E-Ticketing Flaw разкрива пътническите данни на авиокомпаниите за хакери

E-Ticketing Flaw разкрива пътническите данни на авиокомпаниите за хакери
Системите за електронни билети на осем авиокомпании, включително Southwest Airlines и нидерландската компания KLM, имат уязвимост, която може да разкрие личната информация (PII) на пътниците, съобщи в сряда доставчикът на мобилна сигурност Wandera. Те използват некриптирани връзки, които хакерите могат лесно да прихванат. След това хакерите могат да преглеждат и в някои случаи дори да променят данните за резервацията на полета на жертвата или да отпечатат бордните си карти. Air France, Vueling, Jetstar, Thomas Cook, Transavia и Air Europa също имат този проблем, според Wandera. „Wandera разследва системите за електронни билети, които се използват от над 40 световни авиокомпании“, каза Майкъл Ковингтън, вицепрезидент на компанията. „Само онези организации, които са имали достатъчно време да отговорят на нашето отговорно разкриване, са включени в списъка на засегнатите авиокомпании по това време“, каза той пред TechNewsWorld. Wandera предоставя на доставчиците до четири седмици, за да предоставят кръпка или съответна корекция, преди публично да разкрият уязвимост. Компанията общува с „някои от засегнатите авиокомпании“, но не е успяла да провери дали са направени някакви поправки, каза Ковингтън. Откриване на недостатъка Wandera идентифицира уязвимостта в началото на декември, след като научи, че клиент, който е получил достъп до системата за електронни билети на една от осемте авиокомпании, е получил данни за пътници, свързани с пътуване, без криптиране. След това се разглежда дали други системи за електронни билети за авиокомпаниите са също така уязвими. Wandera уведоми авиокомпаниите, засегнати, докато документира уязвимостта. Тя също така сподели своите констатации с държавни агенции, отговорни за сигурността на летищата. Подробности за уязвимостта Некодирани връзки за връзка от посочените авиолинии насочват пътниците към място, където те автоматично влизат в системата за регистрация за полета си. В някои случаи те могат да направят някои промени в резервацията си и да отпечатат бордната си карта. След като пътникът достигне до уязвимата връзка за регистрация, хакер в същата мрежа може да прихване пълномощията, които позволяват достъп до системата за електронни билети. Използвайки тези пълномощия, хакер може да посети системата за електронни билети във всеки един момент, дори няколко пъти, преди излитането на полета и достъп до цялата лична информация, свързана с резервацията. „Тази уязвимост не изисква атака“ човек в средата „или инсталация на зловреден софтуер, за да бъде експлоатирана,“ каза Ковингтън. „Всеки, който използва същата мрежа като пътника – безжичен или кабелен – ще може да прихване пълномощията на сайта за електронни билети.“ Авиокомпаниите „никога не трябва да дават връзки в имейли, които представят PII данни без удостоверяване“, казва Антъни Джеймс, главен стратегически офис на CipherCloud . „Това просто няма смисъл за нас,“ каза той пред TechNewsWorld. Системите на различни авиокомпании разкриват различни видове данни. Експонираните данни могат да включват следното: Имейл адреси Име и фамилия Паспортна или идентификационна информация – включително номера на документа, издаващата държава и датата на изтичане Референции за резервации Номер на полета и часове Задаване на седалки Избор на багаж Пълен пансион Данни за частична кредитна карта Подробности за резервация на туристически фирми Опасностите След като получи достъп до пътнически чек, хакерът не само получава достъп до ЗПО на жертвата, но и може да добавя или премахва допълнителни торби, да променя разпределените места и да променя номера на мобилния телефон или имейл, свързани с резервацията. Съмнителното качество на скрининг на бордната карта на портите на някои летища повдига възможността хакер или престъпник да отпечата бордова карта на жертвата и да се опита да се качи на редовен полет с него, каза Вандера. От друга страна, хакерите се насочват към цели, които предлагат висока възвръщаемост на инвестициите, посочи Джеймс Сиймсклуд. „Прехващането на електронната поща с връзката за билет получава ПИО само от един пътник.“ Освен това, „всичко зависи от качването на борда и идентификационния номер на снимката, за да се получи миналото сигурност“, отбеляза Джеймс. „Идентификаторът на картината остава защитата на процедурата за сигурност.“ Ясни и актуални мрежови опасности Експертите по сигурността от години са съветвали пътниците да избягват да използват публични WiFi мрежи и хотелски мрежи за важни комуникации. „Мрежовият трафик е по-лесно задържан в безшифрова безжична мрежа или в типична кабелна хотелска или офис мрежа“, посочи Ковингтън. „За нападателя е по-голямо предизвикателство да наблюдава връзките, които се осъществяват в мрежата на превозвача“, отбеляза той, но авиокомпаниите трябва „да се справят с някои основни въпроси на сигурността“. Идвам в Америка KLM и AirFrance „са тясно интегрирани като част от една и съща компания“, отбелязва Колин Бастабле, главен изпълнителен директор на Lucy Security . Те си сътрудничат с Delta Airlines чрез SkyTeam , „въвеждайки потенциален риск от трета страна за вътрешния пазар на Съединените щати чрез осемте американски центъра на Делта“, каза той пред TechNewsWorld. Споделянето на кодове с Air France и KLM „може да има скъпи последици за Delta, ако нарушението на данните възникне в резултат на този проблем“, каза Bastable, тъй като регулациите на GDPR „премахват глобалните приходи за нарушения на данните“. Освен това, новите предписания за съответствие, предложени в САЩ, като Американския закон за разпространение на данните и Закона за защита на личните данни на Калифорния от 2018 г., могат да накарат продавачите да носят отговорност за глоби и нарушения, ако излагат данните на PII, без да изискват удостоверяване, каза Джеймс. Как да пазим PII Safe Следват някои стъпки, които Wandera препоръчва на авиокомпаниите: Шифрирайте целия процес на регистрация; Изисква удостоверяване на потребителя за всички стъпки, на които PII е достъпна, особено когато може да се редактира; и Използвайте еднократни маркери за директни връзки в имейли. „Ако връзката ви отведе директно към записа на името на пътника без вход, това е абсолютно потенциален проблем“, каза Джеймс. „Трябва винаги да изисквате вход и удостоверяване.“ Потребителите трябва да имат активна мобилна услуга за сигурност, разположена за наблюдение и блокиране на изтичането на данни и фишинг атаките, посъветва Wandera. Пътниците на осемте авиокомпании, наречени „трябва да отпечатат бордната си карта у дома си“, предложи Луси Бейстибъл, „и избягвайте използването на мобилна регистрация на летището.“ Ричард Адхикари е репортер на ECT News Network от 2008 г. насам. Неговите области на фокус включват киберсигурност, мобилни технологии, CRM, бази данни, разработка на софтуер, мейнфрейм и компютърни системи от среден клас и разработване на приложения. Той е автор и редактор на множество публикации, включително Информационна седмица и Computerworld . Той е автор на две книги за технология клиент / сървър. Имейл на Ричард.
http://www.technewsworld.com/story/E-Ticketing-Flaw-Exposes-Airline-Passenger-Data-to-Hackers-85836.html
2019-02-08 11:08:43