В ходе этой истории было наделано столько глупостей, что описать их кратко не представляется возможным, поэтому я начну с конца: как уже было сказано в названии, несколько дней назад восемнадцатилетний парень был арестован за то, что якобы «взломал» новую систему по продаже электронных билетов на общественный транспорт в Будапеште, хотя он сразу же сообщил администрации об обнаруженной уязвимости.



История получила широкий отклик в прессе и социальных сетях, и возмутительные действия полицию вызвали бурную реакцию: на страницах Facebook организаций, вовлеченных в скандал, за эти дни появились десятки тысяч «однозвездочных» отзывов. Эти организации — Управление транспорта в Будапеште (оператор нового сервиса, который мы впоследствие будем называть BKK — аббревиатурой венгерского названия) и T-Systems Hungary, разработчики и мейнтэйнеры системы по продаже электронных билетов. T-Systems Hungary принадлежит компании Telekom Hungary, которая, в свою очередь, является дочерней компанией Deutsche Telekom. T-Systems также представляет бренд Deutsche Telekom и является достаточно крупным игроком, обслуживающим всю Европу. Кстати, поэтому отзывы размещались на главной (немецкой) странице организации, а не на странице венгерского отделения — у последнего не подключена соответствующая функция.

Все началось несколько недель назад, когда BKK объявила о запуске мобильного сервиса — системы по продаже электронных билетов. Все, и я в том числе, встретили эту новость со смесью энтузиазма и удивления. Мы знали, что они работали над системой на базе NFC и смарт-карт последние четыре года без каких-либо видимых результатов, невзирая на вложенные в эту инициативу миллионы (последняя статья на эту тему, которую я читал, называла сумму в девять миллионов евро). Первое, что пришло мне в голову, когда я услышал это объявление: «Как так вдруг, ведь до сих пор было тихо — ни слухов, ни новостей?» и «Интересно, что они предпримут, чтобы систему нельзя было обмануть, какие будут применять механизмы, чтобы не допустить копирование и обеспечить безопасность...».

Что касается первого вопроса, это объясняется — по крайней мере, частично — тем, что администрация хотела, чтобы системой могли пользоваться гости города, стекающиеся на чемпионат мира по водным видам спорта, который проходит в Будапеште в данный момент. Более того, они пошли дальше и приурочили день запуска системы в общее пользование к открытию чемпионата (14 июля). Уже одно это звучит сомнительно. Во-первых, любому ясно, что нельзя запускать такую систему в городе с достаточно разветвленной транспортной сетью и населением в 1.7 миллион человек, предварительно не протестировав ее как следует. Скажем, система для организации общественного велопроката, производства той же компании, несколько месяцев проходила бета-тестирование, к которому привлекли тысячи программистов, хотя она обслуживает куда меньше пользователей и имеет куда меньшее значение. Во-вторых, определенно не стоит затевать все это параллельно с мероприятием, которое вызывает приток туристов. В-третьих, если уж она рассчитана именно на гостей города, следовало бы запустить ее за несколько дней до открытия, ведь многие приезжают заранее.

Но гораздо интереснее второй вопрос: как сделать систему безопасной? Нам давно было известно, что продажа электронных билетов будет осуществляться через веб-сервис, без необходимости устанавливать приложение, что еще сильнее усложняет борьбу с мошенниками (хотя для пользователей в целом так удобнее).

Но то, что произошло в день запуска, превзошло ожидания даже самых циничных программистов с жизненным кредо «Плавали, знаем», которых породила Центральная (ну, или Восточная) Европа советской эпохи. Само собой, множество ляпов, само собой, билеты очень просто скопировать, но это еще ладно. Очень скоро стало известно о целом ряде серьезных ошибок (как сообщает не затронутая правительственной цензурой пресса):

