Prisvindende forskningsartikel afslører sikkerhedsbrister i DOT’s Mobilpendlerkort
En sikkerhedsbrist i DOT’s Mobilpendlerkort betyder, at brugere formodentlig har kunnet rejse i otte zoner, mens de kun har betalt for to. Det er vel at mærke uden, at det vil blive opdaget ved en kontrol. Det er en af konklusionerne i en socio-teknisk undersøgelse af Mobilpendlerkortet, som udbydes hos DSB, Metro og Movia.
Institut for Datalogiit-sikkerhedForskningoffentlig itapps
Skrevet 14. november 2017 12:58 af Jari Kickbusch
Forskningsartiklen
Free rides in Denmark: Lessons from Improperly Generated Mobile Transport Ticket er blevet kåret som den bedste artikel ved konferencen
Nordic Conference on Secure IT Systems 2017. I artiklen, som er skrevet af postdoc ved IT-Universitetet, Rosario Giustolisi, afsløres det, hvordan pendlere har kunnet rejse i otte zoner på et to-zoners abonnement ved at udnytte nogle sikkerhedsbrister i kontrollen af DOT’s Mobilpendlerkort.
DOT er et samarbejde i hovedstadsregionen mellem DSB, Metro og Movia, og Rosario Giustolisi har lavet en socio-teknisk sikkerhedsanalyse af de tre virksomheders Mobilpendlerkort, bl.a. ved at studere interaktionen mellem teknologi, brugere og kontrollører. Den italiensk-fødte forsker blev overrasket, da han opdagede designfejl i systemet, som gjorde det muligt at snyde relativt let:
- Normalt vil du se, at et billetsystem til offentlig transport er designet, så det er svært at snyde systematisk. Det skal helst være umuligt. I dette tilfælde var det ikke svært. Man behøvede ikke at bryde ind nogen steder for at manipulere systemet og kunne snyde uden at blive opdaget af kontrollørerne, siger Rosario Giustolisi.
Hvem kan gøre det?
Rosario Giustolisi er selv it-forsker, men fortæller, at det ikke kræver en akademisk grad i datalogi at manipulere Mobilpendlerapplikationen. Han vurderer, at selv teenagere med flair for at eksperimentere med teknologi, vil kunne finde ud af det, og det vil kunne få alvorlige konsekvenser:
- Alle ved, at man ikke må snyde, så man kan køre gratis i offentlige transportmidler, men jeg tror ikke, at unge nødvendigvis er klar over, hvor ulovligt det egentlig er at manipulere et billetsystem på den her måde. Umiddelbart kan det jo virke ret uskyldigt at pille lidt ved en applikation, som man har installeret på sin mobiltelefon, men hvis man bliver opdaget, kan man blive retsforfulgt. Det gør mig bekymret, siger han.
DSB er informeret
Da Rosario Giustolisi opdagede sikkerhedsbristerne tidligere på året, kontaktede han DSB, så de ansvarlige har kunnet træffe de fornødne foranstaltninger, inden offentliggørelsen af forskningsartiklen. DOT har efterfølgende opdateret applikationen, men hvorvidt sikkerheden i kontrollen af mobilpendlerapplikationen er forbedret vides ikke.
I forskningsartiklen kommer Rosario Giustolisi selv med fire anbefalinger til, hvordan DOT og andre udbydere af billetsystemer vil kunne forbedre designet og dermed sikkerheden. Han håber, at artiklen vil motivere flere virksomheder til at lave socio-tekniske analyser af deres produkter.
- Det akademisk interessante ved denne forskningsartikel er, at den viser behovet for at tænke holistisk, når man designer et produkt. Konteksten, som et produkt bruges i, interaktionen mellem de mennesker, som bruger det, er ligeså vigtigt som, at teknologien virker. Og selv om de fleste virksomheder vil sige, at deres teknologiske produkter er sikre, så er det altså et generelt problem, ikke kun hos DSB, Metro og Movia, slutter Rosario Giustolisi.
Find forskningsartiklen her Jari Kickbusch, Forskningskommunikatør, telefon 7218 5304, email jark@itu.dk