Bezbednost terminala za kupovinu karata na železničkim stanicama

[1van]

Na Tviteru se pojavio ovaj komentar sa slikama: https://twitter.com/2MuchLiterature/stat...4485240836, arhivirano: https://archive.ph/0tBHX.

Novosadska železnička stanica: ne radi terminal za kartice, ne rade automati za kupovinu karata i uz to ne funkcioniše ni aplikacija Srbija voz

[1van]

Šta vidimo na ovim slikama?

- Koji operativni sistem se koristi i koje aplikacije se koriste
- Da se ne održava redovno (istekla je licenca za WinZip)
- Nije dobro odrađeno "zatezanje" sistema tj. hardening. Instalirani su alati za development (Visual Studio Code), sistem na mrežnom nivou pristupa raznim servisima (ima WinSCP instaliran), ima udaljenu administraciju (putem javnog Interneta) uz pomoć AnyDesk. Sa ovog terminala je vrlo lako doći do ostalih delova ovog IT sistema (uzeći u obzir povezanost na mrežnom nivou i instalirane alate).
- Ima fajlove u korpi koji mogu da sadrže vitalne informacije
- Slike otkrivaju i druge dostupne sisteme i korisnike (slika sa AnyDesk)
- Dalje ostale ikonice nam govore koji je vendor touch screen-a (Displax), recovery alati (Lazesoft), particije (EaseUS Partition Master), uninstaller (Revo), Browsers (Chrome, IE).  Sve ove informacije ne bi smele tako lako da budu dostupne jer olakšavaju potencijalnim napadačima da kreiraju eksploite i phishing kampanje.

[milos_rs]

da dodam i snimak koji pokazuje da je i na ispravnom terminalu lagano moguće ući u desktop:

https://twitter.com/milos_rs_/status/166...5344084992

Nisam uspeo da nađem ko im je radio sajt i ove terminale za kupovinu karata, svuda piše kao da su oni sami pravili interno tj. piše, na primer "CopyRight "Srbija Voz" a.d.". Možda je nečiji "mali koji zna o kompijuterima" radio interno?

Pregledao sam sve javne nabavke na portalu javnih nabavki. Jedino sam našao da je https://www.allsecure.rs/ dobio tender u vrednosti od oko 40000eur za "Usluga plaćanja i pamćenja platnih kartica" :

   

[1van]

Kaže na veb sajtu da su PCI DSS compliant. Ali kad pogledam ovaj terminal čini mi se da su prekršili više pravila. Ko li je radio audit?

[milos_rs]

Da, i još su PCI DSS Level 1 dakle veliki su. Ne poznajem PCI u detalje, ali ovo mi deluje kao veliki sigurnosni rizik

Ali ne znam da li ovi iz allsecure rade bilo šta za sajt jer na sajtu kada se kupuje karta odmah uputi na Banca Intesa pa se kartice unose direktno njima, nema nikakve opcije čuvanja lokalno na srbija voz sajtu. Ne znam ni kako izgleda kupovina na fizičkom terminalu, možda je drugačije. A ovo što radi allsecure može biti povezano sa mobilnom aplikacijom (https://play.google.com/store/apps/detai...ijavoz.app) koju nisam testirao. Zanimljiv detalj sa stranice mobilne aplikacije piše "More by CodeIT doo" dakle oni su radili aplikaciju što potvrđuje i ova objava sa linkedina:

   

Imamo još neke detalje sa gornjeg Anydesk ekrana za OSINT, vidimo određenog Daniel Savu, koji je prema linkedinu ako sam ga potrefio završio FTN "Bachelor with honours in traffic engineering" što se poklapa malo sa železnicom ali ne zvuči kao IT smer.

Drugi zanimljiv detalj sa Anydesk-a su dva računara koja su se povezivala a imena računara počinju sa VNSPUT, tu sam zatajio i nisam uspeo da otkrijem o kojoj firmi ili o čemu se radi.