• Система хранит пароли в виде простого текста и по запросу высылает их на почту пользователям. Соответственно, во многих случаях тот, кто получает доступ к системе, получает и доступ к почте (давайте начистоту: большинство людей используют один и тот же пароль для всех сайтов);
• После авторизации пользователи имели возможность просматривать данные других аккаунтов (новостная статья не уточнила, как именно, видимо, путем манипуляций с URL). То есть у приложения не была отлажена система разрешений. Многие утверждали, что таким образом получили доступ к профилям других пользователей. К слову, информация, которую нужно указать при регистрации, включает имя, адрес и данные идентификационного документа (национальной ID-карты, водительских прав или паспорта). Все это должно соответствовать действительности: проверяющие могут потребовать подтверждения, что билет действительно принадлежит вам.
• Если просто вбить в адресную строку shop.bkk.hu, страница вообще не загружалась. Я сначала было подумал, что они отключили сайт, но оказывается, у них просто не был настроен редирект http -> https. И сайт провисел в таком состоянии несколько дней. Те, кто просто услышал где-то адрес, не могли на него попасть. Необходимо было именно кликнуть по ссылке — ведь среднестатистический пользователь не додумается добавить https в начале, мне и самому это не пришло в голову.
• В Сафари на iOS устройствах билеты не отображались.
• Кто-то выяснил, что пароль администратора — adminadmin и успешно зашел в систему под его аккаунтом.
• Разумеется, копировать билеты оказалось плевым делом. В Сети выложили видео, на котором пассажиры проходят контроль раз за разом без каких-либо проблем. Кондукторы использовали устройство для считывания QR-кода только пару раз — у большинства их нет, да и с сервисом они не особо знакомы — и даже в этих случаях «зайцев» не вычислили. Я бы сказал, ничего удивительного.
• Но самая смехотворная дыра в системе, которую, насколько мне известно, обнаружили первой — это то, что пользователь мог задавать цену за билет, который собирался купить.

Именно этот последний пункт списка открыл восемнадцатилетний господин, о котором я говорил в самом начале. По его словам, он еще даже не умеет писать код (осенью только начинает учебу в университете). Он просто использовал общедоступные инструменты для разработчиков из браузера, увидел, собираясь сделать покупку, что информация о цене отсылается на сервер и решил просмотреть, получится ли ее изменить. Проездной на месяц стоит 9500 форинтов (примерно 30 евро), он же поставил цену в 50 форинтов. Когда пришло подтверждение, что платеж засчитан, и проездной благополучно загрузился в приложении, он тут же написал в BKK (в отделение по управлению транспортом), что у них серьезная проблема. В ответ ему пришло оповещение, что его проездной признан недействительным, и больше ни слова. Зато через несколько часов, когда об этой и других вышеперечисленных ошибках стали говорить на каждом углу, BKK вместе с T-Sytems Hungary принялись отчаянно всеми возможными способами прикрывать тылы, по-другому не скажешь.

Они заговорили о серии хакерских атак (которые, возможно, действительно имели место), о недостойном поведении общественности, о том, что любую систему можно взломать, но их файрвол отразил целый ряд атак, о том, что люди используют неприличные имена для регистрации, которые, разумеется, удаляются, и так далее.

Также на пресс-конференции представитель T-Systems Hungary заявил, что они приветствуют оповещения об ошибках, а также, что они уже передали информацию об одной однозначно противозаконной попытке взлома в полицию. Хотя на той же пресс-конференции упоминалось что-то смахивающее на внедрение SQL-кода, я больше чем уверен, что речь шла об этом восемнадцатилетнем бедолаге-«хакере», которому хватило ума написать им. Представители BKK заверяли, что, хотя система постоянно подвергается хакерским атакам, все они безуспешны, так что необходимости закрывать сервис нет — вся информация в полной безопасности.

Неделю спустя появились новости, что ранним утром полиция забрала «хакера» из дома и перевезла в участок. Через несколько часов его, впрочем, отпустили. Разумеется, в нормальной стране с функционирующей демократией тот, кто сообщил о подозрении на преступную деятельность, не отвечает за дальнейшие действия полиции, но все-таки с стороны BKK это было непрофессионально и по-свински — поступить так с ним, вместо того чтобы сказать «спасибо» и, возможно, предложить небольшое вознаграждение. Но в нормальных странах полиция не вламывается к людям домой, если они не представляют опасности для окружающих. Особенно если это противозаконно. А, согласно законам Венгрии, это именно что противозаконно. Они сделали это только ради того, чтобы припугнуть людей.

