Moskva metrosidagi Wi-Fi operatori katta miqdordagi ma’lumotlar o’g’irlanishiga uchradi.

ОПЕРАТОР WI-FI В МОСКОВСКОМ МЕТРО ДОПУСТИЛ КРУПНУЮ УТЕЧКУ ДАННЫХ ПОЛЬЗОВАТЕЛЕЙ

Zaiflik yo’lovchilarning telefon raqamlarini, shuningdek, ularning oilaviy holati, yoshi va boshqa ma’lumotlarini to’plash imkonini berdi.

Moskva metrosining bepul Wi-Fi operatori Maxima Telecom shu yilning mart oyida xavfsizlik bo’yicha tadqiqotchi Vladimir Serov tomonidan aniqlangan tizimidagi xavfli zaiflik haqidagi xabarga izoh berdi. Kamida bir yil davomida zaiflik Wi-Fi tarmog’iga ulangan yo’lovchilardan telefon raqamlari, yoshi, jinsi, oilaviy holati va ular ishlaydigan va yashaydigan metro stansiyasi kabi shaxsiy ma’lumotlarni to’plash imkonini berdi. Bundan tashqari, tadqiqotchi metro ichidagi yo’lovchilarning harakatlarini kuzatish uchun zaiflikdan foydalangan skriptni taqdim etdi.

Serov bu muammo haqida o’tgan oyda Habrahabrdagi blogida xabar bergan edi, ammo bu haqda ommaviy axborot vositalarida endigina keng tarqaldi. Blog postidan keyingi kun Maxima Telecom telefon raqamlarini shifrladi, ammo boshqa ma’lumotlarga kirish mumkin edi. Biroq, zaiflikni aniqlagandan so’ng, Serov operator bilan to’g’ridan-to’g’ri bog’lanmadi, balki mos.ru saytida tanish bo’lgan dasturchilar bilan bog’landi, «so’rov metroda Wi-Fi uchun mas’ul shaxsga yetib borganiga ishonch hosil qilgandan so’ng».

Tadqiqotchining so’zlariga ko’ra, zaiflik quyidagicha. Amaldagi terrorizmga qarshi qonunchilikka muvofiq, yo’lovchilar MT_FREE tarmog’iga ulanishda o’z telefon raqamlarini taqdim etadilar. Avtorizatsiya telefon raqamini yo’lovchi qurilmasining MAC manzili bilan birlashtirish orqali amalga oshiriladi. Serov ta’kidlaganidek, ba’zi kommunal xizmatlar MAC manzilini osongina o’zgartirishi mumkin, jumladan, egasi premium reklamasiz kirish uchun pul to’lagan qurilmaning MAC manziliga.

Barcha bepul Wi-Fi foydalanuvchilariga avtomatik ravishda maqsadli reklamalar bilan kirish sahifasi taqdim etiladi. Samarali maqsadli auditoriyani ta’minlash uchun foydalanuvchilar haqidagi ma’lumotlar to’planadi, ular keyinchalik ma’lum reklama kompaniyalariga uzatiladigan raqamli profillarni yaratish uchun ishlatiladi. Serovning so’zlariga ko’ra, ushbu uzatiladigan profillar shifrlanishi kerak bo’lsa-da, Moskva metrosi yo’lovchilarining profillari, jumladan, Wi-Fi kirish sahifasidagi telefon raqamlari oddiy matnda uzatilgan.

Kirish sahifasida foydalanuvchi nomlari va familiyalari ko’rsatilmaydi, ammo shaxsiy ma’lumotlarni qurilmaning MAC manziliga bog’lash uni hali ham xavf ostiga qo’yadi. MAC manzillarini o’zgartirish mumkinligi sababli, tajovuzkor ma’lum bir MAC manzili uchun kirish sahifasi tomonidan qaytarilgan ma’lumotlarni ko’rishi mumkin.

TASS agentligining Maxima Telecom rasmiy bayonotiga tayanib xabar berishicha, operator foydalanuvchilarning shaxsiy ma’lumotlarini himoya qilish choralarini kuchaytirish va avtorizatsiya algoritmini to’liq qayta ko’rib chiqish niyatida. Bayonotga ko’ra, zaiflik Habrahabr veb-saytida xabar berilganidan bir necha hafta o’tgach tuzatilgan.

«Biz darhol telefon raqami, jinsi va yosh guruhi kabi profil ma’lumotlarini uzatishni shifrladik, shuningdek, metro bekatlari o’rtasida foydalanuvchilarning harakatlanish ma’lumotlarini saqlashni o’chirib qo’ydik. Bu xakerlarning foydalanuvchilarni kuzatish imkoniyatini yo’q qildi», deyiladi bayonotda.