网络旅游网站网

你的航班信息竟如此不安全?黑客能轻易更改航班预订!

物联网安全号 2018-10-22 13:31:14


在德国汉堡的黑客大会 Chaos Communication Congress(混沌通信大会)上。德国安全研究实验室 Karstein Nohl 和 Nemanja Nikodejevic 指出,旅客订票系统多年来一直未得到足够的保护。


        黑客很容易修改任何乘客的预约,取消其预订机票, 甚至使用退款订票。


GDS缺“现代安全”易被黑


全球三大处理航班预定服务的“全球分销系统”(GDS),始于70、80年代 Amadeus、Sabre、Travelport的 三套系统,承担了全球超过 90% 的航班订票任务。目前发现,可以通过多个方面被别有用心的人所滥用。


GDS是应用于民用航空及旅游业的大型计算机信息服务系统。它向旅游机构与旅行者提供及时、准确、全面的信息服务。但它们只是结合了更多的现代 Web 基础设施,而不是被全套替换,这意味着系统的身份验证机制相当脆弱。


根据安全研究人员的说法,由于 GDS 缺乏现代的安全措施, 加上与之连接的站点和服务也不可靠,黑客可以轻易获取个人信息,盗取飞行里程。




PNR代码“裸奔”易泄露消息


GDS通常通过 6 位数字作为预定代码( PNR Locator ),该 ID 被直接打印在了登机牌和行李标签上。任何接近你行李(或看到旅客登机牌)的人,都可以轻松瞥到(或者用智能机拍张照)。有的旅行者在网上发布含PNR代码图片,信息也有可能被盗取。


通过PNR代码,即可访问到完整的旅客信息。这其中包括家庭和电子邮件地址、手机/信用卡号码、座位号、行李信息,以及当初在线预定该机票的IP地址等。众所周知,准确的个人信息是骗子实施钓鱼宝贵的“鱼饵”,可以用它们来发动有针对性的攻击和组织复杂的欺诈行为。



更糟糕的是,黑客甚至无需特定的ID来验证上述信息。无论GDS还是航空公司网站,通常都不会限制代码的访问/检查次数,因此理论上只要暴力攻击就能蒙对一次。



此外,遍历所有旅客的信息也相当容易,因为该ID就是顺序排列的。对于攻击者来说,这也极大地减少了他们搜寻特定时间段内旅客信息的工作量。


GDS还具有其他深层问题


研究人员还表示,PNR漏洞只是GDS系统的表层问题。除此之外,在何人接触数据、为何获取数据上,GDS缺乏良好的日志记录,而且存取控制几乎是不存在的,任何参与预订业务的人都能够看到全部数据。


想要解决这个问题,唯有提升系统的安全性,但方法其实非常简单。研究人员的建议是,在线服务应该限制每个IP访问旅客记录的次数,并且通过Captchas图形验证码来断绝暴力穷举攻击。


当然,解决问题的根本方法就是重写系统,直接替换掉传统的6位数字ID,只是实现需要更长的时间。


喜欢请点赞


Copyright © 网络旅游网站网@2017