После бурной реакции, которой был встречен этот инцидент, в BKK запели по-другому — от обвинений и отрицания они перешли к позиции «жаль, что с ним так все получилось». Даже директор T-Systems, хоть и написал пост с чем-то вроде извинений, так и не признал, что заявлять в полицию было не лучшей идеей (только ссылался на внутреннюю политику компании, которая их к этому побудила) или что система не соответствует требованиям. Он говорил в основном о том, какая это неоднозначная ситуация и как она показывает, что в обществе сейчас нет единого мнения о том, когда взлом системы можно считать этичным действием. Пара интересных фактов: во-первых, раньше они прямым текстом называли действия парня неэтичными, так как он действовал без их ведома, во-вторых, достаточно посмотреть, как отреагировали на это происшествие IT-специалисты, чтобы убедиться, что единое мнение очень даже существует.

Когда начинаешь складывать все фрагменты в общую картину, вовлеченные организации выглядят не лучшим образом.

• BKK заказала и одобрила систему с кучей примитивных ошибок. Серьезно, среднестатистический джуниор только-только из буткемпа за неделю-другую может сделать решение получше. А если вам кажется, что я преувеличиваю, то уж у опытного разработчика проблем с этим точно бы не возникло.
• T-Systems Hungary согласились взять в работу (причем скорее всего с нереальными сроками) решение, которое никуда бы не годилось, даже если реализовать его как следует — я исхожу из того, что обеспечить защиту от мошенников и пресечь дублирование билетов было не их задачей. А потом сделали все так, как сделали. И какой-то менеджер сказал: «Все в порядке, выкатываем».
• BKK платит T-Systems Hungary 80 000 евро в месяц на поддержание системы в рабочем состоянии. Звучит подозрительно, потому что одного такого платежа было бы достаточно, чтобы покрыть все расходы по разработке, даже при качественном воплощении идеи. Двух-трех хватило бы и на менеджеров, и на дополнительное тестирование, и на малую толику откатов. Я не включил в эти расчеты устройства для считывания QR и мобильные, которыми должны быть снабжены кондукторы, но на данный момент их раз-два и обчелся.

Возможно, вы задаетесь вопросом: почему было так уж позарез необходимо приурочить релиз к чемпионату мира по водным видам спорта? На пресс-конференции было сказано, что они хотят протестировать систему и собрать отзывы, чтобы доработать все к сентябрю — началу горячего сезона для общественного транспорта. Но ладно, забудем про BKK, это насквозь правительственная организация. Разве мог адекватный менеджер с маломальским уровнем профессионализма допустить, чтобы этот ужас отправили в релиз? Неужели ни один инженер не сказал менеджерам, что не все благополучно? Что-то мне не верится.

И опять же, имело ли это все какое-то отношение к чемпионату? Почему они так лихорадочно ищут оправдания? Конечно, зная венгров, само собой разумеется, что людям просто не хочется признавать, что они прокололись. Но обычно это качество проявляется ярче всего, когда в деле замешана политика. Прибавим к этому беспочвенный арест человека, который сообщил об уязвимости. Они могли бы просто прислать ему повестку в суд — и, если верить юристам, именно так и должны были поступить. Да, и кстати, своими действиями он, скорее всего, даже и не нарушал закона. Его обвинили в «несанкционированной модификации», которая подпадает под «мошенничество с использованием компьютерных систем», но этот случай не соответствует описанию. Это заставляет меня усомниться в том, что полиция действовала согласно регламенту (или в том, что T-Systems Hungary предоставила им всю необходимую информацию о происшествии).

UPD: Оказывается, он находится под подозрением по другой статье — «Неправомерный доступ к компьютерной информации», но, внимательно изучив ее текст, я думаю, что и это не подходит к данной ситуации.

UPD2: Директор BKK сообщил прессе, что они не получили письмо с сообщением об ошибке, так как парень отправил его по неправильному адресу. Разумеется, он не замедлил предоставить скриншот, который опровергает это заявление.

https://habrahabr.ru/post/334480/