{"id":2254480,"date":"2024-11-29T05:33:46","date_gmt":"2024-11-29T04:33:46","guid":{"rendered":"https:\/\/www.startlap.hu\/vasarlas\/?p=2254480"},"modified":"2024-11-29T00:57:20","modified_gmt":"2024-11-28T23:57:20","slug":"palackvisszavaltas-visszaeles-hiba","status":"publish","type":"post","link":"https:\/\/www.startlap.hu\/vasarlas\/palackvisszavaltas-visszaeles-hiba\/","title":{"rendered":"Palackvisszav\u00e1lt\u00e1s: \u00e1tverhet\u0151v\u00e9 v\u00e1lt a rendszer"},"content":{"rendered":"

Az IT-biztons\u00e1gra szakosodott Mantra Information Security alap\u00edt\u00f3ja, Bucsay Bal\u00e1zs a k\u00f6zelm\u00faltban az eur\u00f3pai k\u00f6telez\u0151 visszav\u00e1lt\u00e1si rendszerrel kapcsolatban egy komoly probl\u00e9m\u00e1ra h\u00edvta fel a figyelmet – \u00edrja a Portfolio<\/a><\/strong> a Hwsw.hu-ra hivatkozva. <\/p>\n

A Bucsay \u00e1ltal v\u00e1zolt hiba elm\u00e9letben komoly anyagi haszonszerz\u00e9sre adna lehet\u0151s\u00e9get<\/strong> azoknak, akik kihaszn\u00e1ln\u00e1k. A szak\u00e9rt\u0151k a konkr\u00e9t svindlit nem k\u00f6vettek el, hanem jogk\u00f6vet\u0151en h\u00edvt\u00e1k fel \u00fczemeltet\u0151inek figyelm\u00e9t a probl\u00e9m\u00e1ra. Illetve javaslatot is tettek, mik\u00e9nt lehetne biztons\u00e1gosabb\u00e1 tenni a vonalk\u00f3d alap\u00fa \u00fajrahasznos\u00edt\u00e1st. <\/p>\n

A Mantra szakembereinek ugyanis felt\u0171nt, hogy a vonalk\u00f3d alatt tal\u00e1lhat\u00f3 sz\u00e1msor egy r\u00e9sze az utalv\u00e1ny \u00e9rt\u00e9k\u00e9re utal<\/strong>, a megv\u00e1ltoztat\u00e1sa pedig lehets\u00e9ges jogs\u00e9rt\u00e9sekre adhat lehet\u0151s\u00e9get, ha egy bizonyos met\u00f3dus ment\u00e9n haladnak az elk\u00f6vet\u0151k. <\/p>\n

T\u00f6bb minta \u00f6sszegy\u0171jt\u00e9se ut\u00e1n m\u00e9rt\u00e9k fel, hogy az utalv\u00e1ny 36 sz\u00e1mb\u00f3l \u00e1ll\u00f3 k\u00f3dja egyebek mellett tartalmazza az \u00f6sszeget \u00e9s az ellen\u0151rz\u0151 sz\u00e1mjegyet, illetve az adott \u00fczlet k\u00f3dj\u00e1t, \u00e9s egy egyszer\u0171s\u00edtett id\u0151b\u00e9lyeget. <\/p>\n

\"Palackvisszav\u00e1lt\u00e1s
Fot\u00f3: Getty Images<\/figcaption><\/figure>\n

Az ellen\u0151rz\u0151 sz\u00e1mjegy elvileg egy hibaellen\u0151rz\u0151 k\u00f3d<\/strong>, amely a p\u00e9nzt\u00e1rakn\u00e1l hivatott a sz\u00e1msorozat \u00e9rv\u00e9nyess\u00e9g\u00e9t meger\u0151s\u00edteni. Ezen alapulnak a hitelk\u00e1rty\u00e1k is <\/p>\n

Ut\u00f3bbiak l\u00e9nyege a Luhn-algoritmus, amely lehet\u0151v\u00e9 teszi a k\u00e1rtyasz\u00e1m utols\u00f3 sz\u00e1mjegy\u00e9nek kisz\u00e1m\u00edt\u00e1s\u00e1t az el\u0151z\u0151ek alapj\u00e1n, ezzel is lehet\u0151v\u00e9 t\u00e9ve a hib\u00e1k \u00e9szlel\u00e9s\u00e9t a t\u00e9vesen be\u00edrt sz\u00e1mjegyek eset\u00e9ben, miel\u0151tt egy tranzakci\u00f3 sor\u00e1n a v\u00e9grehajt\u00e1st megk\u00eds\u00e9reln\u00e9k.<\/p>\n

A palackautomat\u00e1k<\/a> ugyanakkor nem a Luhn-f\u00e9le algoritmust haszn\u00e1lj\u00e1k, hanem egy hasonl\u00f3 megold\u00e1st. Ha ezt egy elk\u00f6vet\u0151 k\u00e9pes lenne visszafejteni,  elvileg \u00e9rv\u00e9nyes k\u00f3dokat hozhatna l\u00e9tre egyedi, ak\u00e1r magasabb \u00f6sszeggel is.<\/strong><\/p>\n

