutzen der Fahrscheine werden lediglich die Nutzerdaten ausgelesen, ohne die Kontroll-Bits zu schalten. So können etwa Zehnerblöcke nach der Nutzung einfach zurückgesetzt werden.

Hightech-Schwarzfahrer

Die Forscher sagen, dass UltraReset sehr einfach herzustellen war. Sie haben die betroffenen Verkehrsbetriebe gleich nach Entdecken der Lücke Ende 2011 informiert, diese haben bisher allerdings nicht reagiert. Die Wissenschaftler vermuten, dass auch die Systeme anderer US-Städte dieselbe Sicherheitslücke aufweisen, etwa in Boston, Seattle, Salt Lake City, Chicago oder Philadelphia. Die Forscher haben eine entschärfte Version von UltraReset als „UltraCardTester“ ins Netz gestellt, mit der getestet werden kann, ob ein Ticketsystem verwundbar ist. Das Wiederbeschreiben der Fahrscheine ist mit der verfügbaren Version aber nicht möglich.

Das Beheben der Sicherheitslücke wäre laut den Wissenschaftlern problemlos möglich. Ein kleines Update könnte garantieren, dass die Kontrollbits geschaltet werden, der Umstieg auf andere NFC-Chips wäre ebenfalls nicht mit viel Aufwand verbunden. Allgemein sind technische Lücken für die Betriebe oft gar nicht so problematisch. Durch SMS-Tickets oder App-Fahrscheine können sich Schwarzfahrer bei Kontrollen beispielsweise kurzfristig noch Fahrscheine kaufen.

auf Facebook teilen auf Google+ teilen auf Twitter teilen
pic_HG2

Harald Gutzelnig   Herausgeber

Harald hat eigentlich als Herausgeber und Geschäftsführer des hinter dem Portal stehenden Verlags gar nicht viel Zeit Artikel zu schreiben, aber es macht ihm so viel Spaß, dass er dafür sogar ab und an aufs Schlafen verzichtet. Er hofft natürlich, dass dieser Schlafentzug seinen Artikeln nicht anzumerken ist.

Xing Profil

Kennst du schon unsere Magazine?

Alle Magazine anzeigen