Bucsay Bal\u00e1zs szerint nekik siker\u00fclt felt\u00f6rni a hibaellen\u0151rz\u0151 k\u00f3dot<\/strong>, \u00edgy egy programmal, \u00e9s az utalv\u00e1ny b\u00e1rmely k\u00f3dj\u00e1nak megad\u00e1s\u00e1val (az ellen\u0151rz\u0151 sz\u00e1mt\u00f3l eltekintve) kisz\u00e1m\u00edthat\u00f3v\u00e1 v\u00e1lhat a helyes ellen\u0151rz\u0151 sz\u00e1mjegy.<\/p>\n

Ha pedig valaki v\u00e9gig vinn\u00e9 az elj\u00e1r\u00e1st, \u00e9s m\u00f3dos\u00edtan\u00e1 a k\u00f3dban szerepl\u0151 \u00f6sszeget, bev\u00e1lt\u00e1sra megfelel\u0151 utalv\u00e1nyt tudna gener\u00e1lni<\/strong>. R\u00e1ad\u00e1sul a vonalk\u00f3d cs\u00edkj\u00e1nak el\u0151\u00e1ll\u00edt\u00e1sa nem okoz k\u00fcl\u00f6n\u00f6sebb neh\u00e9zs\u00e9get. <\/p>\n

A s\u00e9r\u00fcl\u00e9kenys\u00e9get az jelenti l\u00e9nyeg\u00e9ben, hogy az utalv\u00e1ny \u00e9rt\u00e9ke direkt m\u00f3don a vonalk\u00f3dba van rejtve, \u00e9s nem v\u00e9di semmilyen biztons\u00e1gi lehet\u0151s\u00e9g az offline t\u00e1mad\u00e1sok megel\u0151z\u00e9se c\u00e9lj\u00e1b\u00f3l.<\/p><\/blockquote>\n

A megold\u00e1snak az l\u00e1tszana, ha az \u00fczletek a tikett bemutat\u00e1sakor, a k\u00f6zponti adatb\u00e1zis online kontrollj\u00e1val hiteles\u00edten\u00e9k jogoss\u00e1g\u00e1t, \u00edgy csak a val\u00f3s utalv\u00e1nyok ker\u00fclhetn\u00e9nek elfogad\u00e1sra.<\/p>\n

A Mantra Information Security hangs\u00falyozta, hogy az \u00e1ltaluk felfedezett, vissza\u00e9l\u00e9sre okot ad\u00f3 lehet\u0151s\u00e9get semmilyen m\u00f3don nem teszik nyilv\u00e1noss\u00e1<\/strong>, \u00e9s gyakorlatban sem hajtottak v\u00e9gre semmi olyat, amely sor\u00e1n vissza\u00e9l\u00e9st k\u00f6vettek volna el. <\/p>\n

Bucsay elmondta, hogy a palackvisszav\u00e1lt\u00e1s m\u00f6g\u00f6ttes infrastrukt\u00far\u00e1j\u00e1\u00e9rt felel\u0151s v\u00e1llalkoz\u00e1ssal m\u00e1r \u00e9rintkez\u00e9sbe l\u00e9ptek. A c\u00e9g elismerte a hiba l\u00e9tez\u00e9s\u00e9t<\/strong>, \u00e9s dolgoznak a probl\u00e9ma megold\u00e1s\u00e1n.<\/p>\n

\n\t
\n\t\t\n\t\t\t\n\t\t<\/a>\n\t<\/div>\n\t
\n\t\tEz is \u00e9rdekelhet:<\/span>\n\t\t

\n\t\t\tTr\u00fckk\u00f6s palack jelent meg a magyar boltokban, amit nem l\u00e1t a Mohu<\/a>\n\t\t<\/h3>\n\t\tElolvasom<\/a>\n\t<\/div>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

A magyar palackvisszav\u00e1lt\u00e1si rendszer v\u00e9lhet\u0151en egyik gyenge pontj\u00e1ra der\u00fclt f\u00e9ny, ami ak\u00e1r komoly k\u00e1rt is okozhatott volna.<\/p>\n","protected":false},"author":8,"featured_media":2254493,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[8180],"tags":[19287,4453],"class_list":["post-2254480","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-trending","tag-palackvisszavaltas","tag-visszaeles"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/www.startlap.hu\/vasarlas\/wp-json\/wp\/v2\/posts\/2254480","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.startlap.hu\/vasarlas\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.startlap.hu\/vasarlas\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.startlap.hu\/vasarlas\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/www.startlap.hu\/vasarlas\/wp-json\/wp\/v2\/comments?post=2254480"}],"version-history":[{"count":14,"href":"https:\/\/www.startlap.hu\/vasarlas\/wp-json\/wp\/v2\/posts\/2254480\/revisions"}],"predecessor-version":[{"id":2254505,"href":"https:\/\/www.startlap.hu\/vasarlas\/wp-json\/wp\/v2\/posts\/2254480\/revisions\/2254505"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.startlap.hu\/vasarlas\/wp-json\/wp\/v2\/media\/2254493"}],"wp:attachment":[{"href":"https:\/\/www.startlap.hu\/vasarlas\/wp-json\/wp\/v2\/media?parent=2254480"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.startlap.hu\/vasarlas\/wp-json\/wp\/v2\/categories?post=2254480"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.startlap.hu\/vasarlas\/wp-json\/wp\/v2\/tags?post=2254480